MyBB消息附件可预测文件名漏洞---------- 红客中国安全网-红客网络改变世界,创造网络安全新纪元

HKC安全网软件公告

红客中国自主开发的红客网警系列软件将在10月隆重上市，敬请关注。（红客中国反入侵精灵将暂时停止下载）



	漏洞公告
	病毒公告
	安全聚焦
	技术文章

首页 > 安全资讯 > 漏洞公告

MyBB消息附件可预测文件名漏洞

发布日期：2008-10-28 14:14:46 共阅0次

受影响系统：

MyBB MyBB 1.4.2

描述：

BUGTRAQ  ID: 31936

MyBB是一款流行的Web论坛程序。

在某些运行MyBB的服务器上，攻击者可以较容易的猜测到上传文件的文件名。有漏洞的代码段为：

$filename = "post_".$mybb->user['uid']."_".time().".attach";

这段代码创建以下形式的文件名：post_1234_[unix timestamp].attach.

如果知道了用户ID和张贴时间，就可以轻易的猜测到文件名，并绕过任何类型的MIME嗅探保护；此外这还可能导致权限提升，因为无论用户权限如何都可以读取附件。

<*来源：Micheal Cottingham

  链接：http://marc.info/?l=bugtraq&m=122512395012838&w=2
*>

建议：

厂商补丁：

MyBB
----
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：

http://www.mybboard.com/