Grav CMS Flex框架远程命令执行漏洞分析

漏洞概述 标题: FlexDirectory::dynamicDataField() 执行任意调用，无验证 描述: Grav 的 Flex 框架中存在一个缺失的验证检查，允许任何拥有单个 Flex 目录创建或更新权限的用户执行任意 shell 命令。该漏洞通过 方法中的 函数实现，该函数未对传入的参数进行充分验证，导致可以执行危险的调用。 影响范围 受影响版本: >= 1.7.0 修复版本: 2.0.9 严重程度: 中等 CVE ID: 无已知 CVE 弱点: CWE-470 修复方案 建议修复: 在 中使用 检查 已使用的调用，最好通过重新实现可调用调度而不是重新注册 注册。 POC 代码 Part 1: 代码级别 Part 2: 完整 HTTP 链 配置使用: 基础检查: 相同的提交如上。 bin/gpm install admin flex-objects -y: 这会拉入 form, login, email, shortcode-core, api 作为依赖项。 php -S localhost:8000 system/router.php: 步骤 1: Flex-objects 提供了一个自包含的示例目录 ，带有自己的 admin.contacts 权限集。添加了一个字段到其 ： 步骤 2: 注册 作为活动目录通过正常配置覆盖，相同的文件在 admin Plugin Configuration 屏幕写入到 ： 步骤 3: 确认一个完全超级管理员账户可以触发它作为基线。 （普通的“创建联系人”端点）使用超级管理员 JWT： 步骤 4: 创建第二个账户，没有任何授予权限： 没有 admin.super，没有 api.super，除了在这个目录中创建记录外，没有任何权限。这正是 contacts.yaml 自己的蓝图声明的权限。api.contacts.create 映射到 api.contacts.create。令牌响应确认账户没有任何其他权限，“admin.super”: false，只有 api.access 和 api.contacts.create 为 true。 该账户发送了相同的 请求，一个普通的“创建联系人”调用与合法用户无法区分： 这在完全独立的克隆检出上再次重现（独立的 composer install，独立的 bin/gpm install，新的账户），以排除任何依赖项从第一次运行。两次运行结果相同。 影响 威胁模型: 攻击者需要一个拥有单个 Flex 目录创建或更新权限的认证账户。PoC 账户仅拥有一项权限，api.contacts.create，限制到单个目录，与 super.admin: false 和其他访问权限。从单个权限获得任意 shell 命令执行作为 Web 服务器用户，完全远程代码执行。这是一个真正的边界交叉，不是在动作作用域内，而是在动作作用域外。一个只允许向单个目录添加记录的权限变成了不受限制的代码执行。 任何 Grav 2.0 安装运行 插件，或任何其他定义 Flex 目录的插件（Flex Users 和 Flex Pages 是 Grav-core Flex 类型），都通过相同的未受保护代码路径，只要蓝图字段在任何地方携带一个 指令。任何人都可以将该指令放入活动蓝图，需要访问权限才能这样做。我无法独立确认从该检出单独运行 Grav 会触发一个蓝图字段，其中包含一个非超级用户写入级别蓝图 YAML，其中包含逻辑位于 Flex 对象或 admin UI 代码之外的调用。完全证明的触发器是：一旦这样的字段存在，对于任何原因，账户可以只在该目录中创建记录，可以在服务器上运行 shell 命令。根据您自己的严重性指南，这是一个高：低级特权账户最终获得能力超越其授予的权限。

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

Grav CMS Flex框架远程命令执行漏洞分析

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

Grav CMS Flex框架远程命令执行漏洞分析

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！