WordPressプラグイン - Elementor 3.6.0 3.6.1 3.6.2 リモートコード実行

Google Dork: なし
Date: 2022年4月16日
Exploit Author: AkuCyberSec (https://github.com/AkuCyberSec)
Vendor Homepage: https://elementor.com/
Software Link: https://wordpress.org/plugins/elementor/advanced/ (下にスクロールしてバージョンを選択)
Version: 3.6.0, 3.6.1, 3.62
Tested on: WordPress 5.9.3 (このエクスプロイトはペイロードを提供しないため、OS非依存)
CVE : CVE-2022-1329

脆弱性の説明

WordPressプラグインElementor（バージョン3.6.0、3.6.1、3.6.2）には、認証されたユーザーであれば誰でも任意のPHPファイルをアップロードして実行できる脆弱性があります。

この脆弱性は、OWASP TOP 10 2021では位置#1（破損したアクセス制御）に分類されています。

この脆弱性を含むファイルは elementor/core/app/modules/onboarding/module.php です。

このファイルの末尾に以下のコードがあります。

add_action( 'admin_init', function() {
		if ( wp_doing_ajax() &&
			isset( $_POST['action'] ) &&
			isset( $_POST['_nonce'] ) &&
			wp_verify_nonce( $_POST['_nonce'], Ajax::NONCE_KEY )
		) {
			$this->maybe_handle_ajax();
		}
	} );

このコードは、任意のユーザーアカウントが /wp-admin にアクセスするたびにトリガーされます。

動作させるには、以下の4つが必要です。

呼び出しは「ajax呼び出し」（wp_doing_ajax()）である必要があり、メソッドはPOSTである必要があります。そのためには、/wp-admin/admin-ajax.php を呼び出すだけです。
パラメータ "action" は "elementor_upload_and_install_pro" である必要があります（同じファイル内の maybe_handle_ajax() 関数を確認してください）。
パラメータ "_nonce" は、ログイン後に /wp-admin ページを検査して取得する必要があります（このエクスプロイトはDoLogin関数でこれを行います）。
パラメータ "fileToUpload" には、アップロードするZIPアーカイブを含める必要があります（同じファイル内の upload_and_install_pro() 関数を確認してください）。

アップロードするファイルは以下の構造でなければなりません。

ZIPファイルである必要があります。名前は任意です。
"elementor-pro" というフォルダを含む必要があります。
このフォルダには "elementor-pro.php" という名前のファイルが含まれている必要があります。

このファイルがあなたのペイロードになります（例：PHP Reverse Shell など）。

警告：アップロードした偽のプラグインはElementorによって有効化されるため、ページにアクセスするたびにペイロードがトリガーされます。

例えば、オフラインのホストに接続しようとすると、Denial of Service が発生する可能性があります。

これを防ぐために、ペイロードをアクティブにするための変数を使用することをお勧めします。

次のような方法です（実際のペイロードを実行するには anypage.php?activate=1 にアクセスします）。

if (!isset($_GET['activate']))
return;

CVE-2022-1329-WordPress-Elementor-3.6.0-3.6.1-3.6.2-Remote-Code-Execution-Exploit

人気