CVE-2023-6063 — PoC de inyección SQL en WP Fastest Cache

Prueba de concepto (PoC) para CVE-2023-6063, una vulnerabilidad de inyección SQL ciega basada en tiempo y no autenticada que afecta a WP Fastest Cache ≤ 1.2.2.

La vulnerabilidad puede desencadenarse a través de la cookie wordpress_logged_in y puede permitir a un atacante inferir información sensible de la base de datos de WordPress, incluidos hashes de contraseñas y direcciones de correo electrónico.

Solo para pruebas de seguridad autorizadas y fines educativos.

Características

• Pruebas de inyección SQL ciega basadas en tiempo.

• Extracción de datos carácter por carácter mediante retrasos SLEEP() de SQL.

• Apuntar a un nombre de usuario de WordPress específico.

• Validación opcional del hash de contraseña.

• Extracción opcional de correo electrónico.

• Soporte para cookies personalizadas.

• Retraso de respuesta configurable.

• Modo de depuración para solución de problemas.

• Extracción selectiva mediante:

  • --just-hash
  • --just-email

Datos que se pueden extraer

Dependiendo de la configuración del objetivo y del contenido de la base de datos, la PoC puede extraer:

• Hashes de contraseñas de WordPress de wp_users.user_pass.
• Direcciones de correo electrónico asociadas de wp_users.user_email.

Requisitos

• Python 3.x
• Un objetivo que ejecute una versión vulnerable de WP Fastest Cache.
• Conectividad de red con el objetivo.
• Autorización para realizar pruebas de seguridad.

Instale las dependencias de Python necesarias:

pip install -r requirements.txt

Uso

Uso básico

python3 poc.py -u https://vulnerable-website.example --username admin --delay 5

Reemplace la URL de ejemplo por un sistema que esté explícitamente autorizado a probar.

Opciones de línea de comandos

-h, --help
    Muestra el mensaje de ayuda y sale.

-u URL, --url URL
    URL completa de la instalación de WordPress a probar.

--username USERNAME
    Especifica el nombre de usuario de WordPress cuya información debe probarse.

-d DELAY, --delay DELAY
    Retraso de respuesta utilizado para las pruebas basadas en tiempo.
    Predeterminado: 5 segundos.
    Mínimo: 2 segundos.

-H HASH, --hash HASH
    Hash a verificar contra la tabla wp_users.
    Si el hash contiene caracteres especiales, enciérrelo entre comillas simples.

--domain DOMAIN
    Dominio utilizado para la validación de correo electrónico.

-c COOKIE, --cookie COOKIE
    Especifica un nombre de cookie personalizado si el objetivo utiliza un contexto diferente.

--status-code STATUS_CODE
    Especifica el código de estado HTTP positivo esperado.
    Predeterminado: 200.

--debug
    Habilita salida de depuración adicional.

--just-hash
    Extrae solo el hash de la contraseña.

--just-email
    Extrae solo la dirección de correo electrónico.

Detalles técnicos

Descripción de la vulnerabilidad

CVE-2023-6063 afecta a las versiones de WP Fastest Cache ≤ 1.2.2.

La vulnerabilidad es una inyección SQL ciega no autenticada que puede desencadenarse a través de la cookie wordpress_logged_in.

El problema puede aprovecharse para realizar inferencias basadas en tiempo contra la base de datos de WordPress. Midiendo las diferencias en los tiempos de respuesta HTTP, los caracteres individuales de los valores de la base de datos pueden inferirse potencialmente sin recibir directamente los datos consultados en la respuesta HTTP.

Un ejemplo simplificado de la técnica subyacente es:

" AND (IF(
    (SELECT user_pass
     FROM wp_users
     WHERE user_login="admin") LIKE 'a%',
    SLEEP(5),
    0
))-- -

Si la condición probada se evalúa como verdadera, la base de datos introduce un retraso. Repetir este proceso con diferentes caracteres permite inferir información carácter por carácter.

Información de la vulnerabilidad

Vector de ataque

Explotabilidad

• Remoto: La vulnerabilidad puede desencadenarse a través de solicitudes HTTP.
• Autenticación: No se requiere autenticación de WordPress para desencadenar la vulnerabilidad.
• Complejidad: Relativamente baja cuando están presentes las condiciones vulnerables.

Impacto potencial

La información potencialmente expuesta incluye hashes de contraseñas de usuarios de WordPress y direcciones de correo electrónico.

Demostración

La siguiente demostración muestra la PoC utilizada contra un entorno de prueba autorizado:

Análisis del hash de contraseña

Cuando se ha obtenido legítimamente un hash de contraseña de WordPress durante una evaluación de seguridad autorizada, se pueden utilizar herramientas de auditoría de contraseñas como John the Ripper o Hashcat para evaluar la fortaleza de la contraseña.

Por ejemplo, con John the Ripper:

john --wordlist=/usr/share/wordlists/rockyou.txt hash.txt --format=phpass

Realice auditorías de contraseñas solo contra hashes que esté autorizado a poseer y probar.

Versiones afectadas

WP Fastest Cache:

≤ 1.2.2

Mitigación

La mitigación recomendada es actualizar WP Fastest Cache a una versión que contenga la corrección de seguridad.

Las medidas defensivas adicionales incluyen:

1. Mantener actualizados los plugins de WordPress.
2. Eliminar los plugins que ya no sean necesarios.
3. Implementar reglas de WAF adecuadas para detectar y bloquear intentos de inyección SQL.
4. Supervisar solicitudes sospechosas que contengan sintaxis SQL en las cookies HTTP.
5. Revisar las cuentas de usuario y las credenciales de WordPress tras una sospecha de compromiso.
6. Rotar las credenciales potencialmente expuestas cuando corresponda.

Recomendado: Actualizar WP Fastest Cache a 1.2.3 o posterior.

Referencias

• NIST NVD — CVE-2023-6063
• WordPress Plugin — WP Fastest Cache
• CVE Details — CVE-2023-6063

Aviso legal

Este proyecto se proporciona solo con fines educativos y de investigación de seguridad autorizada.

No utilice esta PoC contra sistemas, sitios web, aplicaciones o infraestructuras sin el permiso explícito del propietario.

El autor no se hace responsable del uso indebido, daños, pérdida de datos, acceso no autorizado o cualquier otra consecuencia derivada del uso de este software.

Pruebe únicamente sistemas que posea o para los que tenga autorización explícita de evaluar.

Licencia

Este proyecto se publica bajo la GNU General Public License v3.0 (GPLv3).