phpBB 2.0.17 img upload XSS
 

Продукт: phpBB

Версия: 2.0.17 (и ниже)

Описание:
Подробно описывать не буду, скажу основную суть:wink: .
На этот раз суть уязвимости заключается в самой уязвимости Microsoft Internet Explorer (всех версий), кто хочет может с ней ознакомится поподробнее Microsoft Internet Explorer 6.0 Embedded Content Cross Site Scripting (GIF). Смысл самой уязвимости: злоумышленник создает псевдо картинку с вредоносным штмл кодом, позволяющий выполнить XSS нападение; закачивает эту "картинку" на удаленный сервер и в профиле форума добавляет url этой "картинки" и загружает, если администратор в настройках форума разрешил добавлять аватор с удаленного сервера. Сам форум проверяет этот файл на расширение, что сходится, на тип файла и размера - это тоже все сходится! и форум загружает к себе на сервер эту вредоносную "картинку". А дальше стоит этому злоумышленнику оставить пару постов в форуме с этим аватором и все куки пользователей и возможно администратора попадут к злоумышленнику! А дальше дело техники...


Устранение:
Службе поддержки phpbb отрапортовали, так что ждем содня на день выход новой версии 2.0.18 в которой будет исправленно эта брешь.
А пока советую в настройках форума отключить следующее:
Разрешить удаленных аватар - нет
Разрешить закачку аватар - нет