PHP-Including in ispCP Omega

[ofox]

Aus Internet (Übersetzung)

Quote: Version: ispCP Omega 1.0.4, möglicheweise andere.
Gefahr: Hoch
Exploit: Kein
Beschreibung:
Bug ermöglicht dem remote User ein PHP-script auf ziehl-system ausführen.
Der Bug ist mit der ungenügenden Bearbeitung der Eingangsdaten im Parameter "net2ftp_globals[application_skinsdir]" des scripts tools/filemanager/skins/mobile/admin1.template.php verbunden.
Der remote Benutzer kann mit Hilfe der speziell formierten Anfrage ein PHP-script auf dem zweckbestimmten System mit den Privilegien des Web-Servers ausführen.
Für die diese Verletzlichkeit soll die Option "register_globals" in PHP-Konfigurationsdatei aktiviert sein.
Hersteller: http://www.isp-control.net
Lösung: Zurzeit gits nicht.

Ist das Problemm schon bekannt?

[BeNe]

Ja, ist es!
--> http://www.isp-control.net/ispcp/changeset/2686
Es wurde auch schon das NET2FTP Team darüber informiert.

Greez BeNe

[ofox]

(03-16-2010 08:25 PM)BeNe Wrote:  Ja, ist es!
--> http://www.isp-control.net/ispcp/changeset/2686
Es wurde auch schon das NET2FTP Team darüber informiert.

Greez BeNe

Kann man dies ohne upgade auf 1.0.5 fixen?

[BeNe]

Ja weil es eigentlich nur ein Problem mit Net2FTP ist und dem Theme.
Wir nutzen zwar Net2FTP in ispCP, können aber auch Problemlos ohne.

Greez BeNe

[rethus]

Wegen solchen Bugs würde ich mich total über eine htaccess-integration freuen, welche alle unterliegenden Verzeichnisse direkt gegen unbefugten Zugriff absichert.
Habe da kürzlich gesehen, dass es da auch ein Workarround gibt, welcher eine PHP-GUI erlaubt, aber dennoch auf htpasswd zugreift.

[ShadowJumper]

(10-20-2010 04:24 AM)rethus Wrote:  Wegen solchen Bugs würde ich mich total über eine htaccess-integration freuen, welche alle unterliegenden Verzeichnisse direkt gegen unbefugten Zugriff absichert.
Habe da kürzlich gesehen, dass es da auch ein Workarround gibt, welcher eine PHP-GUI erlaubt, aber dennoch auf htpasswd zugreift.

Der o.g. "Bug" funktioniert aber nur wenn "register_globals" auf ON ist. Und das sollte eigentlich nie der Fall sein.

Leuten die sagen das "ihre" Scripte das aber brauchen, denen sage ich ganz klar "Dann lernt mal programmieren!".

Von daher ist das keine "richtige" Lücke, sondern betrifft eher "schlecht" bzw. "unsicher" konfigurierte Server.