CVE-2025-67435-PoC

CVE-2025-67435

Исследователь : Chowdhury Faizal Ahammed

PluckCMS — Отчёт об уязвимости удалённого выполнения кода через Zip Slip

Исполнительное резюме

Данный отчёт документирует критическую уязвимость безопасности, обнаруженную в PluckCMS, которая позволяет аутентифицированным атакующим добиться удалённого выполнения кода с помощью атаки типа Zip Slip. Уязвимость существует в функциональности загрузки модулей и может быть использована путём загрузки специально созданного ZIP-архива, содержащего вредоносный PHP-код.

Ссылка на продукт:

• GitHub-репозиторий: https://github.com/pluck-cms/pluck.git

Затронутые версии

4.7.20

Детали уязвимости

Тип уязвимости: Zip Slip, приводящий к удалённому выполнению кода (RCE)

Затронутый компонент: Система управления модулями (Настройки → Управление модулями)

Вектор атаки: Загрузка вредоносного ZIP-файла

Требуется аутентификация: Да (доступ к панели администратора)

Критичность: Критическая

Техническое описание

Уязвимость вызвана недостаточной проверкой и очисткой содержимого ZIP-архива во время процесса загрузки модуля. PluckCMS позволяет администраторам загружать модули в формате ZIP без надлежащей проверки путей к файлам внутри архива. Это позволяет атакующему создать вредоносный ZIP-файл, использующий уязвимость обхода пути, что даёт возможность произвольного размещения файлов в файловой системе сервера.

При распаковке ZIP-архива приложение не проверяет, что распакованные файлы остаются в пределах предполагаемой структуры каталогов. Атакующий может использовать эту слабость для записи вредоносных PHP-файлов в доступные через веб-сервер расположения, а затем выполнять произвольный код на сервере.

Доказательство концепции

Настройка окружения

Уязвимость может быть воспроизведена с использованием следующего окружения:

git clone https://github.com/pluck-cms/pluck.git
cd pluck
ddev config --project-type=php --docroot=.
ddev start

URL хостинга : http://pluck.ddev.site

Шаги эксплуатации

1. Доступ к панели администратора: Перейдите на установку PluckCMS и пройдите аутентификацию с административными учётными данными
2. Переход к управлению модулями: Выберите Настройки → Управление модулями
3. Подготовка вредоносной нагрузки: Создайте PHP-файл с вредоносным кодом и упакуйте его в ZIP-архив с изменёнными путями к файлам
4. Загрузка архива: Используйте функциональность загрузки модулей для отправки вредоносного ZIP-файла
5. Запуск выполнения: Получите доступ к загруженному PHP-файлу через веб-сервер для выполнения произвольных команд

Пример нагрузки

В ходе тестирования использовалась нагрузка для доказательства концепции, демонстрирующая возможность выполнения команд. Нагрузка использует функции выполнения системных команд PHP для запуска команд операционной системы.

<?php
$fn = "sys" . "tem";
(string) $fn("id");
?>

Оценка воздействия

Успешная эксплуатация этой уязвимости позволяет аутентифицированному атакующему с административным доступом:

• Выполнять произвольные системные команды на сервере
• Читать, изменять или удалять конфиденциальные файлы и базы данных
• Нарушать конфиденциальность, целостность и доступность системы
• Перемещаться к другим системам в сети
• Создавать постоянные бэкдоры для дальнейшего доступа

Хотя для уязвимости требуется аутентификация администратора, она представляет критический риск безопасности, поскольку предоставляет прямой путь к полной компрометации системы.

Рекомендации

Немедленные действия

1. Ограничение доступа к загрузке модулей: Ограничьте функциональность загрузки модулей только доверенными администраторами
2. Мониторинг активности загрузок: Проверяйте журналы на предмет подозрительных загрузок ZIP-файлов
3. Проверка целостности файлов: Убедитесь, что в систему не были загружены вредоносные файлы

Ссылки

• GitHub-репозиторий: https://github.com/pluck-cms/pluck.git
• Уязвимость Zip Slip от OWASP: https://owasp.org/www-community/vulnerabilities/Zip_Slip