CVE-2019-11231

Резюме

Проблема была обнаружена в GetSimple CMS вплоть до версии 3.3.15 включительно. Недостаточная санитизация входных данных в файле theme-edit.php позволяет загружать файлы с произвольным содержимым (например, PHP-кодом). Эта уязвимость активируется аутентифицированным пользователем; однако аутентификацию можно обойти. Согласно официальной документации, на шаге 10 установки администратор должен загрузить все файлы, включая файлы .htaccess, и выполнить проверку работоспособности. Однако упускается из виду, что Apache HTTP Server по умолчанию больше не включает директиву AllowOverride, что приводит к раскрытию пароля из data/users/admin.xml. Пароли хешируются, но это можно обойти, если начать с API-ключа из data/other/authorization.xml. Это позволяет воздействовать на состояние сеанса, поскольку разработчики решили реализовать собственный механизм. Параметр cookie_name представляет собой сформированную информацию, которая может быть получена из внешнего интерфейса (имя сайта и версия). Если кто-то получит API-ключ и имя администратора, он сможет обойти аутентификацию. Для этого нужно предоставить cookie на основе вычисления SHA-1 от этих известных данных. Уязвимость существует в файле admin/theme-edit.php. Этот файл проверяет отправку форм через POST-запросы, а также csrf nonce. Если отправленный nonce корректен, файл, предоставленный пользователем, загружается. Существует обход пути (path traversal), позволяющий записывать файлы за пределами изолированного корневого каталога тем. Использовать обход пути не обязательно, поскольку файл .htaccess игнорируется. Способствующим фактором является отсутствие дополнительной проверки расширения перед сохранением файла, в предположении, что содержимое параметра безопасно. Это позволяет создавать доступные через веб и исполняемые файлы с произвольным содержимым.

• CVE-2019-11231-PoCЭксплойт

  CVE-2019-11231 PoC