Lücke im Publishing-Modul Pagesetter für PostNuke
Angreifern wird über die Lücke der Zugriff auf beliebige Dateien auf einem System im Kontext des Webservers ermöglicht.
- Daniel Bachfeld
Ein Lücke im optionalen Publishing-Modul Pagesetter für das populäre Content-Management-System PostNuke ermöglicht den Zugriff auf beliebige Dateien auf einem System im Kontext des Webservers. Pagesetter soll Anwendern die Erstellung eigener Module und Inhaltsrubriken erleichtern. Durch Aufruf einer einfachen URL im Browser ist es aber möglich, etwa die Datei /etc/passwd auszulesen. Eine Anmeldung am System ist nicht erforderlich, einzig der Name der Datei muss bekannt sein, was den Angreifer auf einem Standardsystem aber kaum vor ein Problem stellt.
Betroffen sind Pagesetter 6.2.0 bis 6.3.0 beta5, in der finalen Version 6.3.0 ist der Fehler behoben. Anwender sollten so schnell wie möglich auf die neue Version updaten, da eine Demo-URL zum Aufruf von Dateien in dem Fehlerbericht des Entdeckers der Lücke SEC Consult enthalten und demnächst mit Angriffen zu rechnen ist.
Siehe dazu auch:
- File Disclosure in Pagesetter for PostNuke, Fehlerbericht von SEC Consult
(dab)
