zirkonium Posted April 23, 2004 Report Share Posted April 23, 2004 Hallo! Ich habe gerade gelesen das es Sicherheitsprobleme mit dem SPAW WYSIWYG geben soll, konnte aber nichts genaueres rausbekommen. Wei? evtl. jemand was da dran ist an der Sache? --------------------------------------------------------------------------------------- Hier >LINK< habe ich folgendes gelesen: Der Wysiwyg-Editor "Spaw" enth?lt ein gravierendes Sicherheitsleck, welches unter bestimmten Umst?nden, Hackern den Server komplett zu F?ssen legt. Der Bug ist im Prinzip der Gleiche, wie in der myEgallery 2.x. Wer den Editor einsetzt, sollte ihn unverz?glich deinstallieren. Nicht nur deaktivieren, sondern L?SCHEN. --------------------------------------------------------------------------------------- Kann ich den XT-Commerce jetzt vergessen? :cry: CU Michael Link to comment Share on other sites More sharing options...
mzanier Posted April 23, 2004 Report Share Posted April 23, 2004 n?. den "bug" kann man nur ausnutzen wenn man als user zugriff auf den editor hat, dies hat man jedoch nur im admin interface, also kein sicherheitsproblem au?er du willst dich selbst hacken =) Link to comment Share on other sites More sharing options...
zirkonium Posted April 24, 2004 Author Report Share Posted April 24, 2004 Hi! Ich denke schon da? das ein Problem sein k?nnte. Webhoster k?nnten ihren Kunden verbieten XT-Commerce zu installieren, da angeblich der "Server komplett zu F?ssen legt" oder ist das v?llig ?bertrieben dargestellt? Bis wohin reicht das Problem? Nur innerhalb des Kundenaccounts oder dar?berhinaus bis zu fremden Kundenaccounts auf dem gleichen Server oder gar bis zum Root? :grml: CU Michael Link to comment Share on other sites More sharing options...
Guest HHGAG Posted April 24, 2004 Report Share Posted April 24, 2004 Man sollte zumindestens alles durchlesen bzw. auch die nicht funktionierenden Links ausprobieren (man kann ja lesen was drauf steht): :stupid: Also: unter https://testzone.secunia.com/advisories/10451/ steht die Beschreibung des Problems & auch die L?sung! (unter Solution, wenn es wieder ?bersehen werden sollte). SPAW Editor PHP Arbitrary File Inclusion Vulnerability Secunia Advisory: SA10451 Release Date: 2003-12-18 Critical: Highly critical Impact: System access Where: From remote Software: SPAW Editor PHP Edition 1.x Description: A vulnerability has been reported in SPAW Editor PHP Edition, which can be exploited by malicious people to compromise a vulnerable system. The vulnerability is caused due to missing input validation, allowing arbitrary scripts on remote systems to be included. No more information is currently available. Solution: Update to version 1.0.4. http://www.solmetra.com/en/disp....roducts...n_spaw_download Provided and/or discovered by: The vendor credits discovery of the vulnerability to Ashtarot of Zone-H.org. Original Advisory: Version 1.0.4 Release Notes: http://sourceforge.net/project/shownotes.p...lease_id=204256 Link to comment Share on other sites More sharing options...
zirkonium Posted April 24, 2004 Author Report Share Posted April 24, 2004 Hai! Ja, lesen kann ich und ich habe auch bemerkt das da falsch verlinkt wurde, trotzdem bekam ich gestern Nacht einen 404er. Ich nehme mal an das in XTC die Version 1.0.4 drinsteckt. Wenn ich das richtig verstehe gibt es die gefixte Version schon seit dem 16.12.2003. Warum gibt's dann solch ein Geschrei bei den PHPNukern noch am 17.02.2004? :stupid: Gibt es da noch ein weiteres Sicherheitsloch oder sind die nur etwas langsam? CU Michael Link to comment Share on other sites More sharing options...
mzanier Posted April 24, 2004 Report Share Posted April 24, 2004 ne missing input validation, ist nix anders, als das der inhalt nicht ?berpr?ft wird. d.h. du kanst im admin ein script in den spaw editor eingeben und dann irgendwas mit deinem eigenen account anstellen. das wurde nur so gro? rausgeschrien, weil viele den spaw editor im kunden frontend nutzn, wir jedoch nicht, daher kein sicherheitsrisiko. au?er du hast intentionen dich selbst zu hacken, jedoch kann man auch nicht mehr machen, als mit nem eigenen php script das man einfach auf den server ladet, also m?sste der hoster dir auch gleich den ftp zugang wegnehmen weil du ein zu gro?es seicherheitsrisiko bist.. =) Link to comment Share on other sites More sharing options...
