CVE-2018-11686

CVE-2018-11686 - Service de publication FlexPaper PHP RCE <= 2.3.6

découvert par Red Timmy Security

Analyse technique :

• https://www.exploit-db.com/docs/english/46521-flexpaper-=-2.3.6-remote-code-execution-whitepaper.pdf

Avis de sécurité :

• inconnu

Preuve de concept :

1. Suppression des fichiers de configuration

Le fichier change_config.php de FlexPaper (PHP) ne vérifie pas si l'administrateur est authentifié correctement, permettant à un attaquant de supprimer des fichiers arbitraires sur le serveur :

• La ligne jaune montre où la vérification de l'authentification devrait être placée
• Les lignes rouges montrent le chemin emprunté par un attaquant pour supprimer des fichiers sur le serveur en utilisant la fonction PHP unlink

Un attaquant peut élaborer une requête comme celle-ci et supprimer des fichiers dans le dossier de son choix :

POST /flexpaper/php/change_config.php HTTP/1.1
Host: 127.0.0.1:8888
[...]

SAVE_CONFIG=1&SWF_Directory=config/

Avec cette requête, un attaquant supprime tous les fichiers du répertoire config.

2. Configurer un nouveau fichier de configuration

Puisque tous les fichiers du dossier config/ sont supprimés, FlexPaper pensera que l'application n'a jamais été initialisée :

Par conséquent, un attaquant peut à nouveau configurer FlexPaper. Mais pourquoi ?

3. Exécution de commande arbitraire

À l'intérieur de setup.php, il y a une fonction appelée pdf2swfEnabled qui utilise la commande exec en PHP avec un paramètre passé en POST par l'utilisateur. Comme il s'agit de l'initialisation (étape 2.) de FlexPaper, il n'y a pas d'authentification.

Un attaquant peut élaborer une charge utile comme celle-ci : ?step=4&PDF2SWF_PATH=id; résultant en exec(id; --version 2>&1).

4. Récupération de la sortie

L'attaquant peut rediriger la sortie de la commande vers un fichier dans le dossier config et faire une requête GET pour lire la sortie :

Correctif

La vérification de l'authentification a été ajoutée au début de change_config.php