wordpress-jetpack-broken-access-control-vulnerable-application

Dies ist eine anfällige Anwendung zum Testen des Exploits für die Jetpack < 13.9.1 Broken Access Control (CVE-2024-9926).

WARNUNG!

Diese Anwendung enthält schwerwiegende Sicherheitslücken. Verwenden Sie sie auf eigenes Risiko! Es wird empfohlen, eine gesicherte und abgeschottete Umgebung zu verwenden (z. B. eine VM mit einem aktuellen Snapshot und Host-Only-Netzwerk). Laden Sie diese Anwendung nicht auf Internet-verbundene Server hoch, da diese kompromittiert werden.

HAFTUNGSAUSSCHLUSS: Ich übernehme keine Verantwortung für die Art und Weise, wie jemand diese Anwendung nutzt. Der einzige Zweck dieser Anwendung besteht darin, ein Testszenario für den Exploit des Jetpack < 13.9.1 Broken Access Control (CVE-2024-9926) zu sein, und sie sollte nicht böswillig eingesetzt werden. Wenn Ihr Server durch die Installation dieser Anwendung kompromittiert wird, liegt dies nicht in meiner Verantwortung, sondern in der Verantwortung der Person(en), die sie hochgeladen und installiert haben.

Schwachstelleninformationen

• CVE-ID: CVE-2024-9926
• Link: https://www.cve.org/CVERecord?id=CVE-2024-9926
• Beschreibung: Diese Schwachstelle könnte von jedem angemeldeten Benutzer einer Website ausgenutzt werden, um von Besuchern übermittelte Formulare zu lesen.
• Anbieter-Link: https://jetpack.com/blog/jetpack-13-9-1-critical-security-update/
• Behebung: https://github.com/Automattic/jetpack-production/commit/18605ae8cdc7438c2088336c51f3db8d6a5b90fd
• Offizieller PoC: https://wpscan.com/vulnerability/669382af-f836-4896-bdcb-5c6a57c99bd9/

Verwendung

Hier sind die Schritte zur Einrichtung der Umgebung:

1. Starten Sie ./up.sh, um die Umgebung zu starten.
2. Schließen Sie die WordPress-Installation hier ab: https://localhost:1337/wp-admin/install.php.
3. Melden Sie sich bei WordPress an.
4. Gehen Sie zu "Plugins": https://localhost:1337/wp-admin/plugins.php.
5. Klicken Sie unter dem Plugin "Jetpack" auf "Aktivieren". AKTUALISIEREN SIE ES NICHT, da wir die anfällige Version benötigen.
6. Gehen Sie zu "Jetpack" > "Einstellungen" > "Schreiben" und aktivieren Sie im Abschnitt "Verfassen" die Option "Mit Jetpack-Blöcken können Sie qualitativ hochwertige Inhalte erstellen, die Website-Besucher fesseln, ohne einen Entwickler beauftragen oder auch nur eine einzige Zeile Code lernen zu müssen.".
7. Erstellen Sie eine neue Seite in WordPress und fügen Sie ein "Kontaktformular"-Element hinzu.
8. Besuchen Sie die erstellte Seite und nutzen Sie das Kontaktformular, um Rückmeldungen zu sammeln.

Der Container heißt vuln-wp-jetpack.

Zum Abbau der Umgebung verwenden Sie den Befehl ./down.sh oder ./down_and_delete.sh, um auch Images und das Datenbank-Volume zu entfernen.

Ursache

Ein Blick auf die Behebung macht deutlich, dass die einzige Prüfung, die sowohl von get_items_permissions_check() als auch von get_item_permissions_check() durchgeführt wird, die Mitgliedschaft des Benutzers im Blog ist.

Beide Methoden werden in der Klasse Contact_Form_Endpoint der Datei automattic/jetpack-forms/src/contact-form/class-contact-form-endpoint.php deklariert. Wie der Kommentar am Anfang der Klasse sagt, ist diese Klasse...

Wird als rest_controller_class-Parameter verwendet, wenn der feedback-Beitragstyp in \Automattic\Jetpack\Forms\ContactForm\Contact_Form registriert ist.

Dies ist in der Datei automattic/jetpack-forms/src/contact-form/class-contact-form-plugin.php in Zeile 201 zu sehen, wo der benutzerdefinierte Beitragstyp feedback registriert wird.

Die verfügbaren Typen können über REST-APIs mit einer Anfrage wie der folgenden abgerufen werden.

GET /?rest_route=/wp/v2/types

Die Antwort enthält den Typ feedback.

Exploit

Um die Schwachstelle auszunutzen, genügt eine Anfrage wie die folgende.

GET /?rest_route=/wp/v2/feedback

Die Anfrage muss einen Autorisierungs-Header mit einem Anwendungspasswort wie dem folgenden enthalten.

Authorization: Basic eW91cl91c2VybmFtZTp5b3VyX2FwcGxpY2F0aW9uX3Bhc3N3b3Jk

Ein Exploit-Skript in Python finden Sie hier.

Autoren

• Antonio Francesco Sardella - Implementierung - m3ssap0

Lizenz

Dieses Projekt ist unter der Unlicense lizenziert – siehe die Datei LICENSE für Details.

Danksagungen

• Marc Montpas, der Sicherheitsforscher, der die Schwachstelle entdeckt hat.