Autor Gast
Datum 04.05.2012 08:37
Beiträge: Hallo,
habe von meinem Provider heute folgendes Mail erhalten:
Sehr geehrte ALL-INKL.COM - Kundin,
Sehr geehrter ALL-INKL.COM - Kunde,

die gerade in PHP entdeckte Sicherheitslücke zwang uns alle Aufrufe,
welche ?-s enthalten, zu unterbinden. Betroffen sind alle Accounts in
welchen PHP5 im CGI-Modus ausgeführt wird. Mit einem solchen Aufruf
wurden die PHP-Dateien im Quellcode angezeigt, es war somit durchaus
möglich z.B. Zugangsdaten zu Datenbanken auszulesen.

Sofern Sie PHP5 als CGI-Modul nutzen empfehlen wir Ihnen dringend, die
in den Scripten verwendeten Zugangsdaten zu ändern.
Ob Ihre Domain Aufrufe dieser Art hatte, können Sie nach Erstellung der
Statistiken (gegen 1Uhr) ihren Accesslogs entnehmen.

Sobald ein entsprechender Patch zur Verfügung steht werden wir diesen
in die PHP-Versionen einpflegen.

Siehe auch:
http://www.heise.de/newsticker/meldung/Gefahr-durch-offene-PHP-Luecke-1567433.html
---------------------------------------------------------------------------

Ist da OPN auch von betroffen?

Besten Dank,
Boby


Autor stefan
Datum 05.05.2012 20:49
Beiträge: Das ist nicht eindeutig zu beantworten. Kommt darauf an.

Läuft überhaupt php bei dir als cgi läuft. Und wenn ob dieses nicht per wapper aufgerufen wird.

Dieses betrifft den Server selbst und dann zu opn.

Nutzt du die URL Codierung wird das abgefangen.

Nutzt du keine URL Codierung wird es zwar auch abgefangen aber nicht immer.

Das betrifft allerdings nicht die trunk Version.

In der aktuellen trunk Version wird dieses soweit wie möglich abgefangen.



Autor Gast
Datum 06.05.2012 11:09
Beiträge: Falls das nun doch wo passiert, dann wird der Quellcode der Seite angezeigt richtig?

Das heisst dann aber auch, dass jemand die mainfile direkt aufrufen müsste mit einem "?" in dem aufzurufenden Link?

Anderswo sind ja keine Daten zu OPN hinterlegt.
Also sollte das kein Problem sein.

Ist das korrekt?




Autor stefan
Datum 06.05.2012 13:39
Beiträge: Nein nicht ganz.

Das -s ist mehr ein Beispiel. Dieses zeigt dann den quell Code was dann ja wie im Beispiel der mainfile fatal wäre.

Allerdings gibt es noch weitere Parameter. Unter anderem auch welche um direkt Code auszuführen oder beliebige Variable zu setzen.

Von daher ist die Sache schon unschön. Nur zu bedenken ist das es diese "Lücke" seit Jahren gibt. Man kann auf keinen Fall sagen das es alle Hoster usw. betrifft.

Das ganze ist von vielen Faktoren abhängig.

Natürlich kann es nicht schaden es "Bewusst" abzufangen. Auch ein Eigentest kann nie schaden.


Autor ArthurDent
Datum 13.05.2012 13:02
Beiträge: Ich habe das mal bei mir auf dem Server probiert und bekam eine Fehlermeldung: Seite existiert nicht

Ich habe bei mir die URLs auf codiert gesetzt.


Arti
--------------------------------------------------- Life is a journey, not a guided tour If you think technology can solve your problems you don't understand technology and you don't understand your problems. (Bruce Schneier) Really, I'm not out to destroy Microsoft. That will just be a completely unintentional side effect. (Linus Torvalds) --------------------------------------------------- Linux: Debian 2.6.37 Datenbank: MySQL - 5.5.22 Apache: 2.2 PHP: 5.3.27 OPN: 2.5.7 (Revision 6747)


Autor Gast
Datum 04.05.2021 18:33
Beiträge: teleparty home www.carwrapssanantoniotx.com


Autor Gast
Datum 04.05.2021 18:34
Beiträge: sleep now www.carwrapsstlouis.com




Diese Seite drucken
Diese Seite schließen

Dieser Artikel kommt von: OpenPHPNuke - das Open Source CMS
http://www.openphpnuke.info/