Importancia:
5 – Crítica

Fecha de publicación:
03/05/2012

Recursos afectados
Servidores web con PHP ejecutándose como CGI.

Descripción
Posibilita el paso de parámetros al intérprete, lo que permite la ejecución de código arbitrario y la revelación de información confidencial.

Solución
Ya existen módulos de la herramienta de pentesting y hacking metasploit que permiten explotar esta vulnerabilidad por lo que se recomienda actualizar cuanto antes. Se puede hacer a través del código fuente, aunque se recomienda instalarlo a través de los mecanismos de actualización de paquetes de Linux. Para sistemas Windows, se puede descargar de la web http://windows.php.net/download/.
Como alternativa, si no se puede actualizar, el fabricante propone las siguientes reglas del módulo mod_rewrite de Apache para bloquear las URLs maliciosas:

RewriteCond %{QUERY_STRING} ^(%2d|-)[^=]+$ [NC]
RewriteRule ^(.*) $1? [L]

Detalle
Eindbazen, un equipo de competiciones CTF, ha descubierto una vulnerabilidad en PHP-CGI que permite pasar parámetros al intérprete de PHP, como -s o -r, a través de la URL. Por ejemplo añadiendo la cadena ‘?-s’.
Como resultado de la inyección de estos parámetros en la URL, se puede mostrar el contenido de archivos de código fuente (que puede incluir información confidencial como, por ejemplo, contraseñas de BBDD) o ejecutar código PHP arbitrario.
Aunque el parámetro ‘-r’, para ejecutar código PHP, es filtrado en php5-cgi, dependiendo de las variables de entorno, esta medida de seguridad puede evitarse.
PHP eliminó por error el código que protegía ante este problema en 2004.
FastCGI no es vulnerable.

Impacto:
Ejecución de código malicioso.
Revelación de información confidencial.

Exploit en .rb (Módulo para Metasploit):
https://github.com/rapid7/metasploit-framework/blob/2d1f4d4f3eb68ee599ac03be4d71e3c0c3443420/modules/exploits/unix/webapp/php_cgi_arg_injection.rb

Ejemplo:
http://www.facebook.com/?-s

Fuente
http://eindbazen.net/2012/05/php-cgi-advisory-cve-2012-1823/

Basándome en la referencia (API de facebook) y su método ‘post‘, encontré los parámetros que pueden ser enviados para publicar contenido en nuestra ‘fan page’.

MyBBPublisher por defecto maneja sólo estos dos valores:

• access_token (indispensable)
• message

Sin embargo, esto nos dá muchas limitaciones, ya que el contenido enviado a facebook queda muy vacío.

Revisando un poco más la referencia, se pueden encontrar los siguientes campos:

• description -> La descripción del enlace.
• link -> El enlace adjunto a la publicación.
• picture -> Nos permite agregar una imagen a la publicación.
• name -> El nombre del enlace.

Ahora la cuestión radica en conseguir la información necesaria para cada parámetro. Ya se hace necesario abrir el archivo “mybbpublisher.php” para comenzar a modificar su contenido.

Primero que todo, buscamos aproximadamente la línea 661 donde se encuentra:

$text_fb = stripslashes($mythread['subject']);

Y agregamos el siguiente código, el cual nos dará la descripción (texto) del tema recién publicado.

$message_fb = htmlspecialchars_uni(stripslashes($mythread['message']));

Explicando un poco, esto es fácil…Aplicamos el mismo método usado para obtener el ‘Asunto’ del tema, pero según mybb_posts para obtener el contenido del post se usa el campo ‘message‘.

Bien, hasta acá ya conseguimos la descripción, el siguiente paso es modificar el array que guarda la información que será enviada a facebook.

Se encuentra aproximadamente entre la línea 665 ~ 668

$datafb[] = array(
'type'=>'t',
'id'=>$mythread['tid'],
'msg' => $text_fb,
'url' => $url,
'description' => $message_fb, //Agregamos esta línea, que contiene la descripción.
'postid'=>$mythread['fb_id'],
'postuid'=>$mythread['fb_uid']);

Ahora hacemos exactamente lo mismo en las funciones:
mybbpublisher_editthread(): Aprox. líneas 765 y 779 ~ 781
mybbpublisher_approvethreads(): Aprox. líneas 820 y 833 ~ 835

El siguiente cambio se debe hacer en las líneas 1306 ~ 1316:

foreach($data as $msg_url)
{
$msg = $msg_url['msg'];
$url = $msg_url['url'];
$desc = $msg_url['description']; //Agregamos este valor.
$id = $msg_url['id'];
$type = $msg_url['type'];
$postid = $msg_url['postid'];
$postuid = $msg_url['postuid'];

Ya casi está terminada la modificación al plugin. El último paso es editar lo siguiente:

Debemos buscar el comentario:

//$message = "A new announcement, '".$msg."', has been posted to our forums".($url!="" ? " at: ".$url."." : ".");

Borrar lo que haya ahí, y poner este código:

$tpURL = $url; //El enlace del tema
$tpName = $msg; //El asunto del tema
 
//Limitar contenido de la descripción
//$tpContent = substr($desc, 0, 384).'...Continúa leyendo en nuestro foro';
 
//Eliminar BBCode.
$tpContent = preg_replace('/\[.+?\]/','',$desc);

Y luego, un poco más abajo, está el array que se encarga de reunir todo lo que se enviará y publicará en facebook.

