CVE-2020-23138

Unrestricted file upload w Microweber 1.1.18 — zdalne wykonanie kodu

CVSS 9.8v3.1pub. 2020-11-09upd. 2024-11-21

W Microweber 1.1.18 strona konta administratora pozwala na przesłanie pliku z dowolnym rozszerzeniem (np. .php, .exe) poprzez manipulację typem zawartości żądania. Umożliwia to atakującemu zdalne wykonanie kodu (RCE) na serwerze webowym.

▸ Pokaż oryginał (EN)

An unrestricted file upload vulnerability was discovered in the Microweber 1.1.18 admin account page. An attacker can upload PHP code or any extension (eg- .exe) to the web server by providing image data and the image/jpeg content type with a .php extension.

🤖 Analiza AI

Jak działa

Atakujący przesyła do panelu administracyjnego Microweber plik PHP (lub inny plik wykonywalny), podając w żądaniu nagłówek Content-Type: image/jpeg przy jednoczesnym użyciu rozszerzenia .php w nazwie pliku. Aplikacja nie weryfikuje prawidłowo rzeczywistego typu przesyłanego pliku i akceptuje go jako obraz. Przesłany plik trafia na serwer webowy, skąd może zostać bezpośrednio wywołany przez atakującego.

Skutki

Atakujący posiadający dostęp do konta administratora może uzyskać pełną kontrolę nad serwerem webowym poprzez zdalne wykonanie dowolnego kodu PHP (RCE), a także przesyłać i uruchamiać złośliwe pliki wykonywalne.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się skonfigurowanie serwera webowego tak, aby uniemożliwiał wykonywanie plików w katalogach przeznaczonych na przesyłane pliki, oraz wdrożenie walidacji przesyłanych plików po stronie serwera (weryfikacja rzeczywistego typu MIME i białej listy dozwolonych rozszerzeń).

Kogo dotyczy

Microweber w wersji 1.1.18

Uwagi

Podatność wymaga dostępu do konta administratora, co ogranicza powierzchnię ataku. Dowód koncepcji (proof of concept) jest publicznie dostępny w serwisie GitHub (gist autorstwa virendratiwari03).