CVE-2019-11231

Zusammenfassung

Eine Schwachstelle wurde in GetSimple CMS bis einschließlich 3.3.15 entdeckt. Eine unzureichende Eingabebereinigung in der Datei theme-edit.php erlaubt das Hochladen von Dateien mit beliebigem Inhalt (z. B. PHP-Code). Diese Schwachstelle wird durch einen authentifizierten Benutzer ausgelöst; die Authentifizierung kann jedoch umgangen werden. Gemäß der offiziellen Dokumentation zu Installationsschritt 10 muss ein Administrator alle Dateien hochladen, einschließlich der .htaccess-Dateien, und einen Health Check durchführen. Dabei wird jedoch übersehen, dass der Apache HTTP Server standardmäßig die AllowOverride-Direktive nicht mehr aktiviert, was zur Offenlegung des Passworts in data/users/admin.xml führt. Die Passwörter sind gehasht, aber dies kann umgangen werden, indem man mit dem API-Schlüssel aus data/other/authorization.xml beginnt. Dies ermöglicht es, den Sitzungszustand anzugreifen, da sie sich entschieden haben, eine eigene Implementierung zu entwickeln. Der cookie_name ist eine konstruierte Information, die vom Frontend (Seitenname und Version) abgeleitet werden kann. Wenn jemand den API-Schlüssel und den Admin-Benutzernamen preisgibt, kann er die Authentifizierung umgehen. Dazu muss er ein Cookie bereitstellen, das auf einer SHA-1-Berechnung dieser bekannten Informationen basiert. Die Schwachstelle befindet sich in der Datei admin/theme-edit.php. Diese Datei prüft Formularübermittlungen über POST-Anfragen sowie den CSRF-Nonce. Wenn der gesendete Nonce korrekt ist, wird die vom Benutzer bereitgestellte Datei hochgeladen. Es gibt eine Pfad-Traversal-Schwachstelle, die Schreibzugriff außerhalb des eingeschränkten themes-Verzeichnisstamms ermöglicht. Die Ausnutzung des Pfad-Traversals ist nicht erforderlich, da die .htaccess-Datei ignoriert wird. Ein beitragender Faktor ist, dass vor dem Speichern der Datei keine weitere Prüfung der Dateierweiterung erfolgt, da angenommen wird, dass der Parameterinhalt sicher ist. Dies ermöglicht die Erstellung von über das Web zugänglichen und ausführbaren Dateien mit beliebigem Inhalt.

• CVE-2019-11231-PoC