Programisto PHP, mamy dla Ciebie niespodziankę. Wytłumaczymy na przykładzie podatności RCE w CentOS Web Panel (luka nie wymaga uwierzytelnienia)

Tutaj inspirujący odpis podatności – CVE-2021-45467: CWP (CentOS Web Panel) – preauth RCE.

Zobaczcie ten fragment kodu:

<?php
if(!empty($_GET["api"])) {
…
        if (!empty($_GET["scripts"])) {
            $_GET["scripts"] = GETSecurity($_GET["scripts"]);
            include "../../resources/admin/scripts/" . $_GET["scripts"] . ".php";
        }
…

Może dałoby się podać wartość zmiennej scripts jako ../../../ i tym samym zaincludować jakiś inny plik z serwera?

Nie da się! Bo wredny system od razu wykrywa „hacking attempt”. Wykrycie to znajduje się w funkcji GETSecurity():

function GETSecurity($variable)
{
    if (stristr($variable, ".." ) {
        exit("hacking attempt");
    }
 }

Więc jeśli gdziekolwiek w wartości będziemy mieć podwójną kropkę – amen.

No dobrze, ale może podejść do tematu inaczej – czyli w ogóle nie używać dwóch kropek, ale jednak osiągnąć cel: tj. zaincludowanie dowolnego pliku z katalogu nadrzędnego?

No właśnie okazuje się, że można użyć ciągu .%00.

Dochodzimy tym samym do sedna cytowanego badania:

Most PHP’s functions (including the require() and include() functions) seem to process /.%00./ as /../ – Similarly, while stristr() ignores the null bytes, it still counts its size so it bypasses the check.

Co dalej? Można było bez uwierzytelnienia dodać swój klucz API do systemu:

GET https://CWP/user/loader.php?api=1&scripts= .%00./.%00./api/account_new_create&acc=guadaapi&ip=192.168.1.1&keyapi=OCTAGON 

A następnie już śmiało korzystać z klucza API (w przykładzie jego wartość to: OCTAGON), który daje pełny dostęp do wszystkich funkcji w systemie:

Now we have added the api key “OCTAGON” requesting from 192.168.1.1 to have access to the full API like the following: 

GET https://CWP/api/?key=OCTAGON&api=add_server

Dalej poszło względnie z górki, bo wystarczyło odpowiednią funkcją API umieścić kawałek kodu w pliku na serwerze, a później wcześniejszą metodą go zaincludować.

Nota bene, twórcy CentOS Web Panel próbowali nieco panicznej obrony, przygotowując taką łatkę:

function GETSecurity($variable)
{

if (stristr($variable, "..") || stristr($variable, ".%00.")) {        
exit("hacking attempt");
    }
}

Ale można było ją ominąć takim payloadem:

.%00%00%00./.%00%00%00./api/account_new_create

Morał: sprawdzenie w PHP czy jakaś wartość nie zawiera ciągu .. (jako próba ochrony przed podatnością klasy path traversal) może nie być wystarczające.

~Michał Sajdak