$attachment =  array('access_token'    => $mybb->settings['mybbpublisher_fb_access_token_page'],                                                                                'message'        => $message,                                                    );

En ese array debemos de agregar los siguientes valores.

$attachment =  array(
'access_token'    => $mybb->settings['mybbpublisher_fb_access_token_page'],                        
'message'        => '¡Hay un nuevo tema en nuestro foro!', 
'picture' => 'http://i43.tinypic.com/wqxxsg.png', 
'link' => $tpURL, 
'name' => $tpName,
'description' => $tpContent,);

Recordar que los parámetros message y picture pueden ser libremente cambiados.

Eso es todo, una vez finalizado…Tendremos algo así:

Antes y después

Por cierto, esta es una modificación rápida y funcional, PERO algunas funciones deben ser leídas detenidamente ya que se deben de realizar también algunos cambios en ellas…

Aquí dejo el plugin, con la modificación anterior realizada.

- http://db.tt/PiVr6Cun

Hace mucho tiempo quería saber cómo hacer esas firmas que tienen datos «dinámicos» ya sea texto, imágenes, entre otras cosas. Investigué un poco y encontré una manera de hacerlo, por lo cuál decidí crear ésta entrada.

Necesitamos principalmente un host para alojar el archivo, sea éste pago o gratuito. En todo caso el requisito más importante es que tenga la librería GD activada.

Para empezar, hay que tener la imagen que servirá de base y/o fondo. En mi caso elegí ésta:

Imagen de fondo para la firma dinámica.

Recuerden elegir una que esté bien estilizada, sea de buenas tonalidades y muy clara para lo que desean hacer.

También pueden darle algunos retoques en la zona donde se mostrará el texto para hacer más énfasis.

Ahora hay que programar el código PHP que se encargará de escribir y «editar» la imagen.

<?php
        /* 
         * Escrito por .:WindHack:.                
         * Agradecimientos: Kenkeiras             
         * www.daw-labs.com & www.cibernodo.net    
         */
 
        $UserAgent = $_SERVER['HTTP_USER_AGENT'];
        $IP = $_SERVER['REMOTE_ADDR'];
 
        /* GetBrowser($UserA)
         * Esta función se encarga de obtener el nombre del navegador
         * usando como medio la cadena del UserAgent.
         */
 
        function GetBrowser($UserA)
        {
            $Browser = "";
            if (strstr($UserA,"Chrome"))
                    $Browser = "Chrome";
            elseif (strstr($UserA,"Firefox"))
                    $Browser = "Firefox";
            elseif (strstr($UserA,"MSIE"))
                    $Browser = "Internet Explorer";
            elseif (strstr($UserA,"Opera"))
                    $Browser = "Opera";
            elseif (strstr($UserA,"Safari"))
                    $Browser = "Safari";
            else
                    $Browser = "(?)";
 
            return $Browser;
        }
 
        /* GetOS($UserA)
         * Esta función usa el mismo método que la anterior,
         * exceptuando que se encarga sólo de obtener el nombre
         * del Sistema Operativo (OS).
         */
        function GetOS($UserA)
        {
            $OS = "";
            if (strstr($UserA,"Windows"))
                    $OS = "Windows";
            elseif (strstr($UserA,"Linux"))
                    $OS = "Linux";
            elseif (strstr($UserA,"Mac"))
                    $OS = "MAC";
            else
                $OS = "(?)";
 
            return $OS;
        }
        /* Tipo de contenido. Puede ser JPEG, GIF, etc. */
        Header("Content-Type: Image/PNG"); 
 
        /* Crea la imagen desde un PNG. */
        $ImageC = ImageCreateFromPNG("WindHack.png"); 
        /* Establece el color. */
        $Color = ImageColorAllocate($ImageC,18,33,95);
 
        /* 
         * ImageString(Imagen,Tam.Letra,PosX,PosY,Texto,Color);
         * 
         * Escribe en la imagen.
         */
        ImageString($ImageC,5,8,10,"Tu IP es: $IP",$Color); 
 
        /* Obtenemos valores...*/
        $Browser = GetBrowser($UserAgent);
        $OS = GetOS($UserAgent);
 
        /*Si el resultado de ambos es diferente a "", escribimos...*/
        if (Browser != "" && OS != "")
            ImageString($ImageC,5,8,30,"Y usas $Browser en $OS...",$Color);
 
        /* Se convierte a PNG. */
        ImagePNG($ImageC);
 
        /* Se libera el espacio. */
        ImageDestroy($ImageC);
 
?>

Terminado ésto, tendremos como resultado:

¡Saludos!.