phpBB 直到 3.1.1 deregister_globals 权限提升 ⚔ [有争议]

历史差异连接jsonxmlCTI

CVSS 元临时分数	当前攻击价格 (≈)	CTI兴趣分数
4.8	$0-$5k	0.00

摘要信息

在phpBB 直到 3.1.1中曾发现一漏洞，此漏洞被评为致命。相关的是 deregister_globals函数。手动调试的不合法输入可导致权限提升。此外还有一个漏洞可利用。目前，此漏洞是否真实存在尚存疑惑。

在phpBB 直到 3.1.1中曾发现一漏洞，此漏洞被评为致命。相关的是 deregister_globals函数。手动调试的不合法输入可导致权限提升。采用 CWE 描述该问题会链接到 CWE-269。此漏洞的脆弱性 2014-11-22由公示人Taoguang Chen、公示人身份phpBB <= 3.1.1 deregister_globals() Function Bypass、公示人类型为Mailinglist Post (Full-Disclosure)所发布。该通告可在 seclists.org 下载。此次公开发布未与供应商协调。

有技术细节可用。该漏洞的知名度低于平均水平，此外还有一个漏洞可利用。该漏洞利用已公开，可能会被利用。目前，大约为美元 $0-$5k。 MITRE ATT&CK 项目将 T1068 作为攻击技术。导致该漏洞的代码如下：

$input = array_merge(
array_keys($_GET),
array_keys($_POST),
array_keys($_COOKIE),
array_keys($_SERVER),
array_keys($_SESSION),
array_keys($_ENV),
array_keys($_FILES)
);
foreach ($input as $varname)
{
if (isset($not_unset[$varname]))
{
if ($varname !== 'GLOBALS' || isset($_GET['GLOBALS']) ||
isset($_POST['GLOBALS']) || isset($_SERVER['GLOBALS']) ||
isset($_SESSION['GLOBALS']) || isset($_ENV['GLOBALS']) ||
isset($_FILES['GLOBALS']))
{
exit;
}
else
{
$cookie = &$_COOKIE;
while (isset($cookie['GLOBALS']))
{
if (!is_array($cookie['GLOBALS']))
{
break;
}
....
}
}
unset($GLOBALS[$varname]);
}

公告指出：

In the above code we see, when request $_COOKIE['GLOBALS'] = 1, $GLOBALS['GLOBALS'] will be destroyed by unset(). This means $GLOBALS array will be destroyed. This also means you will not be able to use $GLOBALS['key'] to access or control a global variable in all scopes throughout a script. Because the binding between the $GLOBALS array and the global symbol table has been broken. All global variables registered by PHP form $_COOKIE, $_SERVER, $_SESSION, $_ENV, and $_FILES arrays will be not unregistered.

它被宣布为概念验证。可以在packetstormsecurity.com下载该漏洞利用。 0日漏洞的地下市场估价大致为$0-$5k。该漏洞利用所用的代码是：

$_COOKIE['GLOBALS'] = 1;
$_COOKIE['ryat'] = $ryat = 'ryat';
deregister_globals();
var_dump($GLOBALS);
var_dump($ryat);
$GLOBALS['ryat'] = 'hi';
var_dump($GLOBALS);
var_dump($ryat);

目前，此漏洞是否真实存在尚存疑惑。

公告中有如下说明：