CVE-2019-11231

ملخص

تم اكتشاف مشكلة في GetSimple CMS حتى الإصدار 3.3.15. عدم كفاية تطهير المدخلات في ملف theme-edit.php يسمح برفع ملفات بمحتوى تعسفي (كود PHP، على سبيل المثال). يتم تفعيل هذه الثغرة بواسطة مستخدم مُصادَق عليه؛ ومع ذلك، يمكن تجاوز المصادقة. وفقًا للتوثيق الرسمي لخطوة التثبيت 10، يُطلب من المسؤول رفع جميع الملفات، بما في ذلك ملفات .htaccess، وإجراء فحص سلامة. غير أن ما يُغفَل هو أن خادم Apache HTTP لم يعد يُفعِّل توجيه AllowOverride افتراضيًا، مما يؤدي إلى كشف كلمة المرور في data/users/admin.xml. كلمات المرور مجزأة (hashed)، لكن يمكن تجاوز ذلك بالبدء من مفتاح API الموجود في data/other/authorization.xml. يتيح هذا استهداف حالة الجلسة، لأنهم قرروا اعتماد تنفيذ خاص بهم. إن cookie_name معلومة مُصمَّمة يمكن تسريبها من الواجهة الأمامية (اسم الموقع والإصدار). إذا سرّب شخص ما مفتاح API واسم مستخدم المسؤول، فيمكنه تجاوز المصادقة. وللقيام بذلك، يحتاج إلى تقديم ملف تعريف ارتباط (cookie) استنادًا إلى حساب SHA-1 لهذه المعلومات المعروفة. توجد الثغرة في ملف admin/theme-edit.php. يتحقق هذا الملف من إرسالات النماذج عبر طلبات POST، ومن nonce الخاص بـ CSRF. إذا كان nonce المرسل صحيحًا، فسيتم رفع الملف الذي يقدمه المستخدم. هناك اجتياز للمسار يتيح وصول الكتابة خارج الجذر المعزول لدليل السمات. ليس من الضروري استغلال الاجتياز لأن ملف .htaccess يُتجاهل. ومن العوامل المساهمة عدم وجود فحص آخر على الامتداد قبل حفظ الملف، مع افتراض أن محتوى المعامل آمن. يسمح ذلك بإنشاء ملفات قابلة للوصول عبر الويب وقابلة للتنفيذ بمحتوى تعسفي.

• CVE-2019-11231-PoCاستغلال

  CVE-2019-11231 PoC

• GetSimpleCMS - Unauthenticated Remote Code Execution (Metasploit)