國立中央大學python教學網站存在Command injection 漏洞

Vulnerability Overview

ZDID: ZD-2020-00623
發信 Vendor: 國立中央大學
Title: 國立中央大學python教學網站存在Command injection 漏洞
Introduction: command injection

處理狀態

目前狀態

公開

Last Update : 2020/09/12

新提交
已審核
已通報
未回報修補狀況
未複測
公開

處理歷程

2020/07/13 15:58:36 : 新提交 (由 wqwfeoipwqjfpwiejfdpioqweoifjqwf 更新此狀態)
2020/07/13 15:59:48 : 新提交 (由 wqwfeoipwqjfpwiejfdpioqweoifjqwf 更新此狀態)
2020/07/13 22:48:19 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2020/07/15 18:09:04 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2020/07/15 18:09:04 : 修補中 (由 HITCON ZeroDay 服務團隊更新此狀態)
2020/07/15 18:09:04 : 修補中 (由 HITCON ZeroDay 服務團隊更新此狀態)
2020/09/12 03:00:04 : 公開 (由 HITCON ZeroDay 平台自動更新)

詳細資料

ZDID：ZD-2020-00623
通報者：lebr0n_li (wqwfeoipwqjfpwiejfdpioqweoifjqwf)
風險：高
類型：指令注入攻擊 (Command Injection)

參考資料

攻擊者可經由該漏洞執行任意系統指令，取得系統權限，同時也有機會對資料進行破壞或修改。

漏洞說明： OWASP - Top 10 - 2017 A1 - Injection
https://www.owasp.org/index.php/Top_10-2017_A1-Injection

漏洞說明： CWE-77: Improper Neutralization of Special Elements used in a Command ('Command Injection')
https://cwe.mitre.org/data/definitions/77.html

(本欄位資訊由系統根據漏洞類別自動產生，做為漏洞參考資料。)

敘述

今天來上暑期先修的微積分課程
聽說交python作業有加5分(好賺)！？
但腦中馬上閃過了一個細思極恐的念頭：
交作業是用網站，該不會不是助教來打分數吧！？Command injection ！？
立刻找到網站、登入進去，找到教學專區
看到大大的執行結果4字！Bingo!
但也怕提交了code不能重新交，5分就消失了QQ，所以就先拿訪客帳號試試，看看有沒有提交code來執行的功能
誒！？竟然也有！？
簡單的幾行code提交上去

import os
os.system("id;whoami;pwd;ls;cat /etc/passwd")

因為訪客也可使用該功能來執行shell，雖然權限不大，但為避免有心人士惡意利用
建議立即修補

不知道這樣幫忙通報漏洞，可不可以額外再加我5分呢哈哈
希望我能順利通過先修XD~~~

修補建議

import危險的lib (如os, subprocess)時，
需仔細檢查使用者之輸入，或直接禁止

擷圖

留言討論

聯絡組織

發送私人訊息

您也可以透過私人訊息的方式與組織聯繫，討論有關於這個漏洞的相關資訊。

國立中央大學python教學網站存在Command injection 漏洞 - HITCON ZeroDay

Vulnerability Detail Report