phpBB.de

Peggy hat geschrieben:Was stimmt denn mit der Nivisec Hacks List nicht?

A vulnerability has been identified in Nivisec Hacks List (module for phpBB), which could be exploited by remote attackers to gain knowledge of sensitive information. This flaw is due to an input validation error in the "admin_hacks_list.php" script that does not validate the "phpEx" parameter, which could be exploited by remote attackers to include or disclose the contents of local files with the privileges of the web server.

Peggy hat geschrieben:Gibts da schon einen Fix?

Peggy hat geschrieben:Ich bekomme übrigens einen Internal Server Error, wenn ich register_globals per .htaccess off setze.

Peggy hat geschrieben:Was stimmt denn mit der Nivisec Hacks List nicht?
Gibts da schon einen Fix?

include($phpbb_root_path . 'extension.inc');

Peggy hat geschrieben:Aber wie ist das nochmal mit dem .htaccess-Schutz des /admin/-Ordners gemeint? per Passwort oder mit Deny from oder so ...?

<Limit GET POST PUT>
Order Allow,Deny
Deny from All
</Limit>

Anommander Rake hat geschrieben:

Peggy hat geschrieben:Was stimmt denn mit der Nivisec Hacks List nicht?
Gibts da schon einen Fix?

Code: Alles auswählen

include($phpbb_root_path . 'extension.inc');

kommt erst nach der ersten Verwendung der $phpEx Variable. Zieht man es einige Zeilen hoch (direkt nach "define('IN_PHPBB', TRUE);") , ist das Problem behoben.

define('IN_PHPBB', TRUE);
define('MOD_VERSION', '1.20');
/* If for some reason you need to disable the version check in THIS HACK ONLY,
change the blow to TRUE instead of FALSE. No other hacks will be affected
by this change.
*/
define('DISABLE_VERSION_CHECK', FALSE);

$phpbb_root_path = '../';
include($phpbb_root_path . 'extension.inc');
(file_exists('pagestart.' . $phpEx)) ? include('pagestart.' . $phpEx) : include('pagestart.inc');
include_once($phpbb_root_path . 'language/lang_' . $board_config['default_lang'] . '/lang_admin_hacks_list.' . $phpEx);
include($phpbb_root_path.'includes/functions_hacks_list.'.$phpEx);

if( !empty($setmodules) )
{
include($phpbb_root_path . 'language/lang_' . $board_config['default_lang'] . '/lang_admin_hacks_list.' . $phpEx);
$filename = basename(__FILE__);
$module['General']['Hacks_List'] = $filename;

return;
}

define('IN_PHPBB', TRUE);
define('MOD_VERSION', '1.20');
/* If for some reason you need to disable the version check in THIS HACK ONLY,
change the blow to TRUE instead of FALSE. No other hacks will be affected
by this change.
*/
define('DISABLE_VERSION_CHECK', FALSE);

$phpbb_root_path = '../';
if( !empty($setmodules) )
{
include($phpbb_root_path . 'language/lang_' . $board_config['default_lang'] . '/lang_admin_hacks_list.' . $phpEx);
$filename = basename(__FILE__);
$module['General']['Hacks_List'] = $filename;

return;
}

include($phpbb_root_path . 'extension.inc');
(file_exists('pagestart.' . $phpEx)) ? include('pagestart.' . $phpEx) : include('pagestart.inc');
include_once($phpbb_root_path . 'language/lang_' . $board_config['default_lang'] . '/lang_admin_hacks_list.' . $phpEx);
include($phpbb_root_path.'includes/functions_hacks_list.'.$phpEx);

h-o hat geschrieben:Für das Verzeichnis admin eine .htaccess (und .htpasswd) anlegen, so wie es hier beschreiben ist. http://www.phpbb.de/doku/kb/htaccess

AuthType Basic
AuthName "Restricted Directory"
AuthUserFile  /admin/.htpasswd
require valid-user

larsneo hat geschrieben:

und all-inkl angeschrieben, ob sie die php Globals deaktivieren können.

via .htaccess

Code: Alles auswählen

# set register_globals=off
php_flag register_globals off

ebenfalls eine gute idee für einige chaos-mods:

Code: Alles auswählen

# set magic quotes settings on
php_flag magic_quotes_gpc on

Serverfehler!
Die Anfrage kann nicht beantwortet werden, da im Server ein interner Fehler aufgetreten ist. Der Server ist entweder überlastet oder ein Fehler in einem CGI-Skript ist aufgetreten.

Sofern Sie dies für eine Fehlfunktion des Servers halten, informieren Sie bitte den Webmaster hierüber.

Error 500