无限星辰工作室-客户无限互联网动力之源

标题: 高危预警：Discuz X3.3存在多个高危漏洞 [打印本页]

作者: crx349 时间: 2017-12-18 00:58
标题: 高危预警：Discuz X3.3存在多个高危漏洞
漏洞类型：后台任意代码执行漏洞&authkey生成算法漏洞
危害等级：高危
[影响版本：
Discuz_X3.3_SC_GBK
Discuz_X3.3_SC_UTF8
Discuz_X3.3_TC_BIG5
Discuz_X3.3_TC_UTF8
Discuz_X3.2_SC_GBK
Discuz_X3.2_SC_UTF8
Discuz_X3.2_TC_BIG5
Discuz_X3.2_TC_UTF8
Discuz_X2.5_SC_GBK
Discuz_X2.5_SC_UTF8
Discuz_X2.5_TC_BIG5
Discuz_X2.5_TC_UTF8
漏洞危害：
Discuz X3.3的authkey生成算法存在安全漏洞，该authkey用于对普通用户的cookie进行加密等密码学操作，但是由于生成算法过于简单，可以利用公开信息进行本地爆破，一旦爆破成功，将导致Cookie的加密失效，进而造成可以解密Cookie的auth字段获取用户的密码等问题；Discuz X3.3的管理员在后台对数据库连接密码进行修改时，由于没有对输入进行检查，将导致任意代码执行。
补丁状态：
官方已经更新补丁，请更新到最新版本：https://git.oschina.net/ComsenzDiscuz/DiscuzX/attach_files

不想升级的修复补丁：

欢迎光临无限星辰工作室-客户无限互联网动力之源 (https://www.xmspace.net/)