漏洞信息详情

B2 B2config.php远程命令执行漏洞

漏洞简介

B2是一款新闻/WEB记录工具,由PHP编写,允许管理员快速在Frontpage中张贴新闻,并允许浏览者交互,可使用于Linux和Unix操作系统下。 B2中B2config.php脚本在处理引用变量上存在问题,可导致远程攻击者以B2进程的权限在目标系统上执行任意命令。 在PHP脚本引用的变量实际不存在,因此,攻击者可以自己定义变量值,通过在自己控制的服务器上建立PHP脚本并嵌入相关命令,攻击者可以引用这个远程文件,导致攻击者以B2权限在目标服务器上执行任意命令。 问题存在于/b2-include/b2edit.showposts.php中: *snippet* 通过远程引用,就可以在目标系统上以B2进程的权限执行任意命令。

漏洞公告

临时解决方法: 如果您不能立刻安装补丁或者升级,CNNVD建议您采取以下措施以降低威胁:

* 把b2config.php拷贝到b2-include目录中。 厂商补丁: Cafelog ------- 目前厂商已经发布了升级补丁以修复这个安全问题,请到厂商的主页下载:

Cafelog b2 0.6 pre:

Cafelog Upgrade b2-0.6pre2-20020409

http://www.cafelog.com/releases/

参考网址

来源: BID 名称: 4673 链接:http://www.securityfocus.com/bid/4673 来源: XF 名称: b2-b2inc-command-execution(9013) 链接:http://www.iss.net/security_center/static/9013.php 来源: BUGTRAQ 名称: 20020506 b2 php remote command execution 链接:http://archives.neohapsis.com/archives/bugtraq/2002-05/0027.html 来源: cafelog.com 链接:http://cafelog.com/

补丁

    暂无

漏洞信息快速查询

相关漏洞

更多