Guest HHGAG Posted April 24, 2004 Report Share Posted April 24, 2004 Manchmal werden solche Sachen aufgebauscht, wenn es eigentlich schon erledigt ist. Und au?erdem hast doch gelesen was mzanier geschrieben hat. Ohne Admin Rechte kommt man an den Spaw sowieso nicht dran. Link to comment Share on other sites More sharing options...
stipo Posted June 13, 2004 Report Share Posted June 13, 2004 Hallo Mario, da bist Du wohl auf dem Holzweg... Und wie man den ausnutzen kann, denn das Admin Verzeichnis liegt jedem frei zug?nglich zur verf?gung. Hier mal ein Hack angriff **** L?sung: .htacces ins Verzeichnis rein, dann geht dem nicht mehr. Gru? Stephan Link to comment Share on other sites More sharing options...
celeron Posted June 13, 2004 Report Share Posted June 13, 2004 Hallo, ?ber diesen Weg ist die Nacht unser Server gehackt worden. Gru? celeron Link to comment Share on other sites More sharing options...
Guest HHGAG Posted June 13, 2004 Report Share Posted June 13, 2004 Bugfix ist hier zu finden: http://www.xt-commerce.com/modules/mydownl...p?cid=31&lid=85 (doppel Posts sind nicht n?tig) s. hier: http://www.xt-commerce.com/modules/ipboard...?showtopic=3239 :pint: Link to comment Share on other sites More sharing options...
celeron Posted June 13, 2004 Report Share Posted June 13, 2004 Hallo HHGAG, danke f?r Deine schnelle L?sung. Kann man eine .htacces Datei in das Verzeichniss legen, so wie hier der Vorg?nger beschrieben hat, oder ist das jetzt nicht mehr n?tig. Gru? celeron Link to comment Share on other sites More sharing options...
mzanier Posted June 13, 2004 Report Share Posted June 13, 2004 kann auch eine htaccess datei in das admin verzeichniss gelegt werden mit dem inhalt <Files *.php> Order Deny,Allow Deny from all </Files> oder nochmals den fix runterladen, auch dort ist eine htacess enthalten. Link to comment Share on other sites More sharing options...
chpohl Posted June 13, 2004 Report Share Posted June 13, 2004 Hab das hochgeladen und krieg jetzt error 403 ... unzureichende zugriffsrechte gesetzt hab ich was falsch gemacht?? Link to comment Share on other sites More sharing options...
Guest HHGAG Posted June 13, 2004 Report Share Posted June 13, 2004 htaccess bitte ins include Verzeichnis verschieben also /admin/includes/.htaccess Link to comment Share on other sites More sharing options...
chpohl Posted June 13, 2004 Report Share Posted June 13, 2004 :bounce: in admin verz. gel?scht .... verschoben in includes und siehe da, ich darf wieder reingucken :bounce: ihr seid echt spitze :love: Link to comment Share on other sites More sharing options...
mzanier Posted June 13, 2004 Report Share Posted June 13, 2004 jo bin heute net so fitt, besser wieder ins bett, 39? :[ Link to comment Share on other sites More sharing options...
chpohl Posted June 13, 2004 Report Share Posted June 13, 2004 mach das .... GUTE BESSERUNG Link to comment Share on other sites More sharing options...
MBrode Posted June 23, 2004 Report Share Posted June 23, 2004 Hi zusammen, nach dem Sicherheitsupdate habe ich auch die Probleme mit dem error 403 und den Zugriffrechten f?r den Adminbereich. Ich hab auch genau die Datei erstellet und in admin/includes/.htaccess eingef?gt, aber funzt nicht.. kann auch eine htaccess datei in das admin verzeichniss gelegt werden mit dem inhalt <Files *.php> Order Deny,Allow Deny from all </Files> oder nochmals den fix runterladen, auch dort ist eine htacess enthalten. was kann man da machen?? Gru? Michael Stand RC 1.2 Link to comment Share on other sites More sharing options...
Guest HHGAG Posted June 23, 2004 Report Share Posted June 23, 2004 Das ist im Moment nur eine Notl?sung, um eventuelle existierende Sicherheitsl?cken im Spaw zu eliminierern. Wenn Du mit dem Spaw arbeitest, die .htaccess umbenennen und nach der Arbeit wieder zur?ck umbenennen. Link to comment Share on other sites More sharing options...
MBrode Posted June 23, 2004 Report Share Posted June 23, 2004 Ok so funktioniert das. Das ist aber eine totale Notl?sung. :pst: Wenn es doch die ganzen Leute nicht gebe, die in fremde Netze eindringen :-( Naja... Ich danke Dir HHGAG. Viele Gr??e Michael Link to comment Share on other sites More sharing options...
Guest HHGAG Posted June 23, 2004 Report Share Posted June 23, 2004 Kein Problem Link to comment Share on other sites More sharing options...
Recommended Posts
Archived
This topic is now archived and is closed to further replies.