Kolejny 0-day exploit na MyBB

24 kwiecień 2007, autorstwa: kozik

To kolejny w przyciągu ostatniego miesiąca exploit na lukę 0-day (bez łaty od producenta) w MyBB. Tym razem - SQL Injection… Linka do exploita nie podam, ale za to:

W pliku calendar.php ZNAJDŹ:
$eid = intval($mybb->input['eid']);

PONIŻEJ DODAJ:
if (isset($mybb->input['day']))
$mybb->input['day'] = intval($mybb->input['day']) ;

Update (25 kwietnia):
MyBB wypuściło uaktualnienie (do wersji 1.2.6).

Wysłano w Blog - Web | Tags: bezpieczeństwo, www |

Liczba komentarzy: 2

1. pawhox Says:
   kwiecień 25th, 2007 at 15:11

   Ufff… Dużo jeszcze tych błędów może tam być? :/

2. kozik Says:
   kwiecień 26th, 2007 at 10:12

   Błędów to zapewne jest jeszcze sporo - to naturalne. Niestety część może wynikać ze złego projektu - dopiero w wersji 1.2 zaczęli wprowadzać coś w stylu obiektów biznesowych (post, pm, user, event); w całej aplikacji pałętają się zapytania SQL; brak wyraźnego modelu MVC (lub jakiegokolwiek innego)… błędy będą. Liczy się tylko i wyłącznie jak poważne i jak szybko łatane. Póki co do czasu reakcji producenta nie można mieć jakoś większych zastrzeżeń.

   Publikowanie exploitów na niezałatane luki jest niestety tutaj działaniem na szkodę użytkowników tego mechanizmu.