wordpress-jetpack-broken-access-control-vulnerable-application

これは、Jetpack < 13.9.1 のブロークンアクセス制御（CVE-2024-9926）のエクスプロイトをテストするための脆弱性アプリケーションです。

警告！

このアプリケーションには深刻なセキュリティ脆弱性が含まれています。自己責任で実行してください！バックアップ済みで隔離された環境（最近のスナップショットとホストオンリーネットワークを備えたVMなど）を使用することをお勧めします。このアプリケーションをインターネットに公開されているサーバーにアップロードしないでください。侵害されます。

免責事項: このアプリケーションの使用方法について、私は一切の責任を負いません。このアプリケーションの唯一の目的は、Jetpack < 13.9.1 のブロークンアクセス制御（CVE-2024-9926）エクスプロイトのテストシナリオとなることであり、悪意を持って使用されるべきではありません。このアプリケーションのインストールを介してサーバーが侵害された場合、それは私の責任ではなく、それをアップロードしてインストールした人の責任です。

脆弱性情報

• CVE-ID: CVE-2024-9926
• リンク: https://www.cve.org/CVERecord?id=CVE-2024-9926
• 説明: この脆弱性は、サイト上のログイン済みユーザーが、訪問者がサイトに送信したフォームを読み取るために利用される可能性があります。
• ベンダーリンク: https://jetpack.com/blog/jetpack-13-9-1-critical-security-update/
• 修正: https://github.com/Automattic/jetpack-production/commit/18605ae8cdc7438c2088336c51f3db8d6a5b90fd
• 公式PoC: https://wpscan.com/vulnerability/669382af-f836-4896-bdcb-5c6a57c99bd9/

使用方法

環境をセットアップする手順は次のとおりです。

1. ./up.sh を実行して構成を開始します。
2. ここで WordPress のインストールを完了します: https://localhost:1337/wp-admin/install.php。
3. WordPress にログインします。
4. "プラグイン" に移動します: https://localhost:1337/wp-admin/plugins.php。
5. "Jetpack" プラグインの下にある "有効化" をクリックします。脆弱性のあるバージョンが必要なため、更新しないでください。
6. "Jetpack" > "設定" > "投稿" に移動し、"作成" セクションで、"Jetpack Blocks は、開発者を雇ったり、1行のコードを学んだりすることなく、ウェブサイト訪問者を引き込む高品質なコンテンツを提供する力を与えます。" を有効にします。
7. WordPress で新しいページを作成し、"お問い合わせフォーム" 要素を追加します。
8. 作成したページにアクセスし、お問い合わせフォームを使用してフィードバックを登録します。

コンテナは vuln-wp-jetpack という名前になります。

環境を破棄するには、./down.sh コマンドを使用します。または ./down_and_delete.sh コマンドを使用すると、イメージとデータベースのボリュームも削除されます。

根本原因

修正を見れば、get_items_permissions_check() と get_item_permissions_check() の両メソッドによって実行される唯一のチェックが、ブログへのユーザーの所属であることは明白です。

両メソッドは、automattic/jetpack-forms/src/contact-form/class-contact-form-endpoint.php ファイルの Contact_Form_Endpoint クラスで宣言されています。クラスの先頭にあるコメントが述べているように、このクラスは...

feedback 投稿タイプが \Automattic\Jetpack\Forms\ContactForm\Contact_Form で登録されるときに、rest_controller_class パラメータとして使用されます。

これは、カスタム投稿タイプ feedback が登録されている automattic/jetpack-forms/src/contact-form/class-contact-form-plugin.php ファイルの201行目で確認できます。

利用可能なタイプは、次のようなリクエストで REST API を介して取得できます。

GET /?rest_route=/wp/v2/types

レスポンスには feedback タイプが含まれます。

エクスプロイト

脆弱性を悪用するには、次のようなリクエストで十分です。

GET /?rest_route=/wp/v2/feedback

リクエストには、次のような アプリケーションパスワード を含む認証ヘッダーが必要です。

Authorization: Basic eW91cl91c2VybmFtZTp5b3VyX2FwcGxpY2F0aW9uX3Bhc3N3b3Jk

Python のエクスプロイトスクリプトは ここ にあります。

著者

• Antonio Francesco Sardella - 実装 - m3ssap0

ライセンス

このプロジェクトは Unlicense の下でライセンスされています。詳細は LICENSE ファイルを参照してください。

謝辞

• Marc Montpas、脆弱性を発見したセキュリティ研究者です。