施耐德电气U.Motion Builder下令注入误差清静通告
宣布时间 2019-05-22误差编号和级别
CVE编号：CVE-2018-7841，危险级别：严重，CVSS分值：9.8
影响版本
Schneider Electric U.Motion Builder 1.3.4及之前版本
误差概述
Schneider Electric U.Motion Builder 1.3.4及之前版本中的track_import_export.php剧本中保存操作系统下令注入误差，该误差源于外部输入数据结构操作系统可执行下令历程中，网络系统或产品未准确过滤其中的特殊字符、下令等。攻击者可使用该误差执行不法操作系统下令。
误差验证
CVE-2018-7841为CVE-2018-7765补丁绕过，U.Motion 1.3.4包括易受攻击的文件/smartdomuspad/modules/reporting/track_import_export.php，其中应用程序凭证毗连的object_id结构一个名为$ where的SQlite盘问，该盘问可以通过GET或POST提供：
你可以看到object_id首先被string_encode_for_SQLite要领剖析，除了删除一些其他不可读的字符：
$ query之后用于挪用$ dbClient-> query（）：
query（）要领可以在dpaddbclient_NoDbManager_sqlite.class.php中找到：
在这里，您可以看到盘问字符串（包括object_id）是通过一堆str_replace挪用提供的，目的是过滤掉危险字符，例如$ for Unix下令替换，并且在片断末尾，您现实上可以看到 另一个字符串$ sqlite_cmd与先前构建的$ query字符勾通接，最后转达给PHP exec（）挪用。
爆发一个漂亮的反向shell：
修复建议
https://www.rcesecurity.com/
参考链接
京公网安备11010802024551号