CVE-2019-9053 — Injeção SQL não autenticada no CMS Made Simple

Descrição

CVE-2019-9053 é uma vulnerabilidade de injeção SQL time-based blind que afeta o CMS Made Simple nas versões ≤ 2.2.9. Não requer autenticação.

O parâmetro vulnerável é m1_idlist no módulo News (moduleinterface.php). Um atacante pode explorá-lo para extrair o hash da senha do administrador, seu nome de usuário, e-mail e o salt utilizado para o hash.

O esquema de armazenamento de senhas é MD5(salt + password), onde o salt tem 8 bytes. Isso permite, uma vez obtidos o hash e o salt, tentar quebrar a senha offline com ferramentas como hashcat ou John the Ripper.

CVSS 3.1: 7.5 (HIGH) — AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Detalhes Técnicos

Exploit

Autor original

Daniele Scanu — @Certimeter Group

O exploit original está em Exploit-DB #46635.

Requisitos

• Python 2.7
• requests, termcolor

pip2 install requests termcolor

Uso

# Extrair credenciais (salt, usuário, e-mail, password hash)
python 46635.py -u http://target/cmsms

# Extrair credenciais e tentar quebrar a senha com um wordlist
python 46635.py -u http://target/cmsms --crack -w /path/to/rockyou.txt

Parâmetros

Funcionamento

O exploit envia requisições HTTP com payloads SQL contendo SLEEP() para determinar caractere por caractere:

1. Salt: Extrai o salt de cms_siteprefs onde sitepref_name = 'sitemask'
2. Usuário: Extrai o nome de usuário de cms_users onde user_id = 1
3. E-mail: Extrai o e-mail do primeiro usuário administrador
4. Password hash: Extrai o hash de cms_users
5. Quebra (opcional): Testa cada linha do wordlist contra MD5(salt + password)

Exemplo de saída

[+] Salt for password found: 5a599ef579066807
[+] Username found: jkr
[+] Email found: [email protected]
[+] Password found: 62def4866937f08cc13bab43bb14e6f7

Mitigação

• Atualizar o CMS Made Simple para a versão ≥ 2.2.10
• Se não for possível atualizar, desabilitar o módulo News ou restringir o acesso a moduleinterface.php

Referências

• NVD — CVE-2019-9053
• Exploit-DB #46635
• CVE Mitre