CVE-2023-27372 — SPIP < 4.2.1 RCE non authentifié (PoC)

Vulnérabilité d'exécution de code à distance non authentifiée dans SPIP avant 4.2.1. Le paramètre oubli du formulaire de réinitialisation de mot de passe est vulnérable à une injection d'objet PHP en raison d'une désérialisation mal gérée. Une charge utile sérialisée spécialement conçue est exécutée côté serveur en tant qu'utilisateur web, et la sortie est reflétée dans la réponse dans la valeur du champ de saisie oubli.

Comment ça fonctionne

1. Récupère le jeton anti-CSRF depuis /spip.php?page=spip_pass.
2. Envoie une requête POST avec une charge utile PHP sérialisée injectée dans le paramètre oubli.
3. Extrait la sortie de la commande depuis l'attribut value reflété dans la réponse.
4. Boucle pour une exécution interactive de commandes, en actualisant le jeton CSRF à chaque requête.

Prérequis

• Python 3
• Installer les dépendances :

python3 -m venv venv
source venv/bin/activate
python3 -m pip install requests beautifulsoup4 prompt_toolkit

Utilisation

python3 exploit.py -u http://TARGET/spip

Exemple :

$ python3 exploit.py -u http://10.10.10.10/spip
[*] Fetching anti-CSRF token...
[*] Testing command execution...
[+] Target is vulnerable! Output: uid=33(www-data) gid=33(www-data) groups=33(www-data)
[+] Shell opened. Type 'exit' or Ctrl+C to quit.

Shell> whoami
www-data

Références

• CVE-2023-27372
• PoC original de nuts7
• Notes de version de SPIP

Crédits

• Découverte et exploit original : nuts7
• Nettoyage et shell interactif : Esteban Zárate