phpBB Version 2 (alle) hackbar!!!

[supertramp]

Aufgrund schlechten Umgangs mit den Cookie-Daten sind generell ALLE Versionen des phpBB angreifbar.
JEDER kann sich als Admin einloggen - es bedarf scheinbar nicht viel Arbeit.

Mein Forum ist angegriffen worden. Die Beiträge waren alle weg.

Infos dazu unter:
http://www.php.de/ftopic34439.html


Nein - das ist nicht MEIN Forum. Aber dort steht wie es geht. Derjenige wollte sich eigentlich noch hierm melden. Scheint er aber nicht zu tun...

[marino]

wenn man will ist alles hackbar .. & basta

[Leuchte]

Dein Forum ist php-info.de oder so ähnlich? Schlecht ge-updated würde ich sagen - denn sonst würde mit Version .0.13 die Versionsnummer nicht drunterstehen.
Merke: Nicht überall wo 'Neu' dransteht, ist auch 'Neu' drin.
Und php.de hatte keine aktuelle Version verwendet - und Mods verbaut. Theoretisch kann man sich mit jedem installierten Mod eine Sicherheitslücke reinreissen.

[derd]

Man kann sagen kein php Script ist 100% sicher. Man kann auch sicher sein das vBulletin sicherheits relevante Bugs hat. Und wer immer die Aktuelle Version von phpBB nimmt braucht sich auch kaum Sorgen zu machen. Wer sein Forum nicht wartet und pflegt braucht sich nicht zu wundern wenn was passiert.

Bye derd

[supertramp]

sry - ich wußte nicht, dass euch das am Arsch vorbei geht.

btw: php-info.org war zu dem Zeitpunkt auf Version 2.0.13

Aber anscheinend habt ihr meinen post oben gar nicht gelesen.

Naja - nichts für ungut. Hätte ja sein können, dass euch das interessiert hätte.

btw: viel Spaß, wenn jmd auf die Idee kommt eure db kompl. zu löschen...

[larsneo]

ich kenne mich zugegebenermassen nicht wirklich gut im phpbb-code aus, aber

Code: Alles auswählen

$userdata['user_level'] = ADMIN;

abfragen zur authentifizierung *vermute* ich eher in third-party-mods als im 'plain-board' (wenn man einmal von der mitgliederliste absieht) und insbesondere nicht im adminbereich.

nichtsdestotrotz bin ich auf ein offizielles statement dazu gespannt, insbesondere da sich ja auch die secunia und co. der sache angenommen haben.

[Dave]

Mal so nebenbei: Wartet bis nachher php2.0.1(4?) kommt

[larsneo]

Mal so nebenbei: Wartet bis nachher php2.0.1(4?) kommt

...damit werden dann hoffentlich auch die *hier* und *hier* beschriebenen probleme gefixt
(die sind aber wenigstens als 'non-critical' eingestuft)

[Dave]

Ja sind sie

Habe die neue Version schon bei mir installiert

[eiskuh]

und was ist nun hieraus geworden?