Skip to content

[SECURITY BUG] Unrestricted File Upload On Lampiran Artikel Leads To Upload PHP Backdoor #1177

Closed
@jrsfaisal

Description

@jrsfaisal

Pada fitur Artikel terdapat upload lampiran, sayangnya pada fitur upload tersebut tidak memfileter dan tidak memvalidasi jenis file apa saja yang boleh diupload. Sehingga, attacker dapat mengupload PHP file yang dapat digunakan untuk backdoor. Perlu dicatat, untuk menggunakan fitur tambah artikel tidak harus menjadi administrator yang mempunyai hak akses level penuh. Level kontributor pun dapat menggunakan fitut tersebut dan dapat mengupload backdoor.

Bagaimana alurnya sampai muncul masalah?

  1. Pergi ke menu Admin > Artikel > Tambah Berita Baru

  2. Isikan saja sembarang untuk judul dan isi artikel. Perlu diketahui, vulnerability terletak pada fitur upload lampiran. Kita dapat mengupload file dokumen.php.pdf namun setelah ditamper kita bisa hapus .pdf sehingga yang tersisa dokumen.php.
    bd0
    bd1

  3. Selanjutnya simpan, dan pergi ke halaman ubah artikel yang tadi kita buat.
    bd2

  4. Ketika link download diklik, maka akan diarahkan keahalaman backdoor PHP yang berhasil terupload. Melalui backdoor ini dapat digunakan untuk mengeksekusi perintah sistem seperti whoami. Sekenario terburuknya adalah server dapat diambil alih.
    bd3

Seperti apa yang diharapkan?

Pengembang perlu memfilter fitur upload lampiran. Tidak hanya memfilter extension saja namun perlu memfilter mime type. Jangan perbolehkan PHP dapat diupload ke server, karena risikonya begitu besar.

Apa yang terjadi?

Risiko terburuknya server dapat diambil alih melalui bug ini.

Informasi tambahan

Tanya Jawab
Versi OpenSID OpenSID 18.06-pasca
Versi PHP PHP 5.5.9-1ubuntu4.25
System operasi Ubuntu 14.04.2 LTS

Metadata

Metadata

Assignees

No one assigned

    Labels

    securityKeamanan, perlu diperbaiki secepatnya.

    Type

    No type

    Projects

    No projects

    Milestone

    No milestone

    Relationships

    None yet

    Development

    No branches or pull requests

    Issue actions