WordPress Plugin - Elementor 3.6.0 3.6.1 3.6.2 원격 코드 실행

날짜: 2023년 4월 16일
공격자: Việt Hùng (https://github.com/phanthibichtram12)
공급자 홈페이지: https://elementor.com/
소프트웨어 링크: https://wordpress.org/plugins/elementor/advanced/ (아래로 스크롤하여 버전 선택)
버전: 3.6.0, 3.6.1, 3.62
테스트 환경: WordPress 5.9.3 (이 공격은 페이로드를 제공하지 않으므로 운영 체제에 의존하지 않음)
CVE : CVE-2022-1329

취약점 설명

WordPress 플러그인 Elementor (v. 3.6.0, 3.6.1, 3.6.2)에는 인증된 모든 사용자가 임의의 PHP 파일을 업로드하고 실행할 수 있는 취약점이 있습니다.

이 취약점은 OWASP TOP 10 2021에서 1위(깨진 접근 제어)에 해당합니다.

이 취약점이 포함된 파일은 elementor/core/app/modules/onboarding/module.php 입니다.

이 파일의 끝에서 다음 코드를 찾을 수 있습니다:

add_action( 'admin_init', function() {
  nếu ( wp_doing_ajax() &&
  isset( $_POST['action'] ) &&
  isset( $_POST['_nonce'] ) &&
  wp_verify_nonce( $_POST['_nonce'], Ajax::NONCE_KEY )
  ) {
  $this->maybe_handle_ajax();
  }
  } );

이 코드는 모든 사용자 계정이 /wp-admin에 접근할 때마다 활성화됩니다.

작동하려면 다음 4가지가 필요합니다:

1. 호출은 "ajax 호출" (wp_doing_ajax())이어야 하며 메서드는 POST여야 합니다. 이를 위해 /wp-admin/admin-ajax.php를 호출하면 됩니다.
2. 매개변수 "action"은 "elementor_upload_and_install_pro"여야 합니다 (같은 파일의 Maybe_handle_ajax() 함수 참조).
3. 매개변수 "_nonce"는 로그인 후 /wp-admin 페이지를 확인하여 검색해야 합니다 (이 익스플로잇은 DoLogin 함수에서 이를 수행합니다).