YABB SE packages.php远程文件包含漏洞发布时间：2003-03-09 更新时间：2003-03-09 严重程度：高 威胁程度：普通用户访问权限 错误类型：配置错误 利用方式：服务器模式 BUGTRAQ ID：6663 受影响系统 YaBB SE YaBB SE 0.8详细描述 YaBB SE是一个基于PHP的CGI程序，YaBB SE packages.php脚本允许用户指定包含文件的路径，远程入侵者可能利用这个问题让服务器程序脚本包含一个远程的入侵者所控制的服务器上的恶意脚本，从而导致YABB SE以Web服务进程权限执行任意入侵者的任意命令。 解决方案 临时解决方案是修改PHP的配置文件php.ini，关闭'allow_url_fopen'和'register_globals'选项中的任意一个。 "Frog man"提供如下第三方补丁： http://www.phpsecure.org/index.php?id=94&zone=pDl http://www.phpsecure.org/index.php?id=98&zone=pDl http://www.phpsecure.org/index.php?id=99&zone=pDl 相关信息 mindwarper@hush.com YabbSE Remote Code Execution Vulnerability http://online.securityfocus.com/archive/1/307614 |
