SoftExpert Excellence Suite 2.0 원격 코드 실행 - CVE-2023-30330

SoftExpert Excellence Suite EQM에서 인증된 로컬 파일 포함(LFI)을 이용한 원격 코드 실행(RCE).

CVE-2023-30330

• 2.1.3 이전의 SE Suite 2.x 버전
• 테스트된 버전: 2.0.15.31 및 2.0.15.115

LFI PoC

https://github.com/Filiplain/LFI-to-RCE-SE-Suite-2.0/tree/main/PoC

1- 로컬 파일 포함(LFI):

연구원은 "/se/v42300/generic/gn_defaultframe/2.0/defaultframe_filter.php" 라는 PHP 함수를 발견했습니다. 이 함수는 POST 요청의 "managerPath" 매개변수를 통해 base64 인코딩 형식의 ".inc" 확장자를 가진 파일을 포함합니다. ".inc" 파일을 예를 들어 "C:\windows\win.ini" 로 변경하고 다시 base64로 변환하면 시스템에서 해당 파일을 얻을 수 있습니다.

PHP 파일 "defaultframe_filter.php" 는 파일을 포함하기 위해 "require_once()" 함수를 사용합니다. 이 함수는 공격자가 오염된 로그를 포함시켜 원격 코드 실행을 수행할 수 있게 합니다.

2- 원격 코드 실행:

• PHP 오류 로그를 포함하고 읽을 수 있습니다.
• require_once()를 사용하여 PHP 코드를 실행할 수 있습니다.
• 오류 로그에 PHP 코드를 삽입해야 합니다.

"user_action.php" 함수를 분석하여 새 프로필 사진을 업로드할 때, 유효하지 않거나 악의적인 이미지를 업로드하면 페이지에서 401 오류가 발생한다는 것을 알 수 있습니다. 오류를 발생시킨 후 로그를 다시 읽으면 "Referer" 헤더와 같은 일부 매개변수가 기록되는 것을 볼 수 있습니다. 이를 통해 "Referer" 헤더에 PHP 코드를 주입할 수 있습니다.

악의적인 이미지를 업로드하고 Referer에 PHP 코드를 주입한 후, 로그를 읽어 로그 오염(log poisoning)을 확인할 수 있습니다.

이제 로그를 읽어 명령을 실행할 수 있습니다. 명령: whoami