YesWiki — это вики-система, написанная на PHP. Начиная с версии 4.6.2 и до версии 4.6.6, HttpSignatureService::verifySignature() проверяет результат PHP openssl_verify() со свободным логическим отрицанием - if (!openssl_verify(...)) { throw ... }. PHP openssl_verify имеет четыре возможных возвращаемых значения: 1, 0, -1 и «false».
Строка -1 является обходным путем: правила правдивости PHP делают -1 правдивым значением, поэтому !(-1) === false, бросок пропускается, и контроллер переходит к функцииprocessActivity(). Любое условие, при котором функция EVP_VerifyFinal() OpenSSL возвращает -1, запускает обход. Возможным последствием является то, что контроллер молча воспринимает неудачную проверку как успешную и обрабатывает полезную нагрузку злоумышленника.
Эта проблема исправлена в версии 4.6.6.
Показать оригинальное описание (EN)
YesWiki is a wiki system written in PHP. From version 4.6.2 to before version 4.6.6, HttpSignatureService::verifySignature() checks the result of PHP's openssl_verify() with a loose boolean negation - if (!openssl_verify(...)) { throw ... }. PHP's openssl_verify has four possible return values: 1, 0, -1, and "false". The -1 row is the bypass: PHP's truthiness rules make -1 a truthy value, so !(-1) === false, the throw is skipped, and the controller proceeds to processActivity(). Any condition that makes OpenSSL's EVP_VerifyFinal() return -1 triggers the bypass. The reachable consequence is the controller silently treats a failed verification as success and processes the attacker's payload. This issue has been patched in version 4.6.6.
Характеристики атаки
Последствия
Строка CVSS v3.1