CVE-2023-27372 — RCE sin autenticación en SPIP < 4.2.1 (PoC)

Vulnerabilidad de ejecución remota de código sin autenticación en SPIP anterior a 4.2.1. El parámetro oubli en el formulario de restablecimiento de contraseña es vulnerable a la inyección de objetos PHP debido a una deserialización mal gestionada. Una carga útil serializada especialmente diseñada se ejecuta en el servidor como el usuario web, y la salida se refleja en la respuesta dentro del valor del campo de entrada oubli.

Cómo funciona

1. Recupera el token anti-CSRF de /spip.php?page=spip_pass.
2. Envía una solicitud POST con una carga útil serializada de PHP inyectada en el parámetro oubli.
3. Extrae la salida del comando del atributo value reflejado en la respuesta.
4. Itera para la ejecución interactiva de comandos, renovando el token CSRF en cada solicitud.

Requisitos

• Python 3
• Instala las dependencias:

python3 -m venv venv
source venv/bin/activate
python3 -m pip install requests beautifulsoup4 prompt_toolkit

Uso

python3 exploit.py -u http://TARGET/spip

Ejemplo:

$ python3 exploit.py -u http://10.10.10.10/spip
[*] Fetching anti-CSRF token...
[*] Testing command execution...
[+] Target is vulnerable! Output: uid=33(www-data) gid=33(www-data) groups=33(www-data)
[+] Shell opened. Type 'exit' or Ctrl+C to quit.

Shell> whoami
www-data

Referencias

• CVE-2023-27372
• PoC original por nuts7
• Notas de la versión de SPIP

Créditos

• Descubrimiento y exploit original: nuts7
• Limpieza y shell interactiva: Esteban Zárate