joomla畸形反序列化数据包注入导致远程代码执行

joomla畸形反序列化数据包注入导致远程代码执行,漏洞由六艺工程师于2015年12月15日发现。存在于Joomla3.4.5及以前版本,此漏洞为高危漏洞。

包含此漏洞的文件是:/libraries/joomla/session/session.php

(3.4.x)解决此问题的代码修正是:

第988行
修正前:if (isset($_SERVER['HTTP_X_FORWARDED_FOR']))
修正后:if (isset($_SERVER['HTTP_X_FORWARDED_FOR']) && filter_var($_SERVER['HTTP_X_FORWARDED_FOR'],FILTER_VALIDATE_IP) !== false)
---
第994行
修正前:if (in_array('fix_adress', $this->_security) && isset($_SERVER['REMOTE_ADDR']))
修正后:if (in_array('fix_adress', $this->_security) && isset($_SERVER['REMOTE_ADDR']) && filter_var($_SERVER['REMOTE_ADDR'], FILTER_VALIDATE_IP) !== false)
--- 第1013行
修正前:$browser = $this->get('session.client.browser');
修正后:$browser = "";
---
第1017行
修正前: $this->set('session.client.browser', $_SERVER['HTTP_USER_AGENT']);
修正后: $this->set('session.client.browser', ""); ---