Zikula Application Framework存在多个任意PHP代码注入漏洞

CVE编号

CVE-2014-2293

利用情况

暂无

补丁情况

N/A

披露时间

2018-03-27

漏洞描述

Zikula Application Framework是一款开源应用框架。
Zikula Application Framework存在多个安全漏洞： 1，通过"authentication_method_ser"和"authentication_info_ser" POST方法传递给index.php的输入在传递给"unserialize()"函数使用之前缺少充分过滤，允许远程攻击者利用漏洞提交特制的序列化对象删除任意文件或注入和执行PHP代码。 2，通过"zikulaMobileTheme" cookie参数传递给index.php的输入在用于/lib/util/SecurityUtil.php的"unserialize()"函数之前缺少充分过滤，允许攻击者提交特制的包含特制序列化对象的"Cookie"头来删除任意文件或注入和执行PHP代码。

解决建议

Zikula Application Framework 1.3.7 build 11已经修复该漏洞，建议用户下载更新：
http://community.zikula.org/

参考链接
http://karmainsecurity.com/KIS-2014-02
https://exchange.xforce.ibmcloud.com/vulnerabilities/91786
https://exchange.xforce.ibmcloud.com/vulnerabilities/91787
https://secuniaresearch.flexerasoftware.com/secunia_research/2014-2/

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	zikula	zikula_application_framework	*		Up to (including) 1.3.6

CVSS3评分 9.8

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 无
• 影响范围 未更改
• 用户交互 无
• 可用性 高
• 保密性 高
• 完整性 高

CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H CWE-ID 漏洞类型 CWE-94 对生成代码的控制不恰当（代码注入）