커피닉스, 시스템 엔지니어의 쉼터 :: 주제 보기 - phpBB에서 인증없이 admin권한 갖는 취약성

커피향이 나는 *NIX
커피닉스
시스템/네트웍/보안을 다루는 곳

FAQ

가입없이 누구나 글을 쓸 수 있습니다. 공지사항에 대한 댓글까지도..

글쓴이

메시지

truefeel
카페 관리자

가입: 2003년 7월 24일
올린 글: 1277
위치: 대한민국

올려짐: 2005.3.06 일, 12:57 am 주제: phpBB에서 인증없이 admin권한 갖는 취약성

phpBB 2.0.12 이전 버전에서
간단한 세션 핸들링을 통해 다른 ID로 로긴 변경할 수 있는 취약성입니다.

1) 2.0.13으로 업그레이드 하거나
2) phpBB의 includes/sessions.php 에서 다음과 같이 수정합니다. (딱 한줄 있습니다.)

코드:

if( $sessiondata['autologinid'] == $auto_login_key )

를

if( $sessiondata['autologinid'] === $auto_login_key )

로 변경

이전 글 표시:

	커피닉스, 시스템 엔지니어의 쉼터 게시판 인덱스 -> *NIX / IT 정보	시간대: GMT + 9 시간(한국)
페이지 1 중 1

새로운 주제를 올릴 수 있습니다
답글을 올릴 수 있습니다
주제를 수정할 수 없습니다
올린 글을 삭제할 수 없습니다
투표를 할 수 없습니다