Exécution de code à distance dans SoftExpert Excellence Suite 2.0 - CVE-2023-30330

Inclusion locale de fichier authentifiée menant à une exécution de code à distance sur SoftExpert Excellence Suite EQM.

CVE-2023-30330

• Versions de SE Suite 2.x antérieures à 2.1.3
• Testé sur les versions : 2.0.15.31 et 2.0.15.115

PoC LFI

https://github.com/Filiplain/LFI-to-RCE-SE-Suite-2.0/tree/main/PoC

1- Inclusion locale de fichier :

Le chercheur a réussi à trouver une fonction PHP "/se/v42300/generic/gn_defaultframe/2.0/defaultframe_filter.php" qui inclut un fichier avec l'extension ".inc" dans un format d'encodage base64 via le paramètre “managerPath” d'une requête POST. En remplaçant le fichier “.inc” par exemple par “C:\windows\win.ini” et en le reconvertissant en base64, on obtient ce fichier sur le système.

Le fichier PHP "defaultframe_filter.php" utilise la fonction “require_once()” pour inclure les fichiers ; cette fonction pourrait permettre à un attaquant d'exécuter du code à distance en incluant des journaux empoisonnés.

2- Exécution de code à distance :

• Nous pouvons inclure et lire les journaux d'erreurs PHP.
• Nous pouvons utiliser require_once() pour exécuter du code PHP.
• Nous devons insérer du code PHP dans les journaux d'erreurs.

En analysant la fonction “user_action.php” lors du téléversement d'une nouvelle photo de profil, on peut remarquer que lorsque vous téléversez une image invalide ou malveillante, la page renvoie une erreur 401. Après avoir provoqué l'erreur, vous pouvez relire les journaux et constater que certains paramètres comme l'en-tête “Referer” sont journalisés ; sachant cela, nous pouvons injecter du code PHP dans l'en-tête “Referer”.

Après avoir tenté de téléverser l'image malveillante et d'injecter le code PHP dans le Referer, nous pouvons confirmer l'empoisonnement des journaux en les lisant.

Nous pouvons maintenant exécuter des commandes en lisant les journaux. Commande : whoami