Neue PostNuke-Version schließt Sicherheitslücke
Im PHP-Content-Management-Systems PostNuke wurde eine Schwachstelle beseitigt, über die es Angreifern möglich war, eigene PHP-Skripte zu inkludieren und mit den Rechten des Webservers auszuführen.
- Daniel Bachfeld
In der Version 0.764 des PHP-Content-Management-Systems PostNuke wurde eine Schwachstelle beseitigt, über die es Angreifern möglich war, eigene PHP-Skripte einzufügen und mit den Rechten des Webservers auszuführen. Ursache des Problems war laut Fehlerbericht die fehlende Filterung der Variablem PNSVlang im Modul error.php, über die Directory Traversal möglich war, also der Ausbruch aus den vom System vorgegebenen Standardpfaden. Allerdings ließen sich über die Lücke nur lokal abgelegte PHP-Skripte einbinden und ausführen, was weitere Schritte für einen erfolgreichen Angriff erfordert.
Darüber hinaus wurden diverse nicht sicherheitsrelevante Fehler beseitigt. Unter anderem haben die Entwickler die Installationsroutine gefixt, die eine Installation verhinderte, wenn auf dem Zielsystem die unsichere Option register_globals=on gesetzt war. Grundsätzlich raten die Entwickler aber von dieser Einstellung ab, da sich so nicht gesetzte Variablen in Skripten über Benutzerparameter festlegen lassen, was viel Spielraum für böswillige Manipulation lässt. Im PostNuke-Wiki sind neben allgemeinen Sicherheitstipps auch diverse Möglichkeiten beschrieben, wie man die Option in verschiedenen Hostingumgebungen ändern kann.
Siehe dazu auch:
- PostNuke .764 Released, Ankündigung von PostNuke
(dab)
