Backup and Staging by WP Time Capsule < 1.21.16 - Доказательство концепции обхода аутентификации

Недавно был обнаружен обход аутентификации (https://www.webarxsecurity.com/vulnerability-infinitewp-client-wp-time-capsule/) в WP Time Capsule < 1.21.16. Этот PoC показывает, как работает проблема и как её можно эксплуатировать.

PoC

Этот PoC предлагает два различных варианта:

• Вариант 1: получить cookie администратора Пример:
  root@kitploit:~

  poc.py http://127.0.0.1/
  

• Вариант 2: получить cookie администратора + загрузить защищённый паролем веб-шелл в /wp-content/plugins/shell/shell.php Пример:
  root@kitploit:~

  poc.py http://127.0.0.1 shell
  

Проблема

Функция decode_server_request_wptc(), которая находится в wptc-cron-functions.php и вызывается конструктором Wptc_Init, не выполняет никаких проверок привилегий при декодировании запросов, отправленных в теле:

if( !empty($HTTP_RAW_POST_DATA_LOCAL)
  && strpos($HTTP_RAW_POST_DATA_LOCAL, 'IWP_JSON_PREFIX') !== false ){

  wptc_log('', "--------IWP_JSON_PREFIX--coming------");

  wp_cookie_constants();
  wptc_login_as_admin();
}

Она просто проверяет, содержит ли тело любого POST-запроса строку IWP_JSON_PREFIX, и если да, вызывает методы:

  wp_cookie_constants();
  wptc_login_as_admin();

wptc_login_as_admin() получает всех пользователей-администраторов, извлекает первого и возвращает cookie для этого имени пользователя.

function wptc_login_as_admin(){

	wptc_log(func_get_args(), "--------" . __FUNCTION__ . "--------");

	wptc_define_admin_constants();

	if( !function_exists('is_user_logged_in') ){
		include_once( ABSPATH . 'wp-includes/pluggable.php' );
	}

	if(is_user_logged_in()){
		return ;
	}

	$admins = get_users(array('role' => 'administrator'));

	foreach ($admins as $admin) {
		$user = $admin;
		break;
	}

	if (isset($user) && isset($user->ID)) {
		wp_set_current_user($user->ID);
		// Compatibility with All In One Security
		update_user_meta($user->ID, 'last_login_time', current_time('mysql'));
	}

	if(!defined('SECURE_AUTH_COOKIE')){

		return;
	}

	$isHTTPS = (bool)is_ssl();

	if($isHTTPS){
		wp_set_auth_cookie($user->ID);
	} else{
		wp_set_auth_cookie($user->ID, false, false);
		wp_set_auth_cookie($user->ID, false, true);
	}
}

Воспроизведение проблемы

Для этого теста мы использовали:

• Готовый образ Wordpress для docker-compose https://github.com/nezhar/wordpress-docker-compose
• wp-time-capsule 1.21.15 https://downloads.wordpress.org/plugin/wp-time-capsule.1.21.15.zip
• Burp Suite

Шаги:

1. Откройте новую сессию в браузере
2. Перейдите на wp-login.php
3. Введите произвольные имя пользователя и пароль
4. Замените любую часть тела запроса следующей строкой: IWP_JSON_PREFIX
5. Вернитесь на главную страницу