wordpress-jetpack-broken-access-control-vulnerable-application

Ceci est une application vulnérable pour tester l'exploit du contrôle d'accès défaillant de Jetpack < 13.9.1 (CVE-2024-9926).

ATTENTION !

Cette application contient des vulnérabilités de sécurité graves. Utilisez-la à vos propres risques ! Il est recommandé de l'utiliser dans un environnement sauvegardé et isolé (comme une machine virtuelle avec un snapshot récent et un réseau hôte uniquement). Ne téléchargez pas cette application sur des serveurs accessibles depuis Internet, car ils seront compromis.

AVERTISSEMENT : Je décline toute responsabilité quant à l'utilisation que quiconque pourrait faire de cette application. Le seul but de cette application est de servir de scénario de test pour l'exploit du contrôle d'accès défaillant de Jetpack < 13.9.1 (CVE-2024-9926) et elle ne doit pas être utilisée de manière malveillante. Si votre serveur est compromis via l'installation de cette application, cela n'est pas de ma responsabilité, mais de celle de la ou des personnes qui l'ont téléchargée et installée.

Informations sur la vulnérabilité

• CVE-ID : CVE-2024-9926
• Lien : https://www.cve.org/CVERecord?id=CVE-2024-9926
• Description : Cette vulnérabilité pourrait être utilisée par tout utilisateur connecté à un site pour lire les formulaires soumis par les visiteurs sur le site.
• Lien du fournisseur : https://jetpack.com/blog/jetpack-13-9-1-critical-security-update/
• Correctif : https://github.com/Automattic/jetpack-production/commit/18605ae8cdc7438c2088336c51f3db8d6a5b90fd
• PoC officiel : https://wpscan.com/vulnerability/669382af-f836-4896-bdcb-5c6a57c99bd9/

Utilisation

Voici les étapes pour configurer l'environnement :

1. Lancez ./up.sh pour démarrer la composition.
2. Terminez l'installation de WordPress ici : https://localhost:1337/wp-admin/install.php.
3. Connectez-vous à WordPress.
4. Allez dans « Plugins » : https://localhost:1337/wp-admin/plugins.php.
5. Cliquez sur « Activate » sous le plugin « Jetpack ». NE LE METTEZ PAS À JOUR, car nous avons besoin de la version vulnérable.
6. Allez dans « Jetpack » > « Settings » > « Writing » et, dans la section « Composing », activez « Jetpack Blocks give you the power to deliver quality content that hooks website visitors without needing to hire a developer or learn a single line of code. ».
7. Créez une nouvelle page dans WordPress en ajoutant un élément « Contact Form ».
8. Visitez la page créée et utilisez le formulaire de contact pour générer des retours.

Le conteneur s'appellera vuln-wp-jetpack.

Pour démonter l'environnement, utilisez la commande ./down.sh ou ./down_and_delete.sh pour également supprimer les images et le volume de la base de données.

Cause racine

En regardant le correctif, il est trivial de comprendre que la seule vérification effectuée, à la fois par les méthodes get_items_permissions_check() et get_item_permissions_check(), est l'appartenance de l'utilisateur au blog.

Les deux méthodes sont déclarées dans la classe Contact_Form_Endpoint du fichier automattic/jetpack-forms/src/contact-form/class-contact-form-endpoint.php. Comme le dit le commentaire au début de la classe, cette classe est...

Utilisée comme paramètre rest_controller_class lorsque le type de publication feedback est enregistré dans \Automattic\Jetpack\Forms\ContactForm\Contact_Form

Cela peut être vu dans le fichier automattic/jetpack-forms/src/contact-form/class-contact-form-plugin.php à la ligne 201, où le type de publication personnalisé feedback est enregistré.

Les types disponibles peuvent être récupérés via les API REST avec une requête comme la suivante.

GET /?rest_route=/wp/v2/types

La réponse contient le type feedback.

Exploit

Pour exploiter la vulnérabilité, une requête comme la suivante est suffisante.

GET /?rest_route=/wp/v2/feedback

La requête doit contenir un en-tête d'autorisation avec un Application Password comme ceci.

Authorization: Basic eW91cl91c2VybmFtZTp5b3VyX2FwcGxpY2F0aW9uX3Bhc3N3b3Jk

Un script d'exploit en Python peut être trouvé ici.

Auteurs

• Antonio Francesco Sardella - implémentation - m3ssap0

Licence

Ce projet est sous licence Unlicense - voir le fichier LICENSE pour plus de détails.

Remerciements

• Marc Montpas, le chercheur en sécurité qui a découvert la vulnérabilité.