CVE-2019-9194 — Inyección de Comandos en elFinder (PoC)

Vulnerabilidad de inyección de comandos en elFinder <= 2.1.47 a través del componente conector PHP. Permite ejecución remota de código sin autenticación como el usuario del servidor web.

Cómo funciona

• Sube un JPEG válido con un nombre de archivo malicioso que contiene un comando de shell.
• Desencadena la vulnerabilidad solicitando una rotación de imagen, que pasa el nombre de archivo a exiftran sin sanitización.
• El comando inyectado escribe una webshell PHP (SecSignal.php) en el servidor.
• Se conecta a la webshell y accede a un shell interactivo.

Requisitos

• Python 3
• librería requests (pip install requests)
• El objetivo debe tener exiftran instalado y el conector PHP de elFinder habilitado (connector.minimal.php)

Uso

python3 exploit.py http://TARGET

Ejemplo:

$ python3 exploit.py http://10.10.10.10/elFinder
[*] Uploading malicious image...
[*] File uploaded, hash: l1_U2VjU2lnbmFsLmpwZw
[*] Triggering command injection via image rotation...
[*] Checking for webshell...
[+] Pwned!
[+] Interactive shell (Ctrl+C to exit)

$ id
uid=33(www-data) gid=33(www-data) groups=33(www-data)

Referencias

• CVE-2019-9194
• EDB-46481
• Informe de vulnerabilidad — SecSignal
• Versión 2.1.48 de elFinder (corrección)

Créditos

• Descubrimiento: Thomas Chauchefoin
• Exploit original: @q3rv0
• Puerto a Python 3 y mejoras estilo Metasploit: Esteban Zárate