Фатальная уязвимость в четверке

04-18-2013, 04:36 PM

Уязвимость находится в файле newattachment.php. Работает при включенной публикации файлов в CMS.

Перейдя по следующей ссылке, нам выбьет ошибку БД:

Quote:

newattachment.php?do=assetmanager&values[f]=hello&contenttypeid=1&poststarttime=1366227214&posthash=5726198a75ba3d9c26ba728c39f78a3d&insertinline=1

Уязвимость есть точно в версии 4.1.4, скорее всего и в остальных версиях линейки (мою 4.2 так и слили).

Временное решение:

Удалить newattachment.php из корня форуме
Отключить публикацию файлов в CMS

Сам файл прикладываю, дабы местные умельцы могли его проанализировать.

04-18-2013, 04:41 PM

По мне так 4-ка это сплошная ошибка....

04-18-2013, 05:28 PM

CMS всегда отключаю клиентам....

04-18-2013, 07:00 PM

первый же кусок кода вызывает подозрения

PHP Code:


			
// Variables that are reused in templates 
$poststarttime = $vbulletin->GPC['values']['poststarttime'] = $vbulletin->input->clean_gpc('r', 'poststarttime', TYPE_UINT); 
$posthash      = $vbulletin->GPC['values']['posthash']      = $vbulletin->input->clean_gpc('r', 'posthash',      TYPE_NOHTML);

отсюда видно, что переменные $poststarttime и $posthash, которые должны проверяться чуть ниже, формируются из массива, переданного гет-запросом из адресной строки: ?array[key]=value
но
ниже идет проверка совершенно другого кода

Code:

($vbulletin->GPC['posthash'] != md5($vbulletin->GPC['poststarttime'] . $vbulletin->userinfo['userid'] . $vbulletin->userinfo['salt']))

выделенные переменные не фильтруются, во всяком случае, в этом участке кода, данного файла
и они нигде не переопределены
здесь код должен выглядеть так:

Code:

($vbulletin->GPC['values']['posthash'] != md5($vbulletin->GPC['values']['poststarttime'] . $vbulletin->userinfo['userid'] . $vbulletin->userinfo['salt']))

такое ощущение, что кодеры просто не переписали этот кусок кода, но при этом изменили передачу данных в запросе
да, раньше так и было, переменные передавались как обычно ?param=value

в самом низу файла, есть код, который "должен" отфильтровать значение в скрытом поле

PHP Code:


			
function fetch_hidden_value($key, $value) 
{ 
    return '<input type="hidden" name="values[' . htmlspecialchars_uni($key) . ']" value="' . htmlspecialchars_uni($value) . '" />'; 
}

но т.к. эта форма доступна пользователю (с головой и руками) для редактирования, то в эти поля можно запихать что угодно
да и сам тип полей можно изменить с type="hidden" на textarea или любой другой и отправлять соотв. данные в этих полях