CVE-2023-3452-PoC - Wordpress Plugin Canto < 3.0.5 - Remote File Inclusion (RFI) - Remote Code Execution (RCE) - Unauthenticated

Hier erklären wir einen PoC der aktuellen RFI (Remote File Inclusion) Schwachstelle des Canto Wordpress-Plugins und haben einen Exploit entwickelt, um die Ausführung von Befehlen zu automatisieren.

„Das Canto-Plugin für WordPress ist anfällig für Remote File Inclusion in Versionen bis einschließlich 3.0.4 über den Parameter 'wp_abspath'. Dies ermöglicht es nicht authentifizierten Angreifern, beliebigen entfernten Code auf dem Server einzuschleusen und auszuführen, sofern allow_url_include aktiviert ist. Local File Inclusion ist ebenfalls möglich, jedoch weniger nützlich, da der Angreifer in der Lage sein muss, eine bösartige PHP-Datei per FTP oder auf andere Weise in ein vom Webserver lesbares Verzeichnis hochzuladen.“ (https://nvd.nist.gov/vuln/detail/CVE-2023-3452)

Dieser Exploit nutzt einen Fehler im Parameter wp_abspath, wie in der folgenden Codezeile in includes/lib/download.php zu sehen ist:

...

require_once($_REQUEST['wp_abspath'] . '/wp-admin/admin.php');

...

Um diese Schwachstelle auszunutzen, muss außerdem der Parameter allow_url_include=On in der PHP-Konfiguration aktiviert sein.

Es ist möglich, Anfragen mit diesem Parameter zu stellen, die auf unseren Webserver verweisen, von dem aus PHP-Code interpretiert wird. Wenn wir beispielsweise die folgende Anfrage stellen, können wir überprüfen, dass die Anfrage auf unserem Server eingeht: