CVE-2020-23839

CVE-2020-23839 | GetSimple CMS v3.3.16 - XSS reflété vers RCE

Auteur de l'exploit: Bobby Cooke (boku)

Statistiques de la vulnérabilité

• OWASP Top Ten 2017: A7:2017-Cross-Site Scripting (XSS)
• CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') - Type 1: XSS reflété
• CVSS Score de base: 6.1 MOYEN
• CVSS v3.1 Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
• https://nvd.nist.gov/vuln/detail/CVE-2020-23839
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-23839

Analyse de la vulnérabilité & Divulgation complète du problème

• https://github.com/GetSimpleCMS/GetSimpleCMS/issues/1330

Description de la vulnérabilité:

• GetSimple CMS v3.3.16 souffre d'un XSS reflété sur le portail de connexion de l'administrateur. Le 12 août 2020, le fournisseur a reçu les détails complets de la vulnérabilité par courriel privé. La vulnérabilité a été divulguée publiquement le 13 septembre 2020 via MITRE avec la publication de CVE-2020-23839, qui contenait peu de détails et aucune preuve de concept. Le 20 janvier 2021, la divulgation complète et l'analyse du code ont été rendues publiques dans le ticket de problèmes actifs de GetSimple CMS sur GitHub.

Description de l'exploit:

• Cet exploit crée une charge utile XSS reflétée, sous forme d'hyperlien, qui exploite CVE-2020-23839. Lorsqu'un administrateur du système GetSimple CMS visite cette URL dans son navigateur et saisit ses identifiants, une chaîne d'attaque sophistiquée est lancée, permettant à l'attaquant distant d'obtenir une exécution de code à distance (RCE) sur le serveur qui héberge le système GetSimple CMS.

Chaîne d'attaque:

1. L'attaquant trompe l'administrateur de GetSimple CMS pour qu'il se rende à l'URL fournie par cet exploit
2. L'administrateur saisit ensuite ses identifiants dans le portail de connexion de GetSimple CMS
3. La charge utile XSS reflétée déclenche l'action lorsque l'administrateur clique sur le bouton Soumettre ou appuie sur Entrée
4. La charge utile XSS effectue une requête XHR POST en arrière-plan, ce qui connecte le navigateur au panneau d'administration de GetSimple CMS
5. La charge utile XSS effectue ensuite une deuxième requête XHR GET vers admin/edit-theme.php, et collecte le jeton CSRF et le thème configuré pour les pages web hébergées sur le CMS
6. La charge utile XSS effectue ensuite une troisième requête XHR POST vers admin/edit-theme.php, qui injecte une porte dérobée PHP WebShell dans toutes les pages du CMS
7. L'exploit tente de se connecter de manière répétée à la page publique /index.php du système GetSimple CMS cible jusqu'à ce qu'un WebShell soit renvoyé
8. Lorsque l'exploit se connecte au WebShell, un WebShell PHP interactif apparaît dans la console de l'attaquant

Informations du fournisseur

• Vendor Homepage: http://get-simple.info/download/