CVE-2019-9053 — Unauthhentifizierte SQL-Injection in CMS Made Simple

Beschreibung

CVE-2019-9053 ist eine time-based blind SQL-Injection-Schwachstelle, die CMS Made Simple in Versionen ≤ 2.2.9 betrifft. Sie erfordert keine Authentifizierung.

Der anfällige Parameter ist m1_idlist im Modul News (moduleinterface.php). Ein Angreifer kann ihn ausnutzen, um den Passwort-Hash des Administrators, dessen Benutzername, E-Mail-Adresse und das für den Hash verwendete Salt zu extrahieren.

Das Passwortspeicherschema ist MD5(salt + password), wobei das Salt 8 Bytes lang ist. Sobald Hash und Salt extrahiert sind, kann das Passwort offline mit Tools wie hashcat oder John the Ripper geknackt werden.

CVSS 3.1: 7.5 (HIGH) — AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Technische Details

Exploit

Originalautor

Daniele Scanu — @Certimeter Group

Der Original-Exploit befindet sich auf Exploit-DB #46635.

Voraussetzungen

• Python 2.7
• requests, termcolor

pip2 install requests termcolor

Verwendung

# Extraer credenciales (salt, usuario, email, password hash)
python 46635.py -u http://target/cmsms

# Extraer credenciales e intentar crackear la contraseña con un wordlist
python 46635.py -u http://target/cmsms --crack -w /path/to/rockyou.txt

Parameter

Funktionsweise

Der Exploit sendet HTTP-Anfragen mit SQL-Payloads, die SLEEP() enthalten, um Zeichen für Zeichen zu bestimmen:

1. Salt: Extrahiert das Salt aus cms_siteprefs wo sitepref_name = 'sitemask'
2. Username: Extrahiert den Benutzernamen aus cms_users wo user_id = 1
3. Email: Extrahiert die E-Mail des ersten Administrators
4. Password hash: Extrahiert den Hash aus cms_users
5. Cracking (optional): Testet jede Zeile der Wortliste gegen MD5(salt + password)

Beispielausgabe

[+] Salt for password found: 5a599ef579066807
[+] Username found: jkr
[+] Email found: [email protected]
[+] Password found: 62def4866937f08cc13bab43bb14e6f7

Mitigation

• Aktualisieren Sie CMS Made Simple auf Version ≥ 2.2.10
• Falls ein Update nicht möglich ist, deaktivieren Sie das News-Modul oder schränken Sie den Zugriff auf moduleinterface.php ein

Referenzen

• NVD — CVE-2019-9053
• Exploit-DB #46635
• CVE Mitre