CVE-2019-9053 — SQL Injection non autenticata in CMS Made Simple

Descrizione

CVE-2019-9053 è una vulnerabilità di iniezione SQL time-based blind che colpisce CMS Made Simple nelle versioni ≤ 2.2.9. Non richiede autenticazione.

Il parametro vulnerabile è m1_idlist nel modulo News (moduleinterface.php). Un attaccante può sfruttarlo per estrarre l'hash della password dell'amministratore, il suo nome utente, l'email e il salt utilizzato per l'hash.

Lo schema di memorizzazione delle password è MD5(salt + password), dove il salt è di 8 byte. Questo permette, una volta ottenuti hash e salt, di tentare il cracking offline della password con strumenti come hashcat o John the Ripper.

CVSS 3.1: 7.5 (HIGH) — AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Dettagli Tecnici

Exploit

Autore originale

Daniele Scanu — @Certimeter Group

L'exploit originale si trova su Exploit-DB #46635.

Requisiti

• Python 2.7
• requests, termcolor

pip2 install requests termcolor

Utilizzo

# Estrarre credenziali (salt, utente, email, password hash)
python 46635.py -u http://target/cmsms

# Estrarre credenziali e tentare il cracking della password con un wordlist
python 46635.py -u http://target/cmsms --crack -w /path/to/rockyou.txt

Parametri

Funzionamento

L'exploit invia richieste HTTP con payload SQL che contengono SLEEP() per determinare carattere per carattere:

1. Salt: Estrae il salt da cms_siteprefs dove sitepref_name = 'sitemask'
2. Username: Estrae lo username da cms_users dove user_id = 1
3. Email: Estrae l'email del primo utente amministratore
4. Password hash: Estrae l'hash da cms_users
5. Cracking (opzionale): Prova ogni riga del wordlist contro MD5(salt + password)

Esempio di output

[+] Salt for password found: 5a599ef579066807
[+] Username found: jkr
[+] Email found: [email protected]
[+] Password found: 62def4866937f08cc13bab43bb14e6f7

Mitigazione

• Aggiornare CMS Made Simple alla versione ≥ 2.2.10
• Se non è possibile aggiornare, disabilitare il modulo News o limitare l'accesso a moduleinterface.php

Riferimenti

• NVD — CVE-2019-9053
• Exploit-DB #46635
• CVE Mitre