Flatnuke 3 Remote Cookie Manipoulation / Privilege Escalation

🗓️ 24 Oct 2007 00:00:00Reported by RootType

Flatnuke 3 Remote Cookie Manipoulation and Privilege Escalation. Code allows bypass of cookie value to login as admin. Additionally, directory description in download module allows PHP code execution


                                                ---------------------------------------------------------------
&nbsp;____&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;__________&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;__&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;____&nbsp;&nbsp;__&nbsp;&nbsp;&nbsp;
/_&nbsp;&nbsp;&nbsp;|&nbsp;____&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;|__\_____&nbsp;&nbsp;\&nbsp;&nbsp;_____/&nbsp;&nbsp;|_&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;/_&nbsp;&nbsp;&nbsp;|/&nbsp;&nbsp;|_&nbsp;
&nbsp;|&nbsp;&nbsp;&nbsp;|/&nbsp;&nbsp;&nbsp;&nbsp;\&nbsp;&nbsp;&nbsp;&nbsp;|&nbsp;&nbsp;|&nbsp;_(__&nbsp;&nbsp;&lt;_/&nbsp;___\&nbsp;&nbsp;&nbsp;__\&nbsp;&nbsp;______&nbsp;&nbsp;|&nbsp;&nbsp;&nbsp;\&nbsp;&nbsp;&nbsp;__\
&nbsp;|&nbsp;&nbsp;&nbsp;|&nbsp;&nbsp;&nbsp;|&nbsp;&nbsp;\&nbsp;&nbsp;&nbsp;|&nbsp;&nbsp;|/&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;\&nbsp;&nbsp;\___|&nbsp;&nbsp;|&nbsp;&nbsp;&nbsp;/_____/&nbsp;&nbsp;|&nbsp;&nbsp;&nbsp;||&nbsp;&nbsp;|&nbsp;&nbsp;
&nbsp;|___|___|&nbsp;&nbsp;/\__|&nbsp;&nbsp;/______&nbsp;&nbsp;/\___&nbsp;&nbsp;&gt;__|&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;|___||__|&nbsp;&nbsp;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;\/\______|&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;\/&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;\/&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;
---------------------------------------------------------------

Http://www.inj3ct-it.org&nbsp;	&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Staff[at]inj3ct-it[dot]org&nbsp;

---------------------------------------------------------------

Flatnuke3&nbsp;Remote&nbsp;Cookie&nbsp;Manipoulation&nbsp;/&nbsp;Privilege&nbsp;Escalation

---------------------------------------------------------------

#By&nbsp;KiNgOfThEwOrLd

---------------------------------------------------------------
PoC:

When&nbsp;an&nbsp;user&nbsp;log&nbsp;in,&nbsp;flatnuke&nbsp;set&nbsp;him&nbsp;a&nbsp;cookie&nbsp;value&nbsp;like&nbsp;this:&nbsp;
myforum=nomeuser.&nbsp;If&nbsp;we&nbsp;try&nbsp;to&nbsp;change&nbsp;it,&nbsp;flatnuke&nbsp;will&nbsp;ask&nbsp;us&nbsp;to&nbsp;log&nbsp;in&nbsp;
again.&nbsp;The&nbsp;code&nbsp;is:&nbsp;


$req&nbsp;=&nbsp;$_SERVER[&quot;REQUEST_URI&quot;];
if&nbsp;(strstr($req,&nbsp;&quot;myforum=&quot;))
die(_NONPUOI);

So,&nbsp;we&nbsp;can&nbsp;bypass&nbsp;this&nbsp;filter,&nbsp;using&nbsp;nullbyte&nbsp;and&nbsp;login&nbsp;as&nbsp;admin.&nbsp;For&nbsp;example,&nbsp;Replace:&nbsp;

myforum=yourusername&nbsp;

with:&nbsp;

myforum%00=adminusername

PHP&nbsp;Execution&nbsp;PoC:

I&nbsp;saw&nbsp;that&nbsp;in&nbsp;download&nbsp;module,&nbsp;if&nbsp;we&nbsp;set&nbsp;to&nbsp;&quot;1&quot;&nbsp;the&nbsp;fneditmode,&nbsp;we&nbsp;can&nbsp;
make&nbsp;directory.&nbsp;So,&nbsp;we&nbsp;can&nbsp;write&nbsp;a&nbsp;description&nbsp;for&nbsp;the&nbsp;directory,&nbsp;and&nbsp;
this&nbsp;description&nbsp;will&nbsp;be&nbsp;saved&nbsp;in&nbsp;
/Download/[Dir_Name]/description.it.php&nbsp;.&nbsp;Yes,&nbsp;we&nbsp;can&nbsp;insert&nbsp;php&nbsp;code&nbsp;in&nbsp;
the&nbsp;description&nbsp;and&nbsp;it&nbsp;will&nbsp;be&nbsp;execute!&nbsp;Nice,&nbsp;dontcha?&nbsp;:P&nbsp;

---------------------------------------------------------------

24 Oct 2007 00:00Current

7.1High risk

Vulners AI Score7.1