Neue Sicherheitslücke - Auch phpBB 2.0.8 betroffen

[Lodda]

Hi,

hab wieder Post vom Focus bekommen über eine Sicherheitslücke die Privatmessage betreffen soll, wisst Ihr was davon und wie beurteilt Ihr den "vorläufigen" Patch dafür?

Code: Alles auswählen

--- privmsg.php2004-03-18 19:51:32.000000000 +0000
+++ privmsg.1.php2004-03-26 19:51:07.000000000 +0000
@@ -212,7 +212,17 @@
 break;
 case 'savebox':
 $l_box_name = $lang['Savebox'];
-$pm_sql_user .= "AND ( ( pm.privmsgs_to_userid = " . $userdata['user_id'] . "
+
+//
+// For some obscure reason, the assignment 
+// concatenation operator was coded below, which 
+// allowed an attacker to append arbitrary SQL code
+// to the end of the $pm_sql_user variable.
+// This is fixed below.
+//
+// -shaun2k2
+//
+$pm_sql_user = "AND ( ( pm.privmsgs_to_userid = " . $userdata['user_id'] . "
 AND pm.privmsgs_type = " . PRIVMSGS_SAVED_IN_MAIL . " ) 
 OR ( pm.privmsgs_from_userid = " . $userdata['user_id'] . "
 AND pm.privmsgs_type = " . PRIVMSGS_SAVED_OUT_MAIL . " ) 

Kann man dem vertrauen oder erstmal abwarten?

[itst]

Lies meine Antwort auf Bugtraq.

[PhilippK]

Sascha,

hast du mal 'nen Link zu deiner Antwort? Kann sein, dass ich blind bin, aber ich finde ihn nicht.
Ansonsten sieht's für mich nach 'nem sauberen Bug aus - und nach 'nem unsauberen Vorgehen des Finders...

Gruß, Philipp

[Lodda]

ich find auch nix nur die Antwort von JeiAr. Und wie sieht esa nun mit dem vorläufigen Patch aus? Sauber? Anwendbar? -> Kann dieser benutzt werden? Ist die Schwachstelle damit ausgelöscht oder sollen wir warten bis von offizieller Stelle ein Patch kommt?

[itst]

Es ist immer besser, auf einen öffentlichen Fix zu warten, aber wenn es Dich glücklich macht, kannst Du gerne den störenden Punkt entfernen.

PS: Örks, hab mich im Eifer des Gefechts selbst überholt: meine Antwort ging nicht an Buqtrag, sondern direkt an Shaun.

[larsneo]

der 'patch' ist - zumindestens für die gemeldete sicherheitslücke - durchaus ausreichend...
wenn du mysql4 einsetzt und nicht möchtest, dass jemand unbefugtes die password hashes anzeigt, solltest du ihn auf jeden fall einspielen