Explotación de vulnerabilidades de código en Joomla(CMS)

Joomla es uno de los gestores de contenidos más utilizados en el mundo (después de WordPress). Los CMS ayudan a los administradores de sitios webs a controlar sus sitios web de una manera mucho más estructurada, sin embargo, siempre son estudiados por investigadores de Seguridad, los cuales constantemente develan vulnerabilidades que puede afectar el correcto funcionamiento del servicio.

En esta oportunidad nos enfocaremos en una vulnerabilidad de Joomla la cual fue publicada el 12 de Diciembre del 2015 por unos investigadores de Seguridad, dicha vulnerabilidad  se encuentra en el filtrado inadecuado de la información del "user agent" al guardar los valores de la sesión en la base de datos, lo que podría permitir la ejecución de código arbitrario. Se le ha asignado el CVE-2015-8562. Es vulnerabilidad afecta a las versiones 1.5 hasta la 3.4.5 y que utilicen  PHP igual o inferior a la versión 5.4.45. (si no se cumplen estas dos condiciones, no será explotable).

A continuación realizaremos una Prueba de Concepto sobre esta vulnerabilidad.

Tenemos el siguiente escenario:

 

Ejec. Remota de Código Joomla – WebSite Aparentemente Vulnerable

Para saber si es un sitio con Joomla, podremos verificar si existe el recurso administrator, que es el recurso del panel de administración del gestor de contenidos.

 

Ejec. Remota de Código Joomla – Corriendo Joomla

Como es posible observar, el recurso administrator existe, por lo tanto sabemos que se trata de un Joomla. A continuación debemos detectar la versión que está corriendo, existen varias formas de detectar versiones de Joomla, es importante saber que hay ciertas versiones que utilizan un mecanismo distinto para poder obtener la versión del CMS, a continuación dejo enlace donde puede investigar cómo detectar versiones de Joomla.

How-to-check-the-version-of-joomla

Al utilizar todas las opciones que aparecen en el enlace anterior, la que nos funcionó fue la siguiente:

http://192.168.206.131/brownsite/language/en-GB/en-GB.xml

Ejec. Remota de Código Joomla – Versión 3.4.3

Ya se sabe que se está utilizando la versión 3.4.3 de Joomla. Ahora debemos verificar si la versión de PHP que se está utilizando es igual o inferior a la 5.4.5. Utilizaremos el comando curl para realizar una petición por GET y de esta manera detectar a través de las cabeceras la versión de PHP.

 

curl –v –X GET http://192.168.206.131

Ejec. Remota de Código Joomla – PHP versión 5.4.4

Posteriormente, para intentar explotar la vulnerabilidad, utilizaremos el exploit joomla_http_header_rce  el cual se encuentra disponible en Metasploit (se debe tener Metasploit actualizado para poder obtener este exploit).

use exploit/multi/http/joomla_http_header_rce

Al abrir msfconsole  en nuestra máquina atacante, ejecutamos el comando anterior, posteriormente seteamos parámetros requeridos por el exploit.

 

Ejec. Remota de Código Joomla – Parámetros necesarios para exploit

En primer lugar debemos agregar el RHOST, que corresponde a la dirección IP (en este caso) del sitio web de la víctima, posteriormente agregamos el TARGETURI que corresponde a la ruta del sitio web donde se encuentra instalado Joomla, finalmente utilizamos el PAYLOAD que nos permitirá explotar la vulnerabilidad. La diferencia entre reverse_tcp y bind_tcp, es que el primero hace referencia a que la víctima se conecta hacía el atacante y de esta manera se obtiene una Shell, mientras que bind_tcp, hace que las conexiones se hagan desde el equipo atacante hacia la víctima. (Esto es importante aclararlo, ya que muchas veces utilizamos más la conexión reverse_tcp). Finalmente lanzamos el exploit y verificamos si es posible obtener la sesión de Meterpreter.

 

Ejec. Remota de Código Joomla – Sesión de Meterpreter

Como es posible apreciar, se logró obtener una sesión Meterpreter de manera exitosa, al obtener esta sesión, se pueden hacer muchas cosas como por ejemplo leer archivos del equipo víctima, subir archivos, modificar el index, ejecutar comandos,  etc.