CVE-2019-11231

概要

GetSimple CMS 3.3.15 までで問題が発見されました。theme-edit.php ファイルにおける不十分な入力サニタイズにより、任意のコンテンツ（例えば PHP コード）を含むファイルのアップロードが可能になります。この脆弱性は認証済みユーザーによって引き起こされますが、認証はバイパスされる可能性があります。公式ドキュメントのインストールステップ 10 によると、管理者は .htaccess ファイルを含むすべてのファイルをアップロードし、ヘルスチェックを実行する必要があります。しかし、見落とされているのは、Apache HTTP Server がデフォルトでは AllowOverride ディレクティブを有効にしなくなったことであり、これにより data/users/admin.xml のパスワードが露出します。パスワードはハッシュ化されていますが、data/other/authorization.xml の API キーから始めることでこれをバイパスできます。独自実装を採用したため、これによりセッション状態を標的にすることが可能になります。cookie_name は、フロントエンド（サイト名とバージョン）から漏洩し得る情報から生成されます。誰かが API キーと管理者ユーザー名を漏洩させた場合、認証をバイパスできます。そのためには、この既知の情報の SHA-1 計算に基づく Cookie を提供する必要があります。この脆弱性は admin/theme-edit.php ファイルに存在します。このファイルは、POST リクエストによるフォーム送信と CSRF nonce をチェックします。送信された nonce が正しい場合、ユーザーが提供したファイルがアップロードされます。隔離されたテーマディレクトリのルート外への書き込みアクセスを可能にするパストラバーサルが存在します。.htaccess ファイルが無視されるため、トラバーサルを悪用する必要はありません。一因として、パラメータのコンテンツが安全であると想定し、ファイルを保存する前に拡張子に対する別のチェックがないことが挙げられます。これにより、任意のコンテンツを持つ Web アクセス可能かつ実行可能なファイルの作成が可能になります。

• CVE-2019-11231-PoCエクスプロイト

  CVE-2019-11231のPoC

• GetSimpleCMS - Unauthenticated Remote Code Execution (Metasploit)エクスプロイト