Spotweb runcommand OS命令执行漏洞分析

漏洞概述 Spotweb 的 NZB 集成将选定的 spot 标题替换到管理员配置的 shell 命令中，并将整个字符串传递给 PHP 函数，没有进行任何转义。标题是攻击者可控的数据，因为任何具有默认 权限的账户都可以发布带有任意标题的 spot。当受信任用户通过 操作下载该 spot 时，标题会从其预期的参数中脱离，shell 会以 Spotweb PHP 进程的权限运行攻击者选择的命令。信任边界跨越了低权限发布者和运行 Spotweb 的主机账户。这不是未经身份验证的远程代码执行。它需要一个引用 的 命令、一个攻击者提供的标题以及受信任用户的数据下载操作。在这些条件下，它是任意 OS 命令执行，已在运行时确认针对发布的 1.5.8 处理程序。 影响范围 受影响版本：1.5.8（在 commit 上验证），相同的替换后跟 存在于当前的 和 分支。第一个受影响版本尚未确定。 类：CWE-78 特殊元素在 OS 命令中的不当中和（OS 命令注入） 状态：协调披露进行中。尚未分配 CVE。 修复方案 短期修复 将两个替换值包装在 中，使标题成为单个引用参数而不是 shell 语法。这是最小的更改，并保持现有的模板模型工作。 中期修复 停止将用户数据插入 shell 字符串。构建一个参数向量，并使用 运行程序（例如，使用 并传递标题作为不同的参数）。将 严格视为数据，正如文档所描述的那样。 深度防御 添加回归测试，标题包含 shell 元字符（ , , , , , , , , , ）时不会执行。 POC 代码 验证 运行时验证针对 Spotweb 1.5.8 的真实检出（commit ）在 PHP 8.3.6 上。测试套件（ ）子类化 ，仅覆盖 ，并使用合成夹具驱动真实的 方法，其真实的 替换和真实的 。不需要数据库或 Usenet 服务。配置的命令是 ，标记路径是隔离临时目录内的随机命名文件。 观察输出 影响和限制 任意 OS 命令执行：作为 Spotweb PHP 进程运行，由 spot 标题驱动，该标题由普通发布账户控制，当受信任用户通过 集成下载 spot 时触发。 场景： - 自托管并启用 集成：攻击者编码在标题中的任何命令在受信任用户下载 spot 时在 Spotweb 主机上运行。影响取决于 PHP 进程可以访问的内容，通常包括配置、数据库凭证和本地网络。 - 多用户实例，默认权限： （已认证）和下载集成（受信任）之间的分离是预期的默认值，因此两个角色需要存在才能利用。攻击者只需要一个发布账户。 - 未配置 的实例：不可利用。仅当用户配置了引用 的 模板时，漏洞才存在。 - 未建立，未经身份验证的执行：在没有 配置的情况下，攻击者无法强制受害者下载。概念证明仅创建标记文件在隔离的临时目录中并随后删除。没有向攻击者的读回通道被声称，原语是盲命令执行在主机上。

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

Spotweb runcommand OS命令执行漏洞分析

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

Spotweb runcommand OS命令执行漏洞分析

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！