施耐德电气U.Motion Builder号令注入缝隙安全公告
颁布功夫 2019-05-22缝隙编号和级别
CVE编号：CVE-2018-7841 ，，，，，，危险级别：严沉 ，，，，，，CVSS分值：9.8
影响版本
Schneider Electric U.Motion Builder 1.3.4及之前版本
缝隙概述
Schneider Electric U.Motion Builder 1.3.4及之前版本中的track_import_export.php剧本中存在操作系统号令注入缝隙 ，，，，，，该缝隙源于表部输入数据机关操作系统可执行号令过程中 ，，，，，，网络系统或产品未正确过滤其中的特殊字符、号令等。。。。。攻击者可利用该缝隙执行犯法操作系统号令。。。。。
缝隙验证
CVE-2018-7841为CVE-2018-7765补丁绕过 ，，，，，，U.Motion 1.3.4蕴含易受攻击的文件/smartdomuspad/modules/reporting/track_import_export.php ，，，，，，其中利用法式凭据衔接的object_id机关一个名为$ where的SQlite查问 ，，，，，，该查问能够通过GET或POST提供：
你能够看到object_id首先被string_encode_for_SQLite步骤解析 ，，，，，，除了删除一些其他不成读的字符：
$ query之后用于挪用$ dbClient-> query（）：
query（）步骤能够在dpaddbclient_NoDbManager_sqlite.class.php中找到：
在这里 ，，，，，，您能够看到查问字符串（蕴含object_id）是通过一堆str_replace挪用提供的 ，，，，，，主张是过滤掉危险字符 ，，，，，，例如$ for Unix号令代替 ，，，，，，并且在片段末尾 ，，，，，，您现实上能够看到 另一个字符串$ sqlite_cmd与先前构建的$ query字符串衔接 ，，，，，，最后传递给PHP exec（）挪用。。。。。
产生一个美丽的反向shell：
建复建议
https://www.rcesecurity.com/
参考链接
京公网安备11010802024551号