CVE-2019-11231

Resumo

Foi descoberto um problema no GetSimple CMS até a versão 3.3.15. A sanitização insuficiente de entrada no arquivo theme-edit.php permite o upload de arquivos com conteúdo arbitrário (código PHP, por exemplo). Essa vulnerabilidade é acionada por um usuário autenticado; no entanto, a autenticação pode ser contornada. De acordo com a documentação oficial da etapa 10 da instalação, é necessário que um administrador envie todos os arquivos, incluindo os arquivos .htaccess, e execute uma verificação de integridade. No entanto, o que é negligenciado é que o Apache HTTP Server, por padrão, não habilita mais a diretiva AllowOverride, levando à exposição da senha em data/users/admin.xml. As senhas são armazenadas com hash, mas isso pode ser contornado começando com a chave de API em data/other/authorization.xml. Isso permite que se ataque o estado da sessão, já que eles decidiram implementar sua própria solução. O cookie_name é uma informação elaborada que pode ser vazada pelo frontend (nome do site e versão). Se alguém vazar a chave de API e o nome de usuário do administrador, poderá contornar a autenticação. Para isso, é necessário fornecer um cookie baseado em um cálculo SHA-1 dessas informações conhecidas. A vulnerabilidade existe no arquivo admin/theme-edit.php. Esse arquivo verifica envios de formulários via requisições POST e o nonce CSRF. Se o nonce enviado estiver correto, o arquivo fornecido pelo usuário é enviado. Há um path traversal que permite escrita fora do diretório raiz restrito de temas. Explorar o path traversal não é necessário porque o arquivo .htaccess é ignorado. Um fator que contribui é que não há outra verificação da extensão antes de salvar o arquivo, partindo do pressuposto de que o conteúdo do parâmetro é seguro. Isso permite a criação de arquivos executáveis e acessíveis pela web com conteúdo arbitrário.

• CVE-2019-11231-PoCExploit