Wie sicher ist die Version 2.0.11 ?????

[mnoormann]

Hallo ich habe jetzt ein paar mal gelesen das jetzt ein wurm auch die Version 2.0.11 angreift:

[Full-Disclosure] new phpBB worm affects 2.0.11 : My patched phpBB 2.0.11 running on FreeBSD 4.10 was exploited by a new
variation of the worm this morning. I'm attaching the 2 perl scripts it
installs, one is an irc bot the other the worm itself.

kann einer was dazusagen ???
Quellen :

http://lists.netsys.com/pipermail/full- ... 30279.html
und
http://www.heise.de/newsticker/meldung/54623

Danke
mnoormann

[fussle]

Ich hab es auch gerade gelesen und schliese mich der Frage von mnoormann an.

[Eclipse16V]

Würde mich auch interessieren?

[PhilippK]

Ich denke mal, dass die Lösung hier liegt: http://lists.netsys.com/pipermail/full- ... [quote]Are you sure it's because bug in 2.0.11 ? I see there only old hilight bug[/quote]
Ansonsten gibt's immer noch den PHP-Bug - für den kann aber phpBB nichts...

Gruß, Philipp

[larsneo]

abgesehen davon kann (bei schlechter konfiguration durch den provider) in shared hosting der wurm gegebenenfalls auch 'nachbar-präsenzen' auf dem server beeinflussen - im schlimmsten fall reicht also eine ungepatchte version um einen ganzen server zu plätten.

weiterhin sollte man das php-problem nicht ausser acht lassen - für php-versionen vor 4.3.10 gibt es zwischenzeitlich 'proof-of-concepts' um die inhalte der config.php auszulesen. dies ist allerdings kein problem von phpbb2 (und betrifft auch andere php-basierende programme) sondern ein problem von php - zur not den provider darauf drängen zu aktualisieren. welche version von php im einsatz ist kann man mittels einer phpinfo.php recht einfach feststellen:

Code: Alles auswählen

<?php
phpinfo();
?>

[TimmiThe2nd]

Hallo,

es sollte doch reichen php im SAFEMODE laufen zu lassen um die
anderen Projekte auf dem Server zu sichern oder?

Ich habe zwar php4.3.10 aber irgendwie lässt mich die Frage
nicht mehr los ob andere Prsäsenzen unter niedriegeren Version
trotzdem alle Projekte auf dem Server lahm gelegt hätten.

Grüße

[adidas]

mir hat ja keiner geglaubt

http://www.phpbb.de/viewtopic.php?p=415139#415139

das kann sein, denn mein freund im msn hat eine sicherheitslücke in phpBB 2.0.11 gefunden und sogar gezeigt

und die antwort von andreasOymann dazu :

http://www.phpbb.de/viewtopic.php?p=415167#415167

Mensch Jungs, keine Panikmache bitte!

... anscheinend... vielleicht ... ich habe gehört ... mein Kollege weiss was ...

WO SIND FAKTEN DAZU??? Nur dann kann man entsprechend reagieren.

A.

[larsneo]

@TimmiThe2nd: ob php im safemode betrieben wird oder nicht ist (zumindestens mehr oder weniger) unerheblich. selbst die php-entwickler sehen den safe_mode nicht als wirklich brauchbares sicherheitsmerkmal an:

The PHP safe mode is an attempt to solve the shared-server security problem. It is architecturally incorrect to try to solve this problem at the PHP level, but since the alternatives at the web server and OS levels aren't very realistic, many people, especially ISP's, use safe mode for now.

imho sollten in diesem zusammenhang auch korrekte permissions und suexec einstellungen beachtet werden (aber ich bin zum glück auch kein provider).

@adidas: ich bin weiterhin an der vermeintlich gezeigten sicherheitslücke interessiert - nachdem du das thema hier erneut aufgreifst würde ich dich bitten, mir (bzw. der phpBB-group) die entsprechenden infos zukommen zu lassen. irgendwie kommt es mir derzeit nämlich eher so vor als ob du an einer 'urban legend' versuchst zu feilen

[adidas]

naja ich weiß es ja nicht, sondern mein freund im msn wie oben gesagt. er rückt nichts raus, nur er zeigt vor und sagt auch, dass er auch nen schutz dagegen hätte, mehr auch nicht. wenn ich das wüsste würde ich natürlich die infos geben, da auch mein board gefährdet ist

[TimmiThe2nd]

Naja, nur ist es doch für php nicht Möglich im Safemode auf Verzeichnisse zurück zugreifen die nicht dem Nutzer gehören?