Sicheheitsleck wie fixen ?

Allgemeiner Support zum phpBB 2 Board und phpBB 2 Modifikationen
Forumsregeln
Auch wenn hier der Support für phpBB 2 weiterhin aufrecht erhalten bleibt, weisen wir darauf hin, dass das phpBB 2 nicht mehr offiziell unterstützt und weiterentwickelt wird!
Antworten
phpld
Beiträge: 2
Registriert: Fr 21.Sep, 2007 14:26

Sicheheitsleck wie fixen ?

Beitrag von phpld »

Hallo,

ich setze das phpbb plus 1.53a ein und da gibts wohl ein sicherheitsleck in der deutschen sprachdatei vom album (lang_main_album.php, siehe: http://www.securityfocus.com/bid/25737

ich habe mir die beiden sprachfiles mal angesehen, aber ausser der unterschiedlichen Sprache sehe ich keine unterschiede. Wieso ist dann das deutsche angreifbar und das englische nicht ?

Und vor allem, wie kann ich das leck schliessen ? Auf www.phpbb2.de ist momentan wohl keiner erreichbar (Seite down).

Hülfe...

Danke
Marc
Titus
Beiträge: 235
Registriert: Fr 18.Mär, 2005 22:23

Beitrag von Titus »

ungetestet

Code: Alles auswählen

#
#-----[ OPEN ]------------------------------------------
#  every language you have installed
language/lang_*****/lang_admin_album.php

#
#-----[ FIND ]------------------------------------------
#
 *   (at your option) any later version.
 *
 ***************************************************************************/

#
#-----[ AFTER, ADD ]------------------------------------------
#
if ( !defined('IN_PHPBB') )
{
	die('Hacking attempt');
	exit;
}

#
#-----[ OPEN ]------------------------------------------
#  every language you have installed
language/lang_*****/lang_main_album.php

#
#-----[ FIND ]------------------------------------------
#
 *   (at your option) any later version.
 *
 ***************************************************************************/

#
#-----[ AFTER, ADD ]------------------------------------------
#
if ( !defined('IN_PHPBB') )
{
	die('Hacking attempt');
	exit;
}

#
#-----[ OPEN ]------------------------------------------
#
admin/admin_statistics.php

#
#-----[ FIND ]------------------------------------------
#
define('IN_PHPBB', true);

//
// Let's set the root dir for phpBB
//
$phpbb_root_path = './../';
require($phpbb_root_path . 'extension.inc');
if (!empty($board_config))
{
	include($phpbb_root_path . 'language/lang_' . $board_config['default_lang'] . '/lang_statistics.' . $phpEx);
}

#
#-----[ REPLACE WITH ]------------------------------------------
#
//
// Let's set the root dir for phpBB
//
$phpbb_root_path = './../';
require($phpbb_root_path . 'extension.inc');
if (!empty($board_config))
{
	if ( !defined('IN_PHPBB') )
	{
		die('Hacking attempt');
		exit;
	}
	include($phpbb_root_path . 'language/lang_' . $board_config['default_lang'] . '/lang_statistics.' . $phpEx);
}
define('IN_PHPBB', true);
Zuletzt geändert von Titus am Sa 22.Sep, 2007 17:28, insgesamt 1-mal geändert.
phpld
Beiträge: 2
Registriert: Fr 21.Sep, 2007 14:26

Beitrag von phpld »

Hi,

hmmm danke erstmal, muss ich schnell einbauen. Aber wieso ist das Leck nun nur in der deutschen Sprachdatei und nicht in der englischen ? Die Zeile mit dem phpbb_root_path ist doch in beiden ?? Und die originalen phpbb Sprachdateien haben diese if defined zeilen am anfang ja auch nicht, wieso sind die dann nicht anfällig ? Ist das nur bei den files wo irgendwas über phpbb_root_path included wird ?
Titus
Beiträge: 235
Registriert: Fr 18.Mär, 2005 22:23

Beitrag von Titus »

# every language you have installed
JEDE Sprache - beide Dateien!
Markus Wandel
Beiträge: 240
Registriert: Mo 06.Sep, 2004 09:03
Wohnort: Wuppertal
Kontaktdaten:

Beitrag von Markus Wandel »

Hi,
gibt es Infos ob es diese Lecks bei den lang_*-Dateien auch beim normalen phpBB2 gibt ? Und wenn ja, kann man diese "Fixes" auf da anwenden ?

