Keine Sicherheit mit phpBB 2.0.11?

[surf]

Hallö,

mein Provider verbreitet die Info, dass auch phpbb 2.0.11 nicht sicher ist und immer noch von dem Wurm oder anderweitig angegriffen und das die Server, auf denen diese installiert sind entsprechend gefährdet sind.

Kann das jemand nachvollziehen?
Soweit ich das sehe, sollte die 2.0.11 doch sicher sein, da dort das viewtopic-patch drin ist oder?

Gruß
Der surf

[larsneo]

Soweit ich das sehe, sollte die 2.0.11 doch sicher sein, da dort das viewtopic-patch drin ist oder?

ja, man muss allerdings neben der phpBB-version noch weitere dinge beachten:
- eine schwachstelle in php-versionen vor 4.3.10 ermöglich das auslesen der config.php informationen. dieses problem ist unabhängig von phpbb und betrifft auch andere php-basierende programme. abhilfe schafft hier nur ein entsprechendes update der php-version durch den provider
- in schlecht konfigurierten shared-hosting umgebungen kann der santy-wurm unter umständen durch 'directory traversal' auch das eigentliche root-verzeichnis verlassen und sich in /tmp einnisten bzw. auch andere präsenzen defacen (daher rührt die mär das auch 2.0.11 angreifbar ist). abhilfe schafft hier nur ein korrekt konfiguriertes server-enviroment durch den provider.

mit anderen worten: wenn du phpbb 2.0.11 einsetzt und dein provider sein handwerk versteht bis du erst einmal auf der sicheren seite. als schutz vor von dem wurm generierten traffic (der sich bei der suche nach weiteren schwachstellen zwischenzeitlich auch gegen nicht phpbb-boards richtet) ist vielleicht noch *klick* empfehlenswert - denn zumindestens zwei der jüngeren santy-abkömmlinge versuchen generelle angriffe auf webseiten zu fahren - unabhängig von der eingesetzten software.

die genaue begründung des providers wäre interessant

[adidas]

http://www.phpbb.de/viewtopic.php?t=73886