wordpress-jetpack-broken-access-control-vulnerable-application

Esta es una aplicación vulnerable para probar el exploit del control de acceso roto Jetpack < 13.9.1 (CVE-2024-9926).

¡ADVERTENCIA!

Esta aplicación contiene vulnerabilidades de seguridad graves. ¡Ejecútela bajo su propio riesgo! Se recomienda usar un entorno respaldado y aislado (como una máquina virtual con una instantánea reciente y red solo anfitrión). No suba esta aplicación a ningún servidor expuesto a Internet, ya que se verán comprometidos.

DESCARGO DE RESPONSABILIDAD: No me hago responsable de la forma en que alguien utilice esta aplicación. El único propósito de esta aplicación es ser un escenario de prueba para el exploit del control de acceso roto de Jetpack < 13.9.1 (CVE-2024-9926) y no debe usarse de manera maliciosa. Si su servidor se ve comprometido a través de una instalación de esta aplicación, no es mi responsabilidad, es la responsabilidad de la(s) persona(s) que la subieron e instalaron.

Información de la vulnerabilidad

• CVE-ID: CVE-2024-9926
• Enlace: https://www.cve.org/CVERecord?id=CVE-2024-9926
• Descripción: Esta vulnerabilidad podría ser utilizada por cualquier usuario autenticado en un sitio para leer los formularios enviados por los visitantes del sitio.
• Enlace del proveedor: https://jetpack.com/blog/jetpack-13-9-1-critical-security-update/
• Corrección: https://github.com/Automattic/jetpack-production/commit/18605ae8cdc7438c2088336c51f3db8d6a5b90fd
• PoC oficial: https://wpscan.com/vulnerability/669382af-f836-4896-bdcb-5c6a57c99bd9/

Uso

Estos son los pasos para configurar el entorno:

1. Ejecute ./up.sh para iniciar la composición.
2. Complete la instalación de WordPress aquí: https://localhost:1337/wp-admin/install.php.
3. Inicie sesión en WordPress.
4. Vaya a "Plugins": https://localhost:1337/wp-admin/plugins.php.
5. Haga clic en "Activar" debajo del plugin "Jetpack". NO LO ACTUALICE, ya que necesitamos la versión vulnerable.
6. Vaya a "Jetpack" > "Ajustes" > "Escritura" y, en la sección "Composición", active "Jetpack Blocks te da el poder de ofrecer contenido de calidad que enganche a los visitantes del sitio web sin necesidad de contratar a un desarrollador o aprender una sola línea de código.".
7. Cree una nueva página en WordPress añadiendo un elemento "Formulario de contacto".
8. Visite la página creada y use el formulario de contacto para generar comentarios.

El contenedor se llamará vuln-wp-jetpack.

Para desmontar el entorno use el comando ./down.sh o el comando ./down_and_delete.sh para también eliminar imágenes y el volumen de la base de datos.

Causa raíz

Echando un vistazo a la corrección, es trivial entender que la única verificación realizada, por ambos métodos get_items_permissions_check() y get_item_permissions_check(), es la pertenencia del usuario al blog.

Ambos métodos se declaran en la clase Contact_Form_Endpoint del archivo automattic/jetpack-forms/src/contact-form/class-contact-form-endpoint.php. Como dice el comentario al inicio de la clase, esta clase es...

Usado como parámetro rest_controller_class cuando el tipo de publicación feedback se registra en \Automattic\Jetpack\Forms\ContactForm\Contact_Form

Esto se puede ver en el archivo automattic/jetpack-forms/src/contact-form/class-contact-form-plugin.php en la línea 201, donde se registra el tipo de publicación personalizada feedback.

Los tipos disponibles se pueden recuperar a través de las API REST con una solicitud como la siguiente.

GET /?rest_route=/wp/v2/types

La respuesta contiene el tipo feedback.

Exploit

Para explotar la vulnerabilidad, una solicitud como la siguiente es suficiente.

GET /?rest_route=/wp/v2/feedback

La solicitud debe contener un encabezado de autorización con una Contraseña de aplicación como la siguiente.

Authorization: Basic eW91cl91c2VybmFtZTp5b3VyX2FwcGxpY2F0aW9uX3Bhc3N3b3Jk

Se puede encontrar un script de exploit en Python aquí.

Autores

• Antonio Francesco Sardella - implementación - m3ssap0

Licencia

Este proyecto está licenciado bajo Unlicense - consulte el archivo LICENSE para más detalles.

Agradecimientos

• Marc Montpas, el investigador de seguridad que descubrió la vulnerabilidad.