wordpress-jetpack-broken-access-control-vulnerable-application

Esta é uma aplicação vulnerável para testar o exploit para o Jetpack < 13.9.1 com controle de acesso quebrado (CVE-2024-9926).

AVISO!

Esta aplicação contém vulnerabilidades de segurança graves. Execute-a por sua conta e risco! É recomendado usar um ambiente isolado e com backup (como uma VM com snapshot recente e rede somente host). Não envie esta aplicação para qualquer servidor exposto à Internet, pois ela será comprometida.

AVISO LEGAL: Não me responsabilizo pela forma como qualquer pessoa usa esta aplicação. O único propósito desta aplicação é servir como cenário de teste para o exploit do controle de acesso quebrado do Jetpack < 13.9.1 (CVE-2024-9926) e ela não deve ser usada maliciosamente. Se o seu servidor for comprometido por meio de uma instalação desta aplicação, a responsabilidade não é minha; é das pessoas que a enviaram e instalaram.

Informações da vulnerabilidade

• CVE-ID: CVE-2024-9926
• Link: https://www.cve.org/CVERecord?id=CVE-2024-9926
• Descrição: Esta vulnerabilidade poderia ser usada por qualquer usuário conectado a um site para ler formulários enviados por visitantes do site.
• Link do fornecedor: https://jetpack.com/blog/jetpack-13-9-1-critical-security-update/
• Correção: https://github.com/Automattic/jetpack-production/commit/18605ae8cdc7438c2088336c51f3db8d6a5b90fd
• PoC oficial: https://wpscan.com/vulnerability/669382af-f836-4896-bdcb-5c6a57c99bd9/

Uso

Aqui estão os passos para configurar o ambiente:

1. Execute ./up.sh para iniciar a composição.
2. Conclua a instalação do WordPress aqui: https://localhost:1337/wp-admin/install.php.
3. Faça login no WordPress.
4. Vá para "Plugins": https://localhost:1337/wp-admin/plugins.php.
5. Clique em "Ativar" sob o plugin "Jetpack". NÃO O ATUALIZE, pois precisamos da versão vulnerável.
6. Vá para "Jetpack" > "Configurações" > "Escrita" e, na seção "Composição", habilite "Jetpack Blocks give you the power to deliver quality content that hooks website visitors without needing to hire a developer or learn a single line of code.".
7. Crie uma nova página no WordPress adicionando um elemento "Formulário de contato".
8. Visite a página criada e use o formulário de contato para gerar feedbacks.

O contêiner será chamado vuln-wp-jetpack.

Para encerrar o ambiente, use o comando ./down.sh ou ./down_and_delete.sh para também remover as imagens e o volume do banco de dados.

Causa raiz

Observando a correção, é trivial entender que a única verificação feita, tanto pelo método get_items_permissions_check() quanto pelo get_item_permissions_check(), é a associação do usuário ao blog.

Ambos os métodos são declarados na classe Contact_Form_Endpoint do arquivo automattic/jetpack-forms/src/contact-form/class-contact-form-endpoint.php. Como o comentário no início da classe diz, esta classe é...

Usada como parâmetro rest_controller_class quando o tipo de post feedback é registrado em \Automattic\Jetpack\Forms\ContactForm\Contact_Form

Isso pode ser visto no arquivo automattic/jetpack-forms/src/contact-form/class-contact-form-plugin.php, na linha 201, onde o tipo de post personalizado feedback é registrado.

Os tipos disponíveis podem ser obtidos via APIs REST com uma requisição como a seguinte.

GET /?rest_route=/wp/v2/types

A resposta contém o tipo feedback.

Exploit

Para explorar a vulnerabilidade, uma requisição como a seguinte é suficiente.

GET /?rest_route=/wp/v2/feedback

A requisição deve conter um cabeçalho de autorização com uma Application Password (senha de aplicativo) como a seguinte.

Authorization: Basic eW91cl91c2VybmFtZTp5b3VyX2FwcGxpY2F0aW9uX3Bhc3N3b3Jk

Um script de exploit em Python pode ser encontrado aqui.

Autores

• Antonio Francesco Sardella - implementação - m3ssap0

Licença

Este projeto está licenciado sob a Unlicense - consulte o arquivo LICENSE para obter detalhes.

Agradecimentos

• Marc Montpas, o pesquisador de segurança que descobriu a vulnerabilidade.