CVE-2018-11686

CVE-2018-11686 - ثغرة تنفيذ الأوامر عن بُعد في FlexPaper PHP Publish Service <= 2.3.6

اكتُشفت بواسطة Red Timmy Security

التحليل الفني:

• https://www.exploit-db.com/docs/english/46521-flexpaper-=-2.3.6-remote-code-execution-whitepaper.pdf

النشرة الأمنية:

• غير معروفة

إثبات المفهوم:

1. حذف ملفات الإعدادات

الملف change_config.php في FlexPaper (PHP) لا يتحقق مما إذا كان المسؤول مصادقًا عليه بشكل صحيح، مما يسمح للمهاجم بحذف ملفات عشوائية على الخادم:

• يوضح الخط الأصفر المكان الذي يجب أن يوضع فيه التحقق من المصادقة
• توضح الخطوط الحمراء المسار الذي يسلكه المهاجم لحذف الملفات على الخادم باستخدام دالة unlink في PHP

يمكن للمهاجم صياغة طلب مثل هذا وحذف الملفات في المجلد الذي يختاره:

POST /flexpaper/php/change_config.php HTTP/1.1
Host: 127.0.0.1:8888
[...]

SAVE_CONFIG=1&SWF_Directory=config/

بهذا الطلب، يحذف المهاجم جميع الملفات في مجلد config.

2. إعداد ملف إعدادات جديد

بما أن جميع الملفات في مجلد config/ قد حُذفت، فإن FlexPaper سيعتقد أن التطبيق لم تتم تهيئته من قبل:

لذلك يستطيع المهاجم إعداد FlexPaper مرة أخرى. ولكن لماذا؟

3. تنفيذ أمر عشوائي

داخل setup.php توجد دالة تسمى pdf2swfEnabled تستخدم أمر exec في PHP مع معلمة يمررها المستخدم عبر POST. وبما أن هذه هي مرحلة التهيئة (الخطوة 2.) لـ FlexPaper، فلا توجد أي مصادقة.

يمكن للمهاجم صياغة حمولة مثل: ?step=4&PDF2SWF_PATH=id; مما ينتج عنه exec(id; --version 2>&1).

4. الحصول على المخرجات

يمكن للمهاجم إعادة توجيه مخرجات الأمر إلى ملف داخل مجلد config ثم إرسال طلب GET لقراءة المخرجات:

الإصلاح

تمت إضافة التحقق من المصادقة في بداية الملف change_config.php