wordpress-jetpack-broken-access-control-vulnerable-application

هذا تطبيق هش لاختبار استغلال ثغرة التحكم بالوصول المعطوب في Jetpack إصدار < 13.9.1 (CVE-2024-9926).

تحذير!

يحتوي هذا التطبيق على ثغرات أمنية خطيرة. قم بتشغيله على مسؤوليتك الخاصة! يُنصح باستخدام بيئة معزولة وبنُسخ احتياطية (مثل جهاز افتراضي بأحدث لقطة وشبكة مخصصة للمضيف فقط). لا ترفع هذا التطبيق إلى أي خوادم متصلة بالإنترنت، لأنه سيتم اختراقها.

إخلاء مسؤولية: لا أتحمل مسؤولية الطريقة التي يستخدم بها أي شخص هذا التطبيق. الغرض الوحيد من هذا التطبيق هو أن يكون سيناريو اختبار لاستغلال ثغرة التحكم بالوصول المعطوب في Jetpack < 13.9.1 (CVE-2024-9926) ويجب عدم استخدامه بشكل خبيث. إذا تم اختراق خادمك عبر تثبيت هذا التطبيق، فإن ذلك ليس مسؤوليتي، بل مسؤولية الشخص (أو الأشخاص) الذين رفعوه وثبّتوه.

معلومات الثغرة

• معرف CVE: CVE-2024-9926
• الرابط: https://www.cve.org/CVERecord?id=CVE-2024-9926
• الوصف: يمكن استخدام هذه الثغرة من قبل أي مستخدم مسجل الدخول على موقع لقراءة النماذج التي يقدمها الزوار على الموقع.
• رابط البائع: https://jetpack.com/blog/jetpack-13-9-1-critical-security-update/
• الإصلاح: https://github.com/Automattic/jetpack-production/commit/18605ae8cdc7438c2088336c51f3db8d6a5b90fd
• إثبات المفهوم الرسمي: https://wpscan.com/vulnerability/669382af-f836-4896-bdcb-5c6a57c99bd9/

الاستخدام

فيما يلي خطوات إعداد البيئة:

1. قم بتشغيل ./up.sh لبدء التشغيل.
2. أكمل تثبيت ووردبريس هنا: https://localhost:1337/wp-admin/install.php.
3. سجّل الدخول إلى ووردبريس.
4. انتقل إلى "الإضافات": https://localhost:1337/wp-admin/plugins.php.
5. انقر على "تفعيل" أسفل إضافة "Jetpack". لا تقم بتحديثها، لأننا نحتاج إلى الإصدار الهش.
6. انتقل إلى "Jetpack" > "الإعدادات" > "الكتابة" وفي قسم "التكوين"، فعّل "Jetpack Blocks يمنحك القدرة على تقديم محتوى عالي الجودة يجذب زوار الموقع دون الحاجة إلى توظيف مطور أو تعلّم سطر واحد من البرمجة.".
7. أنشئ صفحة جديدة في ووردبريس وأضف عنصر "نموذج الاتصال".
8. قم بزيارة الصفحة التي أنشأتها واستخدم نموذج الاتصال لإضافة الملاحظات.

سيُطلق على الحاوية اسم vuln-wp-jetpack.

لإيقاف البيئة (teardown) استخدم الأمر ./down.sh أو الأمر ./down_and_delete.sh لإزالة الصور وحجم قاعدة البيانات أيضًا.

السبب الجذري

بالنظر إلى الإصلاح، من السهل فهم أن الفحص الوحيد الذي يتم إجراؤه بواسطة كل من الطريقتين get_items_permissions_check() و get_item_permissions_check() هو عضوية المستخدم في المدونة.

كلا الطريقتين مُعلنتان في الصنف Contact_Form_Endpoint الموجود في الملف automattic/jetpack-forms/src/contact-form/class-contact-form-endpoint.php. وكما يقول التعليق في بداية الصنف، هذا الصنف يُستخدم...

كمعامل rest_controller_class عند تسجيل نوع المنشور feedback في \Automattic\Jetpack\Forms\ContactForm\Contact_Form

يمكن ملاحظة ذلك في الملف automattic/jetpack-forms/src/contact-form/class-contact-form-plugin.php في السطر 201، حيث يتم تسجيل نوع المنشور المخصص feedback.

يمكن استرجاع الأنواع المتاحة عبر REST APIs بطلب مثل التالي.

GET /?rest_route=/wp/v2/types

يحتوي الرد على النوع feedback.

الاستغلال

لاستغلال الثغرة، يكفي طلب مثل التالي.

GET /?rest_route=/wp/v2/feedback

يجب أن يحتوي الطلب على ترويسة Authorization تحتوي على كلمة مرور التطبيق مثل التالية.

Authorization: Basic eW91cl91c2VybmFtZTp5b3VyX2FwcGxpY2F0aW9uX3Bhc3N3b3Jk

يمكن العثور على سكربت استغلال بلغة بايثون هنا.

المؤلفون

• Antonio Francesco Sardella - التنفيذ - m3ssap0

الرخصة

هذا المشروع مرخّص بموجب رخصة Unlicense - راجع ملف LICENSE للحصول على التفاصيل.

الشكر والتقدير

• Marc Montpas، الباحث الأمني الذي اكتشف الثغرة.