vBulletin 3.0.x PHP远程任意代码执行漏洞

发布日期：2005-02-13
更新日期：2005-02-21

受影响系统：

VBulletin VBulletin 3.0.4
VBulletin VBulletin 3.0.3
VBulletin VBulletin 3.0.2
VBulletin VBulletin 3.0.1

不受影响系统：

VBulletin VBulletin 3.0.6
VBulletin VBulletin 3.0.5

描述：

---

BUGTRAQ ID: 12542

vBulletin Forum是一款基于PHP的WEB论坛程序。

vBulletin forumdisplay.php脚本存在安全问题，远程攻击者可以利用这个漏洞以进程权限执行任意命令。

问题代码如下：

#############################################################
if ($vboptions['showforumusers'])
{
.
.
.
.

if ($bbuserinfo['userid'])
{
.
.
.
.
$comma = ', ';
}
.
.
.
.
while ($loggedin = $DB_site->fetch_array($forumusers))
{
.
.
.
eval('$activeusers .= "' . $comma . fetch_template('forumdisplay_loggedinuser') . \
'";'); <<==== (Vuln) $comma = ', ';
.
.
}
.
.
}

#############################################################

在当管理员设置showforumusers为ON，magic_quotes_gpc设置为OFF的情况下，攻击者可通过设置secret array为GLOBALS[]=1绕过init.php脚本中的unset($GLOBALS["$_arrykey"])代码，以WEB进程权限执行任意命令。

<*来源：al3ndaleeb （al3ndaleeb@uk2.net）

链接：http://marc.theaimsgroup.com/?l=bugtraq&m=110840807415315&w=2
*>

测试方法：

---

警 告

以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！

http://site/forumdisplay.php?GLOBALS[]=1&f=2&comma=".system('id')."

建议：

---

临时解决方法：

如果您不能立刻安装补丁或者升级，NSFOCUS建议您采取以下措施以降低威胁：

* 在if ($vboptions['showforumusers'])前设置：
$comma = '';

* 在vbulletin选项中禁用showforumusers.

厂商补丁：

VBulletin
---------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

http://www.vbulletin.com/

文章整理：西部数码--专业提供域名注册、虚拟主机服务
http://www.west263.com
以上信息与文章正文是不可分割的一部分,如果您要转载本文章,请保留以上信息，谢谢!