wordpress-jetpack-broken-access-control-vulnerable-application

Это уязвимое приложение для тестирования эксплуатации уязвимости нарушенного контроля доступа Jetpack < 13.9.1 (CVE-2024-9926).

ПРЕДУПРЕЖДЕНИЕ!

Это приложение содержит серьезные уязвимости безопасности. Запускайте его на свой страх и риск! Рекомендуется использовать среду с резервным копированием и изоляцией (например, виртуальную машину с актуальным снимком и сетевым режимом только для хоста). Не загружайте это приложение на серверы, доступные из Интернета, так как они будут скомпрометированы.

ОТКАЗ ОТ ОТВЕТСТВЕННОСТИ: Я не несу ответственности за то, как кто-либо использует это приложение. Единственная цель этого приложения — быть тестовым сценарием для эксплуатации уязвимости нарушенного контроля доступа Jetpack < 13.9.1 (CVE-2024-9926), и его не следует использовать со злым умыслом. Если ваш сервер будет скомпрометирован в результате установки этого приложения, это не моя ответственность, а ответственность лица(лиц), которые загрузили и установили его.

Информация об уязвимости

• CVE-ID: CVE-2024-9926
• Ссылка: https://www.cve.org/CVERecord?id=CVE-2024-9926
• Описание: Эта уязвимость может быть использована любыми авторизованными пользователями сайта для чтения форм, отправленных посетителями сайта.
• Ссылка на вендора: https://jetpack.com/blog/jetpack-13-9-1-critical-security-update/
• Исправление: https://github.com/Automattic/jetpack-production/commit/18605ae8cdc7438c2088336c51f3db8d6a5b90fd
• Официальный PoC: https://wpscan.com/vulnerability/669382af-f836-4896-bdcb-5c6a57c99bd9/

Использование

Вот шаги для настройки среды:

1. Запустите ./up.sh, чтобы запустить композицию.
2. Завершите установку WordPress здесь: https://localhost:1337/wp-admin/install.php.
3. Войдите в WordPress.
4. Перейдите в "Плагины": https://localhost:1337/wp-admin/plugins.php.
5. Нажмите "Активировать" под плагином "Jetpack". НЕ ОБНОВЛЯЙТЕ ЕГО, так как нам нужна уязвимая версия.
6. Перейдите в "Jetpack" > "Настройки" > "Написание" и в разделе "Составление" включите "Блоки Jetpack дают вам возможность доставлять качественный контент, который привлекает посетителей сайта, без необходимости нанимать разработчика или изучать ни одной строки кода.".
7. Создайте новую страницу в WordPress, добавив элемент "Контактная форма".
8. Посетите созданную страницу и используйте контактную форму для заполнения отзывов.

Контейнер будет называться vuln-wp-jetpack.

Для удаления среды используйте команду ./down.sh или команду ./down_and_delete.sh, чтобы также удалить образы и том базы данных.

Первопричина

Взглянув на исправление, легко понять, что единственная проверка, выполняемая обоими методами get_items_permissions_check() и get_item_permissions_check(), — это членство пользователя в блоге.

Оба метода объявлены в классе Contact_Form_Endpoint файла automattic/jetpack-forms/src/contact-form/class-contact-form-endpoint.php. Как говорится в комментарии в начале класса, этот класс...

Используется как параметр rest_controller_class при регистрации типа записи feedback в классе \Automattic\Jetpack\Forms\ContactForm\Contact_Form

Это можно увидеть в файле automattic/jetpack-forms/src/contact-form/class-contact-form-plugin.php в строке 201, где регистрируется пользовательский тип записи feedback.

Доступные типы можно получить через REST API с помощью запроса следующего вида.

GET /?rest_route=/wp/v2/types

Ответ содержит тип feedback.

Эксплуатация

Для эксплуатации уязвимости достаточно запроса следующего вида.

GET /?rest_route=/wp/v2/feedback

Запрос должен содержать заголовок авторизации с Паролем приложения следующего вида.

Authorization: Basic eW91cl91c2VybmFtZTp5b3VyX2FwcGxpY2F0aW9uX3Bhc3N3b3Jk

Скрипт эксплуатации на Python можно найти здесь.

Авторы

• Antonio Francesco Sardella - реализация - m3ssap0

Лицензия

Этот проект лицензирован под Unlicense — подробности смотрите в файле LICENSE.

Благодарности

• Marc Montpas, исследователь безопасности, обнаруживший уязвимость.