jQuery-File-Upload <= 9.x 远程命令执行漏洞

2018-11-03 AM 10:11.来自

(阅览)Read 297

(调整字号)Size

16px 14px 12px

jQuery-File-Upload 是 Github 上继 jQuery 之后最受关注的 jQuery 项目,该项目最近被披露出一个存在了长达三年之久的任意文件上传漏洞,该漏洞在随后发布的 v9.22.2 版本中被修复,但是在 VulnSpy 团队对代码的复查中发现了另外一个严重的命令执行漏洞,该漏洞允许攻击者通过上传恶意的图片文件来执行任意系统命令。


漏洞细节


在 jQuery-File-Upload 的 PHP 上传处理文件 /server/php/UploadHandler.php 中优先使用了 Imagick 来校验上传的图片:


我们都知道 ImageMagick 在近几年来出现了多个严重的安全漏洞:


More Ghostscript Issues: Should we disable PS coders in policy.xml by default?

CVE Request - multiple ghostscript -dSAFER sandbox problems

CVE Request: GraphicsMagick and ImageMagick popen() shell vulnerability via filename

因此我们可已直接通过上传含有恶意代码的图片来利用该漏洞,按照老规矩,VulnSpy 已经准备好了在线的实验环境,大家可以移步到下面链接进行测试:


在线测试地址:https://www.vulnspy.com/cn-jquery-file-upload-below-v9.x-rce/


如何修复


将 /server/php/UploadHandler.php 中的默认图片处理库修改为GD库:




0371/8622 0001

weekdays :   -am. 09:00-11:30
-pm.14:00-18:30 Open Hours

中国郑州 郑东新区金水东路与中兴路交汇处楷林IFC /A座 -17F-1713

Room1713 Building A,Kineer IFC,JinShui East Rd.
Zhengdong New Area,Henan,China