Sicherheits-Update für Online-Fotoalbum Gallery

Die gestern freigegebene Version 2.0.3 des Online-Photoalbums Gallery schließt zwei Sicherheitslücken, die von einem Angreifer übers Netz ausgenutzt werden können. Laut einem Advisory der Sicherheitsspezialisten GulfTech behandelt das Skript zur Bestimmung der IP-Adresse eines Clients das HTTP-Header-Feld X_FORWARDED_FOR bevorzugt gegenüber der Standard-Server-Variablen REMOTE_ADDR. Dadurch sei es einem Angreifer möglich, seine IP-Adresse zu verschleiern und unter Umständen Zugriff auf Funktionen zu erlangen, die nur für vertrauenswürdige IP-Adressen zugänglich sein sollten.

Da der Inhalt der Variablen nahezu beliebig vom Angreifer gewählt werden kann, und dieser zum Logging der IP-Adresse ungefiltert beispielsweise in Kommentare übernommen würde, lasse sich darüber auch beliebiger JavaScript-Code einschleusen. Unter Umständen könne so die administrative Kontrolle über das Fotoalbum übernommen werden. Ein zweiter Fehler bei der Behandlung von Session-IDs lasse sich ausnutzen, um beliebige Dateien auf dem Server zu löschen, sofern der Webserver-Prozess über die erforderlichen Schreibrechte verfügt. In der Regel ist dies für das gesamte Web-Verzeichnis sowie diverse Log-Dateien der Fall. Von den Problemen ist lediglich die neue Major-Version Gallery 2 bis einschließlich 2.0.2 betroffen. Ein Upgrade ist dringend zu empfehlen.

Siehe dazu auch: (cr)

• Gallery 2 Multiple Vulnerabilities, Advisory von GulfTech