CVE-2019-9053 — Unauthenticated SQL Injection in CMS Made Simple

Descripción

CVE-2019-9053 es una vulnerabilidad de inyección SQL time-based blind que afecta a CMS Made Simple en versiones ≤ 2.2.9. No requiere autenticación.

El parámetro vulnerable es m1_idlist en el módulo News (moduleinterface.php). Un atacante puede explotarlo para extraer el hash de la contraseña del administrador, su nombre de usuario, correo electrónico y el salt utilizado para el hash.

El esquema de almacenamiento de contraseñas es MD5(salt + password), donde el salt tiene 8 bytes. Esto permite, una vez obtenidos el hash y el salt, intentar crackear la contraseña offline con herramientas como hashcat o John the Ripper.

CVSS 3.1: 7.5 (HIGH) — AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Detalles Técnicos

Exploit

Autor original

Daniele Scanu — @Certimeter Group

El exploit original se encuentra en Exploit-DB #46635.

Requisitos

• Python 2.7
• requests, termcolor

pip2 install requests termcolor

Uso

# Extraer credenciales (salt, usuario, email, password hash)
python 46635.py -u http://target/cmsms

# Extraer credenciales e intentar crackear la contraseña con un wordlist
python 46635.py -u http://target/cmsms --crack -w /path/to/rockyou.txt

Parámetros

Funcionamiento

El exploit envía peticiones HTTP con payloads SQL que contienen SLEEP() para determinar caracter por caracter:

1. Salt: Extrae el salt de cms_siteprefs donde sitepref_name = 'sitemask'
2. Username: Extrae el username de cms_users donde user_id = 1
3. Email: Extrae el email del primer usuario administrador
4. Password hash: Extrae el hash de cms_users
5. Cracking (opcional): Prueba cada línea del wordlist contra MD5(salt + password)

Ejemplo de salida

[+] Salt for password found: 5a599ef579066807
[+] Username found: jkr
[+] Email found: [email protected]
[+] Password found: 62def4866937f08cc13bab43bb14e6f7

Mitigación

• Actualizar CMS Made Simple a la versión ≥ 2.2.10
• Si no es posible actualizar, deshabilitar el módulo News o restringir el acceso a moduleinterface.php

Referencias

• NVD — CVE-2019-9053
• Exploit-DB #46635
• CVE Mitre