CVE-2023-3460 - Ultimate Member प्लगइन के लिए अनधिकृत व्यवस्थापक पहुँच POC

CVSS स्कोर: 9.1

दिनांक: 07/04/2023

Ultimate Member प्लगइन क्या है?

Ultimate Member प्लगइन उपयोगकर्ताओं को पंजीकृत करने के लिए एक लोकप्रिय सदस्यता प्लगइन है, इस प्लगइन की 200,000+ सक्रिय स्थापनाएँ हैं।

त्वरित जाँच

7 जुलाई को Ultimate Member प्लगइन में एक गंभीर कमजोरी खोजी गई थी, हमलावर एक विशेषाधिकार वृद्धि तकनीक का उपयोग करके एक व्यवस्थापक खाता बना सकता है जो वर्डप्रेस वेबसाइट पर कब्जा कर सकता है।

तो एक्सप्लॉइट कैसे काम करता है?

ठीक है, अगर हम वर्डप्रेस की भूमिकाओं और क्षमताओं पर एक नज़र डालें तो इसमें कई भूमिकाएँ हैं जो एक उपयोगकर्ता के पास हो सकती हैं , , , , , । तो हम व्यवस्थापक विशेषाधिकार कैसे प्राप्त कर सकते हैं? पहले देखते हैं कि Ultimate Member प्लगइन कैसे काम करता है, पहले आपको प्लगइन को ठीक से काम करने के लिए कॉन्फ़िगर करना होगा ताकि हमें अनुभाग में कुछ पृष्ठ बनाने होंगे फिर हम उन पृष्ठों को Ultimate Member > सेटिंग से लिंक करते हैं उसके बाद हम नई भूमिकाएँ बना सकते हैं या केवल Ultimate Member द्वारा प्रदान की गई डिफ़ॉल्ट भूमिकाओं का उपयोग कर सकते हैं।

अब तक हमारे पास एक काम करने वाला प्लगइन होना चाहिए, अब चलिए हाथ गंदे करते हैं और देखते हैं कि यह बैकएंड में कैसे काम करता है। मैंने Subscriber भूमिका के साथ एक सामान्य उपयोगकर्ता पंजीकृत किया और अगर हम mysql में wp_usermeta तालिका पर एक नज़र डालें तो हम देख सकते हैं कि wp_capabilities मान एक serialize सरणी पर सेट है और वहाँ से यह हमारी भूमिका को परिभाषित करता है जो इस मामले में Subscriber है।

तो हम wp_capabilities का मान कैसे बदल सकते हैं? हम पंजीकरण करते समय पोस्ट अनुरोध में wp_capabilities को एक पैरामीटर के रूप में पास कर सकते हैं जैसे:

लेकिन यह अभी खत्म नहीं होगा, आप देखें कि is_metakey_banned नामक एक फ़ंक्शन है और यह फ़ंक्शन कुछ मानों जैसे "cap_key", "wp_capabilities", "wp_user_level", "user_activation_key" आदि की जाँच करके काम करता है... हमें जो चाहिए वह है wp_capabilities लेकिन अगर यह हमारे अनुरोध निकाय में है तो यह वहाँ को हिट करेगा ताकि हम अपनी भूमिका बदलने से रोक सकें।

यहाँ से हम कुछ अलग डिकोडिंग प्रकारों का उपयोग करने का प्रयास कर सकते हैं लेकिन यह काम नहीं करेगा, कुछ शोध और AI से थोड़ी मदद के बाद मैंने पाया कि वर्डप्रेस डिफ़ॉल्ट रूप से उच्चारण वर्णों को स्वीकार करता है जैसे à, è, ì, ò, ù, À, È, Ì, Ò, Ù, तो अब अगर हम अपने अनुरोध निकाय में इस तरह के वर्णों का उपयोग करते हैं जैसे wp_càpabilities=administrator तो क्या होगा? यह class-user.php में पंक्ति 182 पर ब्रेक पॉइंट को हिट नहीं करता है और हम is_metakey_banned फ़ंक्शन को बायपास कर सकते हैं।

mysql की जाँच करने पर हम देख सकते हैं कि हम मान बदल सकते हैं।

लेकिन हम व्यवस्थापक नहीं हैं, वास्तव में हमारी कोई भूमिका नहीं है।

हमने स्पष्ट रूप से कुछ किया लेकिन व्यवस्थापक बनने के लिए हमें व्यवस्थापक के समान मान की आवश्यकता है जो इस तरह दिखता है a:1:{s:13:"administrator";b:1;} ठीक है अब इसे आज़माएँ और इसे सीधे हमारे पैरामीटर में पास करें।

फिर से mysql की जाँच करने पर हमने wp_capabilities का मान सेट किया लेकिन यह वैसा नहीं है जैसा हमने उम्मीद की थी।

इसने हमारा मान ले लिया और एक serialized स्ट्रिंग में बदल दिया लेकिन व्यवस्थापक के wp_capabilities को देखने पर हम देख सकते हैं कि यह एक serialized सरणी है जो हम चाहते हैं, इसलिए वर्डप्रेस का अपना सीरियलाइज़ेशन है इसलिए हम इसका उपयोग करके अपने मान को एक सरणी के रूप में पास कर सकते हैं और फिर वर्डप्रेस बाकी काम करता है, तो यहाँ हमारा पेलोड इस तरह दिखता है wp_càpabilities[administrator]=1।

अंत में हम देख सकते हैं कि wp_capabilities का मान a:1:{s:13:"administrator";s:1:"1";} में बदल गया है जो अब व्यवस्थापक के रूप में लॉगिन कर सकता है।

और अब हम व्यवस्थापक के रूप में लॉगिन कर सकते हैं।