Wie gut, das diese allgemein beliebte Forensoftware hier im St nicht genutzt wird.;-)



Hoch kritische Schwachstellen in phpBB entdeckt
Schwachstellen - Web-Anwendungen
Dienstag, 14 Dezember 2004
Im der auch im gewerblichen Bereich häufig eingesetzten Foren-Software phpBB wurden zwei hoch kritische Schwachstellen im Attachment Modul entdeckt, die unberechtigten Anwendern Zugriff auf das darunterliegende System ermöglichen.

Betroffene Software: Attachment Mod 2.x (Modul für phpBB)
Gefährdungsgrad: Hoch kritisch
Missbrauchbar: Remote

Im Attachment Mod Modul der Forensoftware phpBB wurden zwei hoch kritische Schwachstellen entdeckt, die bei erfolgreichem Missbrauch unberechtigten Anwendern Zugriff auf das darunterliegende System ermöglichen.

Im ersten Fall findet sich die Schwachstelle in einer fehlerhaften Überprüfung eingehender Daten, bei der ausführbare Dateien auch außerhalb des "Upload" Verzeichnisses mittels einer "directory traversal" Attacke hinzugefügt, entfernt und ausgeführt werden können.

Im zweiten Fall führt eine fehlerhafte Verarbeitung von multiplen Datei-Extensionen mit "mod_mime" zu beliebigem Upload bösartiger Scripte mit den entsprechenden Konsequenzen.

Es wird dringend empfohlen auf die aktuelle Version 2.3.11 zu aktualisieren, die verfügbar ist unter:

phpBB Version 2.3.11

Weitere Informationen auch unter:

https://www.opentools.de/board/viewtopic.php?t=3590

Quelle: https://www.network-secure.de/index.php?option=com_content&task=view&id=2664&Itemid=723

wer hat denn noch diese uralte Version??

Die neu erschienenen PHP-Versionen 4.3.10 und 5.0.3
beseitigen die Probleme.
Gruss Babette

Babette,

Du bringst da wohl was durcheinander: phpBB 2.0.11 ist das neuste Release laut

https://www.phpbb.com/downloads.php

(vielleicht nur in deutscher Sprache, da es nach hl's Link
auch phpBB 2.3.11 gibt.)

Aber das Leck ist inzwischen gestopft:

https://www.phpbb.de/viewtopic.php?p=408963#408963

Außerdem muß man ja als Admin sicher nicht Attachements zulassen!

ich habe seinerzeit "nur" aufgrund des guten und für mich stimmigen foren-design beim ST mich nicht nur angemeldet sondern auch geschrieben...never würde ich überwiegend "unter wert" auftreten...lach...

wer aber eh` bevorzugt, sein persönliches umfeld im zeitgeist von *geiz ist geil* und mit *Heinrich-Billigkrämer-Manie* einzurichten, der wird es als user einer site mit

(nur meiner meinung nach) :-)

schrottigem forendesign, garnicht erst bemerken; wie so vieles, was sich nicht verantwortlich fühlender webmaster ihr oder auch ihm aufdrücken mag...ich las vor kurzem sogar von einer

*zwangsweisen anmeldung* aller mitglieder bei yahoo in einem anderen forum !!!

sachen gibt`s...

:-)

ruckzuck, mal eben datt vertrauen der gutgläubigen *unbeleckten* oldies genutzt.

na...wie blöd müssen user eigentlich sein um da nicht laut:

"Aber hallo!"

zu schreien?

:-)

@schulle,
jetzt, wo du es sagst, seh ich es auch.
Verzeih hl dass ich so reagierte.
Gruss

Wer es noch nicht weiß: das schrottige Geiz-ist-geil-Forum
gehört mir (siehe Internet-Tipp)

Und wer Lust hat, kann darin lesen und sich registrieren, wenn er sich nicht von den beiden Werbebannern oberhalb der Menuleiste stören läßt.

Ich möchte mich verwahren, daß die Teilnehmer meines Forums als "blöd" bezeichnet werden! Herr Webmaster, ich bitte pilli entsprechend zu rügen!

Es gibt bei mir auch eine PC-Hilfe-Forum - noch wenig frequentiert. Oldie ist dort auch als Berater tätig und wartet nur auf Eure Fragen. Mit einem Geiz-ist-geil-Forum kann man z.B. durch Textformatierungen, Bildeinfügungen usw. viele Fragen leichter beantworten, als es hier möglich ist.

Laßt Euch nicht durch pilli einreden, daß ich versuche ST-Teilnehmer abzuwerben. Das habe ich nicht nötig! Außerdem hat Webmaster Karl im Forum Allgemeines mir die Erlaubnis erteilt, für mein Forum "Werbung" zu machen.

Danke für die Aufmerksamkeit! Frohen 4. Advent!

sach ma schulle :-)

gehört es eigentlich zum krankheitsbild bipolarer depression, daß du glaubst, du seist Gott?

du bist es mitnichten...klar?

wenn ich frage:

---------
"wie blöd müssen user eigentlich sein um da nicht laut:

"Aber hallo!"

zu schreien?"
----------

stelle ich eine frage und damit ist noch niemand mit "blöd" bezeichnet worden; hätte ich aber geschrieben:

"N.N. ist blöd, weil er oder sie sich "zwangsweise" bei yahoo anmelden lassen..."

dann darfst du dein vorlautes mundwerk nochmal bemühen...aber erst dann, kapiert?

"erst denken...dann schreiben"...warum beachtest du nicht deine heißgeliebte netiquette? *fg*

wo habe ich behauptet, daß du abwirbst?...laufen sie dir doch von ganz alleine zu, die still-leidenden und an harmonie erstickenden *summ-summ-summ-tanten*. :-)

und seit der user "Johnny" Medea. ,mal zeigt, wo es lang geht auf der diskussions-straße hin zur multikulti-wiese, kann ich mir das griemeln nicht mehr abgewöhnen.

aber schön, daß du wieder mal anlass hattest, dich zu melden, gelle?

:-)))

@ schulle,


dein Beitrag liest sich gerade so als habe ich dich aufgefordert, Werbung zu betreiben für dein Forum. Der Punkt ist nur, es juckt mich nicht.
Jeder möge deinen Stil (oder den fehlenden) selbst beurteilen. Wettbewerb zwischen verschiedenen Foren ist etwas natürliches. Ich käme aber niemals auf die Idee, in deinem Forum zu schreiben: "Liebe user, kommt doch bitte in den ST". Selbst wenn ich wollte, würde mir Zeit dazu fehlen, aber ich würde wohl auch weniger erreichen als du. Das Wasser fließt eher den Berg herunter als herauf.