CVE-2023-53894

Podatność wynika z użycia operatora luźnego porównania (==) zamiast ścisłego (===) przy weryfikacji skrótów haseł w PHP. Języka PHP traktuje ciągi znaków zaczynające się od '0e' lub '00e' jako notację naukową liczby zmiennoprzecinkowej równej zero, co powoduje, że spreparowany skrót hasła jest uznawany za równy innemu skrótowi o tej samej właściwości. Atakujący może skonstruować odpowiedni ciąg hasła, którego hash zaczyna się od '0e' lub '00e', a aplikacja błędnie potwierdzi jego poprawność. Po uzyskaniu dostępu atakujący może przesłać na serwer złośliwe pliki PHP.

Atakujący nieuwierzytelniony zdalnie może ominąć mechanizm uwierzytelnienia, przejąć kontrolę nad aplikacją i wgrać złośliwe pliki PHP, co w konsekwencji umożliwia zdalne wykonanie kodu (RCE) na serwerze.

Należy zastosować patche dostępne u producenta zgodnie z referencjami. W ramach natychmiastowych działań zaradczych zaleca się ograniczenie dostępu do interfejsu phpFileManager na poziomie firewall lub serwera WWW (np. ograniczenie dostępu wyłącznie do zaufanych adresów IP) oraz wymuszenie silnych, unikalnych haseł, których hashe nie zaczynają się od '0e'/'00e'.

Dulldusk phpFileManager w wersji 1.7.9

Dla tej podatności istnieje publicznie dostępny exploit opublikowany w serwisie Exploit-DB (ID: 51594). Mechanizm ataku określany jest jako 'PHP type juggling' (CWE-1390 – Weak Authentication). Pomimo braku wpisu w CISA KEV, obecność gotowego exploitu znacząco obniża próg wejścia dla potencjalnych atakujących.