plugin/dlexec.phpにはサーバー上の好きなファイルをダウンロードできる脆弱性がある

選択肢1: &dllink(/etc/passwd); と自分のサイトに書き込む
選択肢2: www.haik-cms.jp/index.php?HAIKserver で実験する

****
ここに書かれていたコードは問題がありますので、管理者権限で削除しました。

tomzo 20016/12/07
****

先日の#articleのコメント欄でも選択肢1は有効ですので、
簡単に設定ファイルなどが見えてしまいますね。
私はとりあえず、テスト用サイトは
plugin/dlexec.php
plugin/dllink.inc.php
をリネームしました。

幾つかサイトあるのでどうしようかな・・・。

開発者には報告しておきましたが、私には詳しいことは分からないので確認できたことがあればお願いします。

ページ内に記述する・しないに関係なく、パスワードやデータファイルがダウンロード、閲覧できる重大な不具合です。
放置すると詳しい人が悪用すると大事なデータが漏洩します。
直ぐに対応したほうが良い内容です。

>plugin/dlexec.php
>plugin/dllink.inc.php
>をリネームしました。

　私もこの2つをリネームしました。私のサイトの動作には影響してません。

当フォーラムの管理者　tomzoです。

[613]dlexecの脆弱性
に書かれていたコードを実行すると、HAIK-Teamに関するデータが
見れてしまいますので、不適切な投稿として、コードを一部削除しました。

脆弱性があることは、たしかなので早急の対応を望みます。

うみほしさん、報告ありがとうございます。

私のサイトでは無くても支障ないようなので、該当の２つのプラグインはサーバーから削除しておきました。
evil hackerさんご指摘ありがとうございました。

今のところ、HAIK-Teamからは何のリアクションもありませんね。
どう対処するのかな？

私はこのプラグインをPDFファイルなどの無料配布で使っています。

コンテンツ販売などでサンプル品を無料公開するといった用途で使われ
やすいでしょう。

>今のところ、HAIK-Teamからは何のリアクションもありませんね。
>どう対処するのかな？

#article の方の問題は方はすぐに6.0.5として対策されましたが、
こちらもHAIK-Teamはだんまりでしょうか？

何かを変えたらその旨をアナウンスすべきでしょうし、セキュリティー
にまつわることならなおさらだと思うのですが。

しかし基本的に以下のスタンスのはずですから、何も言わないかもですね。

>旧バージョンのQHMシステムへの
>修正等の対応は既に終了して
>いるため、大変申し訳ございませんが、
>このような不具合への
>対応もされません。

しかしこれだと6.0.5が出ていること自体で言っていることとしているこ
とが異なりますが、どうしたもんでしょう？北研さんの時よりまずい気
もします。

　CLUBに脆弱性対処のアップデートである旨メールとお知らせがありましたが、具体的にどのような脆弱性かはアナウンスがありませんでした。
　現状のCLUB会員はバックアップもアップデートもやったことのない初心者ユーザーが多いので、混乱をまねかないためという配慮と思います。CLUBの現在の課題は、いかに会員に最新版にアップデートしてもらって、環境をそろえるかという事のように見えます。
　まあ、事情を知るものには今回の件は賛否あると思います。しかし対処自体は迅速だったので私は評価してます。もともと北研が放置してきたツケを払っているわけですから。
　非会員は自分でなんとかするという人達ですから、自分で情報を取らない限りアナウンスは無いでしょう。
　ただ、次に発覚した深刻な脆弱性は、チームのお問い合わせメールで通知してありますが、対処法が固まらないのか、まだアナウンスありませんね。
　プラグインのどこをいじるのかは、ベータ版公開サイトにあるコードで、私たちも考えることができますので、スキルのある人は自分で何とかしようと思えばできるかもしれません。

ソースコードを修正するなら、ダウンロードファイルのパスを
チェックする事になると思います。
とりあえずシステムの重要なファイルをダウンロード出来ないように
するには、拡張子をjpg,png,gif,pdf,doc,docx,xls,xlsx等に制限し、
ファイルはindex.phpが存在するフォルダ以下にすることを前提にする
など条件をつけるとソースコードが修正がそれ程面倒では無いと
思います。プログラムのスキルの高い人なら簡単なのかな。

サーバーがLinux系ならファイルのパーミッションを利用すると
かなり危険性が減るかな。