wordpress-jetpack-broken-access-control-vulnerable-application

Questa è un'applicazione vulnerabile per testare l'exploit per il controllo di accesso non corretto (broken access control) di Jetpack < 13.9.1 (CVE-2024-9926).

ATTENZIONE!

Questa applicazione contiene serie vulnerabilità di sicurezza. Eseguila a tuo rischio! È consigliato utilizzare un ambiente con backup e isolato (come una VM con snapshot recente e networking host-only). Non caricare questa applicazione su server esposti a Internet, poiché verranno compromessi.

DISCLAIMER: non mi assumo alcuna responsabilità per l'uso che chiunque faccia di questa applicazione. L'unico scopo di questa applicazione è essere uno scenario di test per l'exploit del controllo di accesso non corretto (broken access control) di Jetpack < 13.9.1 (CVE-2024-9926) e non deve essere usata in modo dannoso. Se il tuo server viene compromesso tramite un'installazione di questa applicazione, non è colpa mia, ma delle persone che l'hanno caricata e installata.

Informazioni sulla vulnerabilità

• CVE-ID: CVE-2024-9926
• Link: https://www.cve.org/CVERecord?id=CVE-2024-9926
• Descrizione: Questa vulnerabilità potrebbe essere sfruttata da qualsiasi utente autenticato su un sito per leggere i moduli inviati dai visitatori del sito.
• Link del vendor: https://jetpack.com/blog/jetpack-13-9-1-critical-security-update/
• Correzione: https://github.com/Automattic/jetpack-production/commit/18605ae8cdc7438c2088336c51f3db8d6a5b90fd
• PoC ufficiale: https://wpscan.com/vulnerability/669382af-f836-4896-bdcb-5c6a57c99bd9/

Utilizzo

Ecco i passaggi per configurare l'ambiente:

1. Esegui ./up.sh per avviare la composizione.
2. Completa l'installazione di WordPress qui: https://localhost:1337/wp-admin/install.php.
3. Accedi a WordPress.
4. Vai su "Plugin": https://localhost:1337/wp-admin/plugins.php.
5. Fai clic su "Attiva" sotto il plugin "Jetpack". NON AGGIORNARLO, dato che ci serve la versione vulnerabile.
6. Vai su "Jetpack" > "Impostazioni" > "Scrittura" e, nella sezione "Composizione", abilita "I blocchi Jetpack ti danno il potere di creare contenuti di qualità che catturano i visitatori del sito senza bisogno di assumere uno sviluppatore o imparare una riga di codice.".
7. Crea una nuova pagina in WordPress aggiungendo un elemento "Modulo di contatto".
8. Visita la pagina creata e usa il modulo di contatto per popolare i feedback.

Il contenitore si chiamerà vuln-wp-jetpack.

Per smontare l'ambiente usa il comando ./down.sh oppure il comando ./down_and_delete.sh per rimuovere anche le immagini e il volume del database.

Causa principale

Osservando la correzione, è facile capire che l'unico controllo effettuato, sia dal metodo get_items_permissions_check() che dal metodo get_item_permissions_check(), è l'appartenenza dell'utente al blog.

Entrambi i metodi sono dichiarati nella classe Contact_Form_Endpoint del file automattic/jetpack-forms/src/contact-form/class-contact-form-endpoint.php. Come dice il commento all'inizio della classe, questa classe è...

Usata come parametro rest_controller_class quando il tipo di post feedback viene registrato in \Automattic\Jetpack\Forms\ContactForm\Contact_Form

Questo si può vedere nel file automattic/jetpack-forms/src/contact-form/class-contact-form-plugin.php alla riga 201, dove viene registrato il tipo di post personalizzato feedback.

I tipi disponibili possono essere recuperati tramite le API REST con una richiesta come la seguente.

GET /?rest_route=/wp/v2/types

La risposta contiene il tipo feedback.

Exploit

Per sfruttare la vulnerabilità, è sufficiente una richiesta come la seguente.

GET /?rest_route=/wp/v2/feedback

La richiesta deve contenere un header di autorizzazione con una Application Password come la seguente.

Authorization: Basic eW91cl91c2VybmFtZTp5b3VyX2FwcGxpY2F0aW9uX3Bhc3N3b3Jk

Uno script di exploit in Python può essere trovato qui.

Autori

• Antonio Francesco Sardella - implementazione - m3ssap0

Licenza

Questo progetto è concesso in licenza sotto Unlicense - consulta il file LICENSE per i dettagli.

Riconoscimenti

• Marc Montpas, il ricercatore di sicurezza che ha scoperto la vulnerabilità.