CVE-2020-23839

CVE-2020-23839 | GetSimple CMS v3.3.16 - リフレクション型XSSからRCEへ

エクスプロイト作者: Bobby Cooke (boku)

脆弱性統計

• OWASP Top Ten 2017: A7:2017-クロスサイトスクリプティング (XSS)
• CWE-79: ウェブページ生成時の入力の不適切な無害化（'クロスサイトスクリプティング'） - タイプ1: リフレクション型XSS
• CVSS Base Score: 6.1 MEDIUM
• CVSS v3.1 Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
• https://nvd.nist.gov/vuln/detail/CVE-2020-23839
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-23839

脆弱性分析と問題の完全公開

• https://github.com/GetSimpleCMS/GetSimpleCMS/issues/1330

脆弱性の説明:

• GetSimple CMS v3.3.16 は、管理ログインポータルにリフレクション型XSS脆弱性を抱えています。2020年8月12日、ベンダーはプライベートメールで脆弱性の完全な開示詳細を受け取りました。この脆弱性は2020年9月13日にMITREを通じてCVE-2020-23839として公開されましたが、詳細や概念実証はほとんど含まれていませんでした。2021年1月20日、完全な開示とコード分析がGetSimple CMS GitHubのアクティブなissuesチケットで公開されました。

エクスプロイトの説明:

• このエクスプロイトは、CVE-2020-23839を悪用するリフレクション型XSSペイロードをハイパーリンクの形で作成します。GetSimple CMSシステムの管理者がブラウザでこのURLにアクセスし、認証情報を入力すると、高度な攻撃連鎖が起動され、リモートの攻撃者がGetSimple CMSシステムをホストするサーバーでリモートコード実行を達成できるようになります。

攻撃連鎖:

1. 攻撃者はGetSimple CMS管理者をだまして、このエクスプロイトで提供されるURLにアクセスさせます。
2. 管理者はGetSimple CMSログインポータルに認証情報を入力します。
3. 管理者が送信ボタンをクリックするかEnterキーを押すと、リフレクション型XSSペイロードがonActionでトリガーされます。
4. XSSペイロードはバックグラウンドでXHR POSTリクエストを実行し、ブラウザをGetSimple CMS管理パネルにログインさせます。
5. XSSペイロードは次に、admin/edit-theme.phpへの2回目のXHR GETリクエストを実行し、CMSでホストされているウェブページのCSRFトークンと設定されたテーマを収集します。
6. XSSペイロードは次に、admin/edit-theme.phpへの3回目のXHR POSTリクエストを実行し、CMSのすべてのページにPHPバックドアWebShellを注入します。
7. エクスプロイトは、WebShellが返されるまで、対象のGetSimple CMSシステムの公開 /index.php ページへの接続を繰り返し試みます。
8. エクスプロイトがWebShellにフックすると、攻撃者のコンソールに対話型のPHP WebShellが表示されます。

ベンダー情報

• Vendor Homepage: http://get-simple.info/download/