PHPMailer < 5.2.18 Remote-Codeausführung
PHPMailer ist die weltweit beliebteste Transportklasse mit schätzungsweise 9 Millionen Nutzern weltweit. Täglich werden weiterhin erhebliche Downloads verzeichnet. Wird von vielen Open-Source-Projekten verwendet: WordPress, Drupal, 1CRM, SugarCRM, Yii, Joomla! und vielen weiteren.
PHPMailer vor Version 5.2.18 weist eine Schwachstelle auf, die zu Remote-Code-Ausführung (RCE) führen kann. Die mailSend-Funktion im isMail-Transport in PHPMailer könnte es Angreifern, wenn die Sender-Eigenschaft nicht gesetzt ist, ermöglichen, zusätzliche Parameter an den mail-Befehl zu übergeben und dadurch beliebigen Code über ein \" (Backslash-Doppelzeichen) in einer manipulierten From-Adresse auszuführen.
Um eine angreifbare Umgebung für Ihren Test einzurichten, benötigen Sie Docker und führen Sie einfach den folgenden Befehl aus:
docker run --rm -it -p 8080:80 vulnerables/cve-2016-10033
Und es wird eine angreifbare Webanwendung auf Ihrem Host auf Port 8080 bereitstellen.
Um dieses Ziel auszunutzen, führen Sie einfach aus:
./exploit host:port
Wenn Sie dieses angreifbare Image verwenden, können Sie einfach ausführen:
./exploit localhost:8080
Nach der Ausnutzung wird eine Datei namens backdoor.php im Stammverzeichnis des Webverzeichnisses gespeichert. Und der Exploit gibt Ihnen eine Shell, von der aus Sie Befehle an die Backdoor senden können:
./exploit.sh localhost:8080
[+] CVE-2016-10033 exploit by opsxcq
[+] Exploiting localhost:8080
[+] Target exploited, acessing shell at http://localhost:8080/backdoor.php
[+] Checking if the backdoor was created on target system
[+] Backdoor.php found on remote system
[+] Running whoami
www-data
RemoteShell>
Und das war's, Sie haben Ihre Shell. Es gibt einen weiteren Exploit, der einen anderen Anwendungsfall veranschaulicht.
./deface.sh localhost:8080
[+] CVE-2016-10033 exploit by opsxcq
[+] Exploiting localhost:8080
[+] Target exploited, acessing shell at http://localhost:8080/backdoor.php
[+] Checking if the backdoor was created on target system
[+] Backdoor.php found on remote system
[+] Placing your message in the server
[+] Job done, exiting
Und wenn Sie die Seite erneut besuchen, werden Sie Folgendes sehen:
Vor diesem Commit in class.phpmailer.php gibt es in einem bestimmten Szenario keine Filterung der Sonderzeichen in der Absender-E-Mail-Adresse. Diese Schwachstelle kann zu einer Remote-Code-Ausführung über die mail-Funktion hier führen.
Bei der Analyse des Codes gibt es keine Filterung in der mailSend()-Funktion
$params = null;
//This sets the SMTP envelope sender which gets turned into a return-path header by the receiver
if (!empty($this->Sender)) {
$params = sprintf('-f%s', $this->Sender);
}
$this->Sender wird direkt an die Variable $params angehängt, die in der Funktion validateAddress() gefiltert wurde, aber da sie die RFC 3696-Spezifikation verwendet, erlaubt sie bestimmte Zeichen, die Probleme verursachen. In diesem Fall Anführungszeichen:
Zusätzlich zur Zeichensetzung mit Backslash können konventionelle doppelte Anführungszeichen verwendet werden, um Zeichenfolgen zu umschließen. Zum Beispiel
"Abc@def"@example.com
"Fred Bloggs"@example.comsind alternative Formen der ersten beiden Beispiele oben. Diese zitierten Formen werden selten empfohlen und sind in der Praxis ungewöhnlich, müssen aber, wie oben besprochen, von Anwendungen unterstützt werden, die E-Mail-Adressen verarbeiten. Insbesondere erscheinen die zitierten Formen oft im Zusammenhang mit Adressen bei Übergängen von anderen Systemen und Kontexten; diese Übergangsanforderungen treten immer noch auf, und da ein System, das eine benutzerdefinierte E-Mail-Adresse akzeptiert, nicht "wissen" kann, ob diese Adresse mit einem Legacy-System verbunden ist, müssen die Adressformen akzeptiert und in die E-Mail-Umgebung übergeben werden.
Sie können die gesamte RFC hier lesen, wenn Sie möchten. Aber auch, wenn die PHP-Version kleiner als 5.2.0 ist und kein PCRE installiert ist, wird die Variable $patternselect in validateAddress() auf noregex gesetzt. Dies führt dazu, dass die Eingabe jede Regex-Prüfung umgehen kann. Sie durchläuft nur eine kleine Überprüfung:
case 'noregex':
//No PCRE! Do something _very_ approximate!
//Check the address is 3 chars or longer and contains an @ that's not the first or last char
return (strlen($address) >= 3
and strpos($address, '@') >= 1
and strpos($address, '@') != strlen($address) - 1);
Dann geht der Codefluss zur mailPassthru()-Funktion, die, wenn sie im safe_mode läuft, nicht anfällig für diese Schwachstelle ist, wie der folgende Code zeigt:
//Can't use additional_parameters in safe_mode
//@link http://php.net/manual/en/function.mail.php
if (ini_get('safe_mode') or !$this->UseSendmailOptions or is_null($params)) {
$result = @mail($to, $subject, $body, $header);
} else {
$result = @mail($to, $subject, $body, $header, $params);
}
Aber wenn es nicht im safe_mode läuft, wird unser spezieller Parameter an mail() übergeben, und wenn wir Glück haben, wird es unsere Datei mit dem gewünschten Inhalt an den von uns gewählten Ort schreiben.
Die Ausnutzung der PHP-mail()-Funktion ist nichts Neues, aber sie ist immer noch lebendig und wird weiterhin verwendet. Um zu erklären, wie es funktioniert, schauen wir uns an, wie die mail()-Funktion definiert ist:
bool mail ( string $to , string $subject , string $message [, string $additional_headers [, string $additional_parameters ]] )
Es gibt verschiedene Ausnutzungsmethoden für unterschiedliche Ergebnisse, wir konzentrieren uns auf die Ausnutzung des 5. Parameters, um Remote-Code-Ausführung (RCE) zu erreichen. Der Parameter $additional_parameters wird verwendet, um zusätzliche Flags als Befehlszeilenoptionen an das zum Senden der E-Mail konfigurierte Programm zu übergeben. Diese Konfiguration wird durch die Variable sendmail_path definiert.
Ein Sicherheitshinweis aus der offiziellen PHP-Dokumentation: