|
Ich habe jetzt innerhalb von kurzer Zeit 3 Updates machen müssen von der jedes als 'wichtig' eingestuft wurde.. Jelsoft sollte sich mal jemanden leisten der die Software auf Sicherheitslücken überprüft. Es kann einfach nicht sein, dass ein Kunde dazu gezwungen wird die offensichtlichen Versäumnisse durch ein Update auszubügeln. Warum konnte die 3.0.3 nicht schon sicher sein? Es will mir nicht in den Kopf und meine Unmut wächst zunehmend. |
un nun 3.0.6 langsam kotzt es mich ehrlich gesagt auch an |
Software wird nie sicher sein. Punkt. Du kannst noch so intensiv nach Sicherheitslöchern suchen, du wirst immer welche übersehen, oder es werden neue, durch den Fortschritt bedingte Löcher entdeckt. Vor 2 Jahren wusste auch noch keiner das es mal HTTP Response Splitting attacks geben wird. Dann solche Löcher, die bedingt durch Bugs in PHP sind (z.B. der letzte Bug mit dem NUL-Byte). Wenn ich aber Code sehe, der die Variablen nicht validiert (phpBT ist so ein Beispiel) und bei register globals total offen ist, dann kann man sagen das die Programmierer keine Ahnung von Sicherheit haben. Mich kotzt es aber an, wenn Leute lauthals schreien "Ihr habt keine Ahnung von Sicherheit", "Your software was not build with security in mind"... diese nonsense-Kommentare kommen meist von denen die keine Ahnung von dem haben was heutzutage an Attacken möglich ist, wie verwurzelt es sein kann... Sicherheit in PHP-Produkten ist nicht mit einem intval() gewährleistet, es gehört mehr dazu, und genau so sind entdeckte Lücken in vB, IPB, phpBB etc. auch meist nicht ein simples: "Hey, da ist ein $_GET['id'] in sql query" - sowas sollte heutzutage überhaupt nicht mehr auftauchen. <rant over /> |
Mich störts ehrlich gesagt überhaupt net, ich spiels nacher kurz drauf, dauert ja keine 5 Minuten. Die sollen lieber einmal zu viel nen Update rausbringen als einmal zu wenig. |
Zitat:
|
Das gute ist: Einspielen der Security Patches geht flott über upload jeweils einer Datei. Zeitaufwand tendiert gegen null ;) Wann der upgrade zu 3.0.x passieren soll kann jeder selbst entscheiden. |
|
Ich würde mit einem Update wieder ein paar Tage warten und bis dahin die Option 1 für das Sicherheitsloch wählen ... Aber die Funktion dürften eh nur wenige Leute aktiv haben. |
Das ganze auf Deutsch: -> http://www.vbulletin-germany.com/for...ad.php?t=15961 Zumindest reagiert Jelsoft recht schnell, mehr können sie eh nicht machen. Und die Kunden haben ja - doch mehr als gedacht - Fehler aus der Software draussen. |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 02:13 Uhr. |