KindEditor上傳漏洞安全通告
發布時間 2019-02-21漏洞編號和級別
CVE編號：無，危險級別：高危，CVSS分值：官方未評定
影響版本
Kindeditor <= 4.1.11版本
漏洞概述
KindEditor 是一套開源的在線HTML編輯器。
近日監測發現近百起黨政機關網站被植入色情廣告頁面，分析發現被植入色情廣告頁面的網站都使用了KindEditor編輯器組件。本次安全事件主要由upload_json.*上傳功能文件允許被直接調用從而實現上傳htm、html、txt等文件到服務器，在實際已監測到的安全事件案例中，上傳的htm、html文件中存在包含跳轉到違法色情網站的代碼，攻擊者主要針對黨政機關網站實施批量上傳，建議使用該組件的網站系統盡快做好安全加固配置，防止被惡意攻擊。
Kindeditor上的uploadbutton.html用于文件上傳功能頁面，直接POST到/upload_json.*?dir=file，在允許上傳的文件擴展名中包含htm、html、txt：
extTable.Add("file","doc,docx,xls,xlsx,ppt,htm,html,txt,zip,rar,gz,bz2");
該文件本是演示程序，實際部署中建議刪除或使用之前仔細確認相關安全設置，但很多使用該組件的網站并沒有刪除也未做相關安全設置，從而導致漏洞被利用。
漏洞驗證
POC/EXP：
https://github.com/kindsoft/kindeditor/issues/249
$ curl -F "imgFile=@test.html" http://example.com/kindeditor/php/upload_json.php?dir=file
{"error":0,"url":"/kindeditor/php/../attached/file/20170613/20170613203236_37481.html"}
修復建議
GitHub代碼版本測試，Kindeditor<= 4.1.11的版本上都存在上傳漏洞，即默認有upload_json.*文件保留，在4.1.12版本中該文件已經改名處理了，改成了upload_json.*.txt和file_manager_json.*.txt，從而再調用該文件上傳時將提示不成功。KindEditor版本低于4.1.7存在目錄遍歷漏洞。
目前針對該漏洞的攻擊活動正變得活躍，建議盡快做好安全加固配置。
直接刪除upload_json.*和file_manager_json.*即可。
建議網站建設單位經常關注其系統使用的框架、依賴庫、編輯器等組件的官方安全更新公告。
參考鏈接
https://github.com/kindsoft/kindeditor/issues/249
京公網安備11010802024551號