CVE-2023-6063 — WP Fastest Cache SQLインジェクション PoC

CVE-2023-6063 の概念実証 (PoC)。これは WP Fastest Cache ≤ 1.2.2 に影響する、認証不要の時間ベースのブラインド SQL インジェクション脆弱性です。

この脆弱性は wordpress_logged_in Cookie を通じてトリガーされ、攻撃者が WordPress データベースからパスワードハッシュやメールアドレスなどの機密情報を推測できる可能性があります。

認可されたセキュリティテストおよび教育目的にのみ使用してください。

機能

• 時間ベースのブラインド SQL インジェクションテスト。

• SQL の SLEEP() 遅延を利用した、文字単位のデータ抽出。

• 特定の WordPress ユーザー名を対象に指定。

• オプションのパスワードハッシュ検証。

• オプションのメールアドレス抽出。

• カスタム Cookie のサポート。

• 設定可能なレスポンス遅延。

• トラブルシューティング用のデバッグモード。

• 以下を使用した選択的抽出:

  • --just-hash
  • --just-email

抽出可能なデータ

対象の設定とデータベースの内容に応じて、PoC は以下を抽出できます:

• wp_users.user_pass から WordPress のパスワードハッシュ。
• wp_users.user_email から関連するメールアドレス。

要件

• Python 3.x
• 脆弱なバージョンの WP Fastest Cache が動作しているターゲット。
• ターゲットへのネットワーク接続。
• セキュリティテストを実施するための認可。

必要な Python 依存関係をインストールします:

pip install -r requirements.txt

使用方法

基本的な使用方法

python3 poc.py -u https://vulnerable-website.example --username admin --delay 5

サンプルの URL は、テストを明示的に認可されているシステムに置き換えてください。

コマンドラインオプション

-h, --help
    ヘルプメッセージを表示して終了します。

-u URL, --url URL
    テストする WordPress インストールの完全な URL。

--username USERNAME
    情報をテストする WordPress ユーザー名を指定します。

-d DELAY, --delay DELAY
    時間ベースのテストに使用するレスポンス遅延。
    デフォルト: 5 秒。
    最小: 2 秒。

-H HASH, --hash HASH
    wp_users テーブルに対して検証するハッシュ。
    ハッシュに特殊文字が含まれる場合は、シングルクォートで囲んでください。

--domain DOMAIN
    メール検証に使用するドメイン。

-c COOKIE, --cookie COOKIE
    ターゲットが異なるコンテキストを使用する場合に、カスタム Cookie 名を指定します。

--status-code STATUS_CODE
    期待される正常な HTTP ステータスコードを指定します。
    デフォルト: 200。

--debug
    追加のデバッグ出力を有効にします。

--just-hash
    パスワードハッシュのみを抽出します。

--just-email
    メールアドレスのみを抽出します。

技術的詳細

脆弱性の説明

CVE-2023-6063 は WP Fastest Cache バージョン ≤ 1.2.2 に影響します。

この脆弱性は 認証不要のブラインド SQL インジェクション であり、wordpress_logged_in Cookie を通じてトリガーされます。

この問題は、WordPress データベースに対する時間ベースの推測に悪用される可能性があります。HTTP レスポンス時間の差異を測定することで、HTTP レスポンス内でクエリされたデータを直接受け取ることなく、データベース値の個々の文字を推測できる可能性があります。

基盤となる手法の簡略化した例:

" AND (IF(
    (SELECT user_pass
     FROM wp_users
     WHERE user_login="admin") LIKE 'a%',
    SLEEP(5),
    0
))-- -

テストされた条件が真と評価された場合、データベースに遅延が発生します。異なる文字でこのプロセスを繰り返すことで、情報を文字単位で推測できます。

脆弱性情報

攻撃ベクトル

悪用可能性

• リモート: この脆弱性は HTTP リクエストを通じてトリガーできます。
• 認証: 脆弱性をトリガーするために WordPress の認証は不要です。
• 複雑さ: 脆弱な条件が存在する場合、比較的低いです。

潜在的な影響

潜在的に露出する情報には、WordPress ユーザーのパスワードハッシュとメールアドレスが含まれます。

デモ

以下のデモは、認可されたテスト環境に対して PoC を使用している様子を示しています:

パスワードハッシュ分析

認可されたセキュリティ評価中に WordPress のパスワードハッシュを正当に入手した場合、John the Ripper や Hashcat などのパスワード監査ツールを使用してパスワード強度を評価できます。

例えば、John the Ripper を使用する場合:

john --wordlist=/usr/share/wordlists/rockyou.txt hash.txt --format=phpass

所有およびテストを認可されているハッシュに対してのみ、パスワード監査を実施してください。

影響を受けるバージョン

WP Fastest Cache:

≤ 1.2.2

緩和策

推奨される緩和策は、セキュリティ修正が含まれるバージョンに WP Fastest Cache をアップグレードすること です。

追加の防御策には以下が含まれます:

1. WordPress プラグインを最新の状態に保つ。
2. 不要になったプラグインを削除する。
3. SQL インジェクションの試行を検出およびブロックするために、適切な WAF ルールを導入する。
4. HTTP Cookie に SQL 構文を含む疑わしいリクエストを監視する。
5. 侵害が疑われる場合は、WordPress ユーザーアカウントと認証情報を確認する。
6. 必要に応じて、露出した可能性のある認証情報をローテーションする。

推奨: WP Fastest Cache を 1.2.3 以降 にアップグレードしてください。

参考文献

• NIST NVD — CVE-2023-6063
• WordPress Plugin — WP Fastest Cache
• CVE Details — CVE-2023-6063

法的免責事項

このプロジェクトは 教育目的および認可されたセキュリティ研究のみ に提供されています。

所有者からの明示的な許可なく、この PoC をシステム、ウェブサイト、アプリケーション、またはインフラストラクチャに対して使用しないでください。

作者は、このソフトウェアの使用に起因する誤用、損害、データ損失、不正アクセス、またはその他の結果について責任を負いません。

所有している、または評価を明示的に認可されているシステムのみをテストしてください。

ライセンス

このプロジェクトは GNU General Public License v3.0 (GPLv3) の下でリリースされています。