SoftExpert Excellence Suite 2.0 におけるリモートコード実行 - CVE-2023-30330

認証済みローカルファイルインクルージョンからSoftExpert Excellence Suite EQMにおけるリモートコード実行へ。

CVE-2023-30330

• SE Suite 2.x の 2.1.3 より前のバージョン
• 検証済みバージョン: 2.0.15.31 および 2.0.15.115

LFI PoC

https://github.com/Filiplain/LFI-to-RCE-SE-Suite-2.0/tree/main/PoC

1- ローカルファイルインクルージョン:

研究者は、POSTリクエストの**“managerPath”パラメータを通じて、base64エンコード形式の“.inc”拡張子を持つファイルをインクルードするPHP関数“/se/v42300/generic/gn_defaultframe/2.0/defaultframe_filter.php”を発見しました。“.inc”ファイルを例えば“C:\windows\win.ini”**に変更し、base64に戻すことで、そのファイルをシステム上に取得できます。

PHPファイル**“defaultframe_filter.php”**はファイルをインクルードするために関数“require_once()”を使用しています。この関数により、攻撃者は汚染されたログをインクルードしてリモートコード実行を行う可能性があります。

2- リモートコード実行:

• PHPのエラーログをインクルードおよび読み取ることができます。
• require_once() を使用してPHPコードを実行できます。
• エラーログにPHPコードを挿入する必要があります。

“user_action.php” 関数を分析すると、新しいプロフィール画像をアップロードする際に、無効または悪意のある画像をアップロードするとページがエラー401をスローすることに気づきます。エラーを発生させた後、再度ログを読み取ると、“Referer” ヘッダーなどの一部のパラメータが記録されていることがわかります。これを利用して、“Referer” ヘッダーにPHPコードを注入できます。

悪意のある画像をアップロードしてRefererにPHPコードを注入した後、ログを読み取ってログ汚染を確認できます。

これで、ログを読み取ってコマンドを実行できます。 コマンド: whoami