PEEL远程文件包含漏洞

漏洞信息详情

PEEL远程文件包含漏洞

• CNNVD编号：CNNVD-200212-258
• 危害等级： 中危
  
  
• CVE编号：
  CVE-2002-2134
  
• 漏洞类型：
  
  
  输入验证
  
• 发布时间：
  
  2002-12-31
  
• 威胁类型：
  
  
  远程
  
• 更新时间：
  
  2006-01-25
  
• 厂        商：
  
  peel
• 漏洞来源：
  Frog Man※ leseulfr…

PEEL是一款PHP编写的目录管理工具。
haut.php脚本对用户提交的参数缺少正确检查，远程攻击者可以利用这个漏洞指定远程服务器上任意文件为包含文件，以WEB权限执行包含文件中的代码。
modeles/haut.php没有正确处理$dirroot参数的内容，远程攻击者可以在自己控制的服务器上构建任意PHP文件，提交包含远程服务器文件的参数数据的请求，可导致包含文件的代码以WEB权限在系统上执行。

临时解决方法：
如果您不能立刻安装补丁或者升级，CNNVD建议您采取以下措施以降低威胁：

* 使用如下代码：

$langfile = $dirroot.”/lang/”.$SESSION[“lang”].”/lang.php”;

if (file_exists($langfile)){

require ($langfile);

}

?>

更替’modeles/haut.php’中的如下脚本：

$langfile = $dirroot.”/lang/”.$SESSION[“lang”].”/lang.php”;

require ($langfile);

?>
厂商补丁：
PEEL
—-
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：

http://www.mapetite-entreprise.com/” target=”_blank”>
http://www.mapetite-entreprise.com/

来源: BUGTRAQ
名称: 20021231 PEEL (PHP)
链接:http://www.securityfocus.com/archive/1/304779

来源: BID
名称: 6496
链接:http://www.securityfocus.com/bid/6496

来源: XF
名称: peel-haut-file-include(10960)
链接:http://www.iss.net/security_center/static/10960.php

来源: SECTRACK
名称: 1005869
链接:http://www.securitytracker.com/id?1005869

来源: SECUNIA
名称: 7797
链接:http://secunia.com/advisories/7797

来源：NSFOCUS
名称：4138
链接：http://www.nsfocus.net/vulndb/4138