Plugin WordPress - Elementor 3.6.0 3.6.1 3.6.2 Esecuzione di codice remoto

Ngày: 16 tháng 4 năm 2023
Khai thác Tác giả: Việt Hùng (https://github.com/phanthibichtram12)
Trang chủ của nhà cung cấp: https://elementor.com/
Link phần mềm: https://wordpress.org/plugins/elementor/advanced/ (kéo xuống chọn phiên bản)
Phiên bản: 3.6.0, 3.6.1, 3.62
Đã thử nghiệm trên: WordPress 5.9.3 (không phụ thuộc vào hệ điều hành vì cách khai thác này KHÔNG cung cấp tải trọng)
CVE : CVE-2022-1329

DESCRIZIONE DELLA VULNERABILITÀ

Il plugin WordPress Elementor (v. 3.6.0, 3.6.1, 3.6.2) presenta una vulnerabilità che consente a qualsiasi utente autenticato di caricare ed eseguire qualsiasi file PHP.

Questa vulnerabilità, nell'OWASP TOP 10 2021, è posizionata al numero 1 (Controllo degli accessi compromesso)

Il file che contiene questa vulnerabilità è elementor/core/app/modules/onboarding/module.php

Alla fine di questo file, puoi trovare questo codice:

add_action( 'admin_init', function() {
  nếu ( wp_doing_ajax() &&
  isset( $_POST['action'] ) &&
  isset( $_POST['_nonce'] ) &&
  wp_verify_nonce( $_POST['_nonce'], Ajax::NONCE_KEY )
  ) {
  $this->maybe_handle_ajax();
  }
  } );

Questo codice viene attivato ogni volta che QUALSIASI account utente accede a /wp-admin

Per farlo funzionare abbiamo bisogno di 4 cose:

1. La chiamata deve essere una "chiamata ajax" (wp_doing_ajax()) e il metodo deve essere POST. Per farlo, dobbiamo semplicemente chiamare /wp-admin/admin-ajax.php
2. Il parametro "action" deve essere "elementor_upload_and_install_pro" (vedere la funzione chiamata Maybe_handle_ajax() nello stesso file)
3. Il parametro "_nonce" deve essere recuperato dopo il login controllando la pagina /wp-admin (questo exploit lo fa nella funzione DoLogin)
4. Il parametro "fileToUpload" deve contenere l'archivio ZIP che vogliamo caricare (vedere la funzione chiamata upload_and_install_pro() nello stesso file)

Il file che carichiamo deve avere la seguente struttura:

1. Deve essere un file ZIP. Puoi chiamarlo come preferisci.
2. Deve contenere una cartella chiamata "elementor-pro"
3. Questa cartella deve contenere un file chiamato "elementor-pro.php"

Questo file sarà il TUO payload (ad esempio PHP Reverse Shell o qualsiasi altra cosa)

ATTENZIONE: Il plugin fasullo che carichiamo verrà attivato da Elementor, il che significa che ogni volta che accediamo a qualsiasi pagina, attiveremo il nostro payload.

Ad esempio: se tenta di connettersi a un server offline, ciò potrebbe portare a un Denial of Service.

Per evitare ciò, ti consiglio di utilizzare una variabile per attivare il payload.

Qualcosa come questo (accedi a Anypage.php?activate=1 per procedere con il payload effettivo):

if (!isset($_GET['activate']))
return;