CVE-2023-3460 - وصول غير مصرح به كمسؤول لإضافة Ultimate Member POC

درجة CVSS: 9.1

التاريخ: 07/04/2023

ما هي إضافة Ultimate Member؟

إضافة Ultimate Member هي إضافة عضوية شائعة لتسجيل المستخدمين، وتحتوي على أكثر من 200,000+ تثبيت نشط.

فحص سريع

تم اكتشاف ثغرة أمنية حرجة في إضافة Ultimate Member في 7 يوليو، حيث يمكن للمهاجم إنشاء حساب مدير باستخدام تقنية تصعيد الصلاحيات التي قد تؤدي إلى السيطرة على موقع wordpress.

إذن كيف يعمل الاستغلال؟

حسنًا، إذا ألقينا نظرة على الأدوار والصلاحيات في wordpress، فسنجد أن هناك عددًا لا بأس به من الأدوار التي يمكن أن يمتلكها المستخدم مثل ، ، ، ، ، ، فكيف يمكننا الحصول على صلاحيات المدير؟ حسنًا، لنبدأ أولاً بمعرفة كيف تعمل إضافة Ultimate Member، فأنت بحاجة إلى تكوين الإضافة لكي تعمل بشكل صحيح، لذا نحتاج إلى إنشاء بعض الصفحات في قسم ثم نربط تلك الصفحات بـ Ultimate member > setting، وبعد ذلك يمكننا إنشاء أدوار جديدة أو استخدام الأدوار الافتراضية التي توفرها Ultimate member.

في هذه المرحلة، يجب أن تكون لدينا إضافة تعمل بشكل سليم، والآن دعنا نتعمق في الأمر ونرى كيف يعمل ذلك في الواجهة الخلفية. لقد قمت بتسجيل مستخدم عادي بدور Subscriber، وإذا ألقينا نظرة على جدول wp_usermeta في mysql، فسنرى أن قيمة wp_capabilities معينة إلى مصفوفة مسلسلة ومن هناك يتم تحديد دورنا والذي في هذه الحالة هو Subscriber.

إذن كيف يمكننا تغيير قيمة wp_capabilities؟ حسنًا، يمكننا تمرير wp_capabilities كمعامل في طلب POST أثناء التسجيل مثل هذا:

لكن الأمر لا ينتهي هنا، كما ترى هناك دالة اسمها is_metakey_banned وهذه الدالة تعمل عن طريق فحص بعض القيم مثل "cap_key" و"wp_capabilities" و"wp_user_level" و"user_activation_key" إلى آخره... ما يهمنا هو wp_capabilities لكن إذا كانت موجودة في نص الطلب فسوف تصل إلى break هناك لمنعنا من تغيير دورنا.

من هنا يمكننا تجربة بعض أنواع الترميز المختلفة لكن الأمر لن ينجح. بعد فترة من البحث والقليل من المساعدة من الذكاء الاصطناعي، اكتشفت أن wordpress يقبل الأحرف ذات اللكنة à, è, ì, ò, ù, À, È, Ì, Ò, Ù افتراضيًا. إذًا، ماذا سيحدث إذا استخدمنا هذه الأحرف في نص الطلب بشيء مثل wp_càpabilities=administrator؟ حسنًا، لن يتم الوصول إلى نقطة الإيقاف في السطر 182 في class-user.php ويمكننا تجاوز دالة is_metakey_banned.

بفحص mysql، يمكننا أن نرى أننا تمكنا من تغيير القيمة.

لكننا لسنا مديرين، في الواقع ليس لدينا أي دور على الإطلاق.

لقد فعلنا شيئًا واضحًا، لكن لكي نصبح مديرين نحتاج إلى الحصول على نفس قيمة المدير تمامًا والتي تبدو هكذا a:1:{s:13:"administrator";b:1;} حسنًا، دعنا نجربها ونمررها مباشرة إلى المعامل الخاص بنا.

مرة أخرى عند فحص mysql، لقد قمنا بتعيين قيمة wp_capabilities لكن هذا ليس ما توقعناه.

لقد أخذ قيمتنا وحولها إلى سلسلة مسلسلة. لكن بالنظر إلى wp_capabilities الخاصة بالمدير، نرى أنها مصفوفة مسلسلة وهذا ما نريده. لذا wordpress لديه أسلوب التسلسل الخاص به، ويمكننا استخدام ذلك لتمرير قيمتنا كمصفوفة ثم يقوم wordpress بالباقي نيابةً عنا. هكذا تبدو حمولتنا wp_càpabilities[administrator]=1.

في النهاية نرى أن قيمة wp_capabilities قد تغيرت إلى a:1:{s:13:"administrator";s:1:"1";}، وبذلك يمكننا الآن تسجيل الدخول كمدير.

والآن يمكننا تسجيل الدخول كمدير.