Ejecución Remota de Código en SoftExpert Excellence Suite 2.0 - CVE-2023-30330

Inclusión Local de Archivos Autenticada que deriva en Ejecución Remota de Código en SoftExpert Excellence Suite EQM.

CVE-2023-30330

• Versiones de SE Suite 2.x anteriores a la 2.1.3
• Probado en versiones: 2.0.15.31 y 2.0.15.115

PoC de LFI

https://github.com/Filiplain/LFI-to-RCE-SE-Suite-2.0/tree/main/PoC

1- Inclusión Local de Archivos:

El investigador pudo encontrar una función PHP "/se/v42300/generic/gn_defaultframe/2.0/defaultframe_filter.php" que incluye un archivo con extensión ".inc" en formato de codificación base64 a través del parámetro “managerPath” en una solicitud POST. Al cambiar el archivo “.inc” por, por ejemplo, “C:\windows\win.ini” y volver a convertirlo a base64, obtendremos ese archivo en el sistema.

El archivo PHP "defaultframe_filter.php" utiliza la función “require_once()” para incluir los archivos; esta función podría permitir que un atacante ejecute código remoto mediante la inclusión de logs envenenados.

2- Ejecución Remota de Código:

• Podemos incluir y leer los registros de errores de PHP.
• Podemos usar require_once() para ejecutar código PHP.
• Necesitamos insertar código PHP en los registros de errores.

Al analizar la función “user_action.php” al subir una nueva foto de perfil, podemos notar que cuando se sube una imagen no válida o maliciosa, la página mostrará un error 401. Después de provocar el error, puedes volver a leer los registros y ver que algunos parámetros, como la cabecera “Referer”, quedarán registrados. Sabiendo esto, podemos inyectar código PHP en la cabecera “Referer”.

Después de intentar subir la imagen maliciosa e inyectar código PHP en el Referer, podemos confirmar el envenenamiento de logs leyendo los registros.

Ahora podemos ejecutar comandos leyendo los registros. Comando: whoami