CVE-2022-1565 — 認証済みリモートコード実行エクスプロイト for WordPress WP All Import プラグイン <= 3.6.7 (CVE-2022-1565)。wp_all_import_get_gz.php における安全ではないファイルタイプ検証を介して任意のファイルをアップロードします。 | Kitploit
ツール / GitHub / phanthibichtram12 / cve-2022-1565
phanthibichtram12/cve-2022-1565 CVE-2022-1565 認証済みリモートコード実行エクスプロイト for WordPress WP All Import プラグイン <= 3.6.7 (CVE-2022-1565)。wp_all_import_get_gz.php における安全ではないファイルタイプ検証を介して任意のファイルをアップロードします。
コミュニティで最も使われているツールを見つけましょう。
過去7日間 過去30日間
WordPress Plugin WP All Import <= 3.6.7 - リモートコード実行 (RCE) (認証済み)
日付: 2023年11月5日
エクスプロイト作者: Việt HÙng (https://github.com/phanthibichtram12)
ベンダーホームページ: https://www.wpallimport.com/
ソフトウェアリンク: https://wordpress.org/plugins/wp-all-import/advanced/ (下にスクロールしてバージョンを選択)
バージョン: <= 3.6.7 (テスト済み: 3.6.7)
テスト環境: WordPress 6.1 (OSに依存しない（このエクスプロイトはペイロードを提供しないため）)
CVE: CVE-2022-1565
脆弱性の説明
WP All Import プラグインは、バージョン3.6.7までのバージョンにおいて、wp_all_import_get_gz.php ファイルを介したファイルタイプの検証不足により、任意のファイルアップロードに対して脆弱です。これにより、認証された管理者権限以上の攻撃者が、影響を受けるサイトのサーバーに任意のファイルをアップロードでき、リモートコード実行につながる可能性があります。
エクスプロイトの動作方法
1. ZIPファイルの準備:
ペイロードを含むPHPファイルを作成（例: リバースシェル）
変数 "payload_file_name" をこのファイル名に設定（例: "shell.php"）
ペイロードを含むZIPファイルを作成
変数 "zip_file_to_upload" をこのファイルのパスに設定（例: "/root/shell.zip"）
2. 管理者アカウントでログイン:
変数 "target_url" をターゲットのベースURLに設定（スラッシュ / で終わらないこと）
変数 "admin_user" を管理者アカウントのユーザー名に設定
変数 "admin_pass" を管理者アカウントのパスワードに設定
3. get_wpnonce_upload_file() メソッドでwpnonceを取得
実際には2種類のwpnonceがある:
最初のwpnonceはPluginSettingクラス内のget_wpnonce_edit_settings()メソッドで取得される。このwpnonceによりプラグイン設定を変更できる（ステップ4参照）
2番目のwpnonceはPluginSettingクラス内のget_wpnonce_upload_file()メソッドで取得される。このwpnonceによりファイルをアップロードできる
4. PluginSettingクラスのcheck_if_secure_mode_is_enabled()メソッドでプラグインのセキュアモードが有効かどうかを確認
セキュアモードが有効な場合、ZIPの内容はランダムな名前のディレクトリに配置される。エクスプロイトはセキュアモードを無効にする。セキュアモードを無効にすると、ZIPの内容はメインディレクトリに配置される（payload_url変数を参照）。セキュアモードの有効/無効を切り替えるメソッドは set_plugin_secure_mode(set_to_enabled:bool, wpnonce:str)
セキュアモードが有効でない場合、エクスプロイトはファイルをアップロードするが、その後セキュアモードは有効にしない。
5. upload_file(wpnonce_upload_file: str) メソッドでファイルをアップロード
アップロード後、サーバーはHTTP 200 OKで応答するが、アップロードが正常に完了したことを意味するわけではない。応答には次のようなJSONが含まれる:
{"jsonrpc":2.0","error":{"code":102,"message": Vui lòng xác minh rằng tệp bạn tải lên là tệp ZIP hợp lệ."},"is_valid":false,"id" :"nhận dạng"}
ご覧のとおり、コード102のエラーが報告されているが、私のテストではアップロードは完了している。
6. セキュアモードが有効だった場合は、switch_back_to_secure_mode() メソッドで再度有効にする
7. activate_payload() メソッドでペイロードを起動
ペイロードを起動するメソッドは自分で定義できる。この選択の理由は、このエクスプロイトはペイロードを提供しないからである。カスタムペイロードを使用できるため、HTTP GETリクエストではなくHTTP POSTリクエストで起動したい場合や、パラメータを渡したい場合がある。
なぜエクスプロイトはセキュアモードを無効にするのか？ WPSCANが提供するこの脆弱性のPoCによれば、アップロードされたファイルは「管理されたインポート」ページにアクセスすることで取得できる。理由は不明だが、ファイルをアップロードしてもそのページに表示されなかった（Pro版が必要？）。代替手段を探す必要があり、このオプションを利用することで解決した。
2022年11月6日 更新 テスト中、無効なXMLファイルをアップロードしていたことに気づき、それが「管理されたインポート」ページに表示されなかった原因だった。
いずれにせよ、このセキュアモードを無効にする方法は、アップロードしたコンテンツが管理画面に表示されないため、より「ステルス性」が高い。管理画面でアップロードを確認したい場合は、さらに手順が必要になる。
エクスプロイト使用時の注意点 エクスプロイトを効果的に使用するために、以下の点を考慮してください：
target_urlと管理者のログイン情報を確認する
zipファイルのパスとペイロードの名前を確認する（異なる可能性あり）
ローカルでテストする場合は、verify_ssl_certificateをFalseに設定してみる
さらに調査するにはprint_response(http_response)を使用できる
phanthibichtram12/cve-2022-1565
