CVE-2019-11231

Riepilogo

È stato scoperto un problema in GetSimple CMS fino alla versione 3.3.15. Una sanificazione insufficiente dell'input nel file theme-edit.php consente il caricamento di file con contenuto arbitrario (ad esempio codice PHP). Questa vulnerabilità viene attivata da un utente autenticato; tuttavia, l'autenticazione può essere bypassata. Secondo la documentazione ufficiale per il passaggio 10 dell'installazione, è richiesto che un amministratore carichi tutti i file, inclusi i file .htaccess, ed esegua un controllo di integrità (health check). Tuttavia, ciò che viene trascurato è che il server HTTP Apache per impostazione predefinita non abilita più la direttiva AllowOverride, portando all'esposizione della password in data/users/admin.xml. Le password sono sottoposte a hash, ma questo può essere aggirato partendo dalla chiave API in data/other/authorization.xml. Ciò consente di prendere di mira lo stato della sessione, dato che hanno deciso di implementarne una propria. Il cookie_name è un'informazione costruita che può essere divulgata dal frontend (nome del sito e versione). Se qualcuno riesce a ottenere la chiave API e il nome utente dell'amministratore, può bypassare l'autenticazione. Per farlo, deve fornire un cookie basato su un calcolo SHA-1 di queste informazioni note. La vulnerabilità esiste nel file admin/theme-edit.php. Questo file controlla gli invii dei moduli tramite richieste POST e il nonce CSRF. Se il nonce inviato è corretto, il file fornito dall'utente viene caricato. C'è un path traversal che consente l'accesso in scrittura al di fuori della directory root dei temi confinata. Sfruttare il traversal non è necessario perché il file .htaccess viene ignorato. Un fattore che contribuisce è che non c'è un altro controllo sull'estensione prima di salvare il file, presupponendo che il contenuto del parametro sia sicuro. Ciò consente la creazione di file eseguibili e accessibili dal web con contenuto arbitrario.

• CVE-2019-11231-PoCExploit