【漏洞预警】Metinfo新版本6.1.0存在多个漏洞

liudao 2104天前

【漏洞预警】Metinfo新版本6.1.0存在多个漏洞

最近Metinfo v6.1.0曝出任意文件读取，XXE，敏感信息泄露三个危害比较严重的漏洞。任意文件读取可以读取服务器上敏感文件，比如数据库配置文件。XXE又称为xm l外部实体注入，可以探测内网，读取文件，执行命令等。敏感信息泄露会泄露服务器相关配置和应用的绝对路径。其上述漏洞在最新版本已经修复，可在官网下载最新版，链接见底部。

长沙米拓信息技术有限公司成立于 2009 年 3 月，是一家专注于「为中小企业提供信息化服务」的互联网企业。用户大部分位于中国。其中浙江数量4489（可能是阿里云），香港3296，北京1879，广东526，河南466。

目前FOFA看到的Metinfo全球分布情况如下（非漏洞影响范围）：

目前FOFA看到的Metinfo全国分布情况如下（非漏洞影响范围）：

漏洞原理与危害此次漏洞共有三处:

1、任意文件读取

2、XXE漏洞

3、敏感信息泄露

任意文件读取

漏洞存在于app/system/include/module/old_thumb.class.php文件中。下面是部分源码：

version=6.0.0漏洞源码

<?php
# MetInfo Enterprise Content Management System
# Copyright (C) MetInfo Co.,Ltd (http://www.metinfo.cn). All rights reserved.

defined('IN_MET') or exit('No permission');

load::sys_class('web');

class old_thumb extends web{

      public function doshow(){
        global $_M;

        $dir = str_replace('../', '', $_GET['dir']);

        if(strstr(str_replace($_M['url']['site'], '', $dir), 'http')){
            header("Content-type: image/jpeg");
            ob_start();
            readfile($dir);
            ob_flush();
            flush();
            die;
        }

6.0.0简要说下，这个绕过满足两个条件，1 - dir参数中有"http"字符串，2 - 把"../"替换成"..././"或者"....//"即可绕过。最后payload为：/member/index.php?a=doshow&m=include&c=old_thumb&dir=http/..././..././config/config_db.php

version=6.1.0漏洞源码

<?php
# MetInfo Enterprise Content Management System
# Copyright (C) MetInfo Co.,Ltd (http://www.metinfo.cn). All rights reserved.

defined('IN_MET') or exit('No permission');

load::sys_class('web');

class old_thumb extends web{
      public function doshow(){
        global $_M;

         $dir = str_replace(array('../','./'), '', $_GET['dir']);

        if(substr(str_replace($_M['url']['site'], '', $dir),0,4) == 'http'){
            header("Content-type: image/jpeg");
            ob_start();
            readfile($dir);
            ob_flush();
            flush();
            die;
        }

这是最新版本6.1.0的源码，看到"header("Content-type: image/jpeg");"这行代码猜测是预览图片的，通过flush缓存到浏览器。关键点在于 $dir = str_replace(array('../','./'), '', $_GET['dir']);这一步，把"../"和"./"替换为空，这里存在绕过，提交"./.../"可以得到"."，根据这个思路可以跳过目录，最后payload为：/member/index.php?a=doshow&m=include&c=old_thumb&dir=http/./.../..././/./.../..././/config/config_db.php

自己搭环境测试结果：

建议：这里官方已经修复，在官网上面最新版6.1.0的源码已经删除掉"old_thumb.class.php"文件了，可以放心下载。

XXE漏洞

漏洞文件为"app/system/pay/web/pay.class.php"，下面是源代码：

public function donotify() {
        global $_M;
        //=======【微信异步通知验证】==========================
        $xm l   = $GLOBALS['HTTP_RAW_POST_DATA'];
        $array = json_decode(json_encode(simplexm l_load_string($xm l, 'Simplexm lElement', LIBxm l_NOCDATA)), true);
        if($array && $array['out_trade_no']) {
            $date = $this->GetOeder($array['out_trade_no']);
                 $this->doNotify_wxpay($date);

        }

        $out_trade_no = $_M['form']['out_trade_no'] ? : $_POST['orderId'];
        if($_POST['remark1' ])
        {
            $out_trade_no = trim($_POST['remark1']);
        }
        if($out_trade_no) {
            $date = $this->GetOeder($out_trade_no);
            //=======【支付宝异步通知验证】==========================
            if($date['pay_type'] === '3') {
                $this->doNotify_alipay($date);
            }
            //=======【银联异步通知验证】==========================
            if($date['pay_type'] === '4') {
                $this->doNotify_unionpay($date);
            }

            //=======【财付通异步通知验证】==========================
            if($date['pay_type'] === '2') {
                $this->doNotify_tenpay($date);
            }
            //=======【网银在线异步通知验证】==========================
            if($date['pay_type'] === '7') {
                $this->doNotify_chinabank($date);
            }
            //=======【paypal支付验证】 by:rabbbbit 20171103===============
            if($date['pay_type'] === '5') {
                $this->doNotify_paypal($date);
            }
        }
    }

漏洞在"$array = json_decode(json_encode(simplexm l_load_string($xm l, 'Simplexm lElement', LIBxm l_NOCDATA)), true);"这行代码中，没有禁用外部实体加载，这里利用weblog测试下：