Gruß
Zuletzt geändert von Markus Wandel am Fr 21.Sep, 2007 20:10, insgesamt 1-mal geändert.
www.RoCoFa.de - Wir sind die RollerCoasterFans
Die Seite f?r Achterbahn- und Freizeitparkfans
Kostenlose Mitgliedschaft, keine Verpflichtungen.
Benutzeravatar
oxpus
Administrator
Beiträge: 28737
Registriert: Mo 27.Jan, 2003 22:13
Wohnort: Bad Wildungen
Kontaktdaten:

Beitrag von oxpus »

Das Leck ist im Album und auch somit bei beiden Foren-Versionen (dem Vanilla und dem Plus) vorhanden und zu fixen.
Karsten Ude
-={ Das Mädchen für alles }=-
Kein Support per Messenger, Email oder PN! Unaufgeforderte Nachrichten werden ignoriert!
No support per Messenger, Email or PM. Each unasked message will be ignored!
Benutzeravatar
Christian_N
Beiträge: 1787
Registriert: Sa 19.Feb, 2005 21:48
Wohnort: Frankfurt am Main
Kontaktdaten:

Beitrag von Christian_N »

[quote="Titus";p="77003"]#
#-----[ OPEN ]------------------------------------------
#
admin/admin_statistics.php

#
#-----[ FIND ]------------------------------------------
#
define('IN_PHPBB', true);

//
// Let's set the root dir for phpBB
//
$phpbb_root_path = './../';
require($phpbb_root_path . 'extension.inc');
if (!empty($board_config))
{
include($phpbb_root_path . 'language/lang_' . $board_config['default_lang'] . '/lang_statistics.' . $phpEx);
}

#
#-----[ AFTER, ADD ]------------------------------------------
#
//
// Let's set the root dir for phpBB
//
$phpbb_root_path = './../';
require($phpbb_root_path . 'extension.inc');
if (!empty($board_config))
{
if ( !defined('IN_PHPBB') )
{
die('Hacking attempt');
exit;
}
include($phpbb_root_path . 'language/lang_' . $board_config['default_lang'] . '/lang_statistics.' . $phpEx);
}
define('IN_PHPBB', true);
[/code][/quote]

@Titus: Ich glaube das sollte sicher REPLACE WHIT heißen, den After Add wäre ja nicht sehr praktisch, da dann der Teil doppelt wäre. :D

Gruß Chris
Meine Projekte: Chantals - Fanpage .::. phpBB Projekt
Benutzeravatar
Dungeonwatcher
Beiträge: 1055
Registriert: Sa 19.Feb, 2005 01:16
Wohnort: Berlin
Kontaktdaten:

Beitrag von Dungeonwatcher »

Moin! :cool:

Wenn ich mir die anderen Sprachdateien so anschaue, dann fehlt (?) dieser Abschnitt in so ziemlich jeder?

[quote="Titus";p="77003"]

Code: Alles auswählen

#
#
#-----[ FIND ]------------------------------------------
#
 *   (at your option) any later version.
 *
 ***************************************************************************/

#
#-----[ AFTER, ADD ]------------------------------------------
#
if ( !defined('IN_PHPBB') )
{
	die('Hacking attempt');
	exit;
}
[/quote]
Benutzeravatar
AmigaLink
Beiträge: 5843
Registriert: Mi 03.Mär, 2004 09:05
Wohnort: NRW
Kontaktdaten:

Beitrag von AmigaLink »

Der ist auch normalerweise nicht nötig. Und zwar weil andere Sprachdateien keine Dateien includieren. ;)
[center].: Web Relax .::. Essen mit Freude .::. AmigaLink.de :.
______________________________________

Kein Support per PM, ICQ oder eMail!!!
[/center]
Benutzeravatar
Dungeonwatcher
Beiträge: 1055
Registriert: Sa 19.Feb, 2005 01:16
Wohnort: Berlin
Kontaktdaten:

Beitrag von Dungeonwatcher »

Hi! :cool:

Ahja, schaden tut's aber wohl auch nicht.
Benutzeravatar
AmigaLink
Beiträge: 5843
Registriert: Mi 03.Mär, 2004 09:05
Wohnort: NRW
Kontaktdaten:

Beitrag von AmigaLink »

Nein, schaden tut es natürlich auch nicht. :)
Es macht aber keinen Sinn. Denn nur durch aufrufen einer Sprachdatei kann man kein fremdes Script unterjubeln und kommt somit auch nicht an die Forendaten ran.
Das gilt grundsätzlich auch für das Album. Ist jedoch der Album CH installiert, includieren die Sprachdateien des Albums die Sprachdatei des Album CH MODs und seltsamerweise auch noch die extension.inc (was vollkommener Blödsinn ist). Ich für meinen teil habe schon vor langer Zeit den Inhalt der lang_hierarchy_album.php in die lang_admin_album.php und in die lang_album_main.php eingefügt und dafür die darin enthaltenen includes entfernt. :D
[center].: Web Relax .::. Essen mit Freude .::. AmigaLink.de :.
______________________________________

Kein Support per PM, ICQ oder eMail!!!
[/center]
Antworten