XSS-Exploit in phpBB 2.0.16

Das lese ich zum ersten mal. Auf phpbb.de gibt’s dazu auch noch nix, nicht das ich wüsste.

Scotty's .NET Projekte: StarTrek Infos X10b, e-hahn Updater 3.20, Easy Desktop Note 1.10

Könntest Du mir das bitte mal per Mail zuschicken? Ich werde das mal ins Interna-Forum auf phpBB.de posten, vielleicht kann Meik dann was dazu sagen... (und wir haben morgen eine 2.0.17).

thx

Gruß, D@ve

Hallo D@ve,

das stand bei Euch bereits auf phpBB.de, ist dann aber von Sascha geschlossen worden. Ich ging jetzt davon aus, dass er den Thread in einen nicht-öffentlichen bereich verschoben hätte.

Ich suche den Link dennoch raus und sende ihn Dir per Mail zu. :-) Auf phpBB.com wird jedoch auch schon an einer offiziellen Lösung gearbeitet.

[edit]
Nachdem ich Deinem Profil hier keine EMail-Adresse entlocken konnte, ist das Ganze auf phpBB.de als PN an Dich gegangen
[/edit]

Also die vom phpbb.de raten jedenfalls davon ab diesen patch von euch einzubauen. Dieses Problem scheint auch weit weniger schlimm als oben beschrieben, ich warte da lieber auf einen offiziellen Fix.

Scotty's .NET Projekte: StarTrek Infos X10b, e-hahn Updater 3.20, Easy Desktop Note 1.10

Das ist und bleibt Deine Entscheidung als Webmaster. Ich kann aber schon verraten, dass der offizielle Patch nicht weit von unserer Lösung entfernt liegt.


Die Schwere dieses Fehlers liegt im Auge des Betrachters. Wenn Dritte die Möglichkeit haben, Benutzeraccounts zu übernehmen - seien es die von Usern, Moders oder Admins, so halte ich persönlich dies für eine gravierende Lücke, die seitens des Betreibers eine frühestmögliche, sinnvolle Reaktion erfordert.


Gérome

Den Exploit gibt es wirklich... er funktioniert nur im IE (es gab viele die gesagt haben das er bei ihnen nicht funktioniert).

Und ja, wir arbeiten daran. Diese Lücke ist kritisch, keine Frage. Aber wir haben in unseren Tests weitere "Probleme" offenlegen können die es nötig machen den Fix sehr sehr sorgfältig zu planen und ausgiebig zu testen. Wir haben ausserdem(?) dafür gesorgt das das "Problem" 2.0.x endlich in Angriff genommen wird, sozusagen an der Wurzel gepackt.

2.0.17 wird herauskommen, keine Frage, dies auch so schnell wie möglich (momentan sitzen die fähigsten Leute unseres Teams daran - also mehr Personen als normalerweise bei einem neuen Release involviert sind).


edit: Übrigens finde ich die Energien die in das Aufspüren von noch so kleinen Löchern gesteckt werden schon beängstigend - wenn man sich den Exploit mal anschaut... da muss doch ne Menge Arbeit drinstecken um so etwas herauszubekommen. Und dann noch posten ohne den Vendor zu informieren.
Manchmal habe ich das Gefühl das einige Gruppen/Personen schon von vornherein etwas gefunden haben aber extra auf ein neues Release warten um es dann direkt danach zu posten... und wer weiß, vielleicht haben sie ja irgendwann Erfolg und keiner hat mehr Bock phpBB weiterzumachen (was ich nicht hoffe - und was ja auch einer Kapitulation gleich käme).

.....

phpBB3 ist davon erst einmal nicht betroffen. Da haben wir aber auch etwas vor:

http://www.starstreak.net/blog/2005/...hings-to-come/

Hört sich gut an. :-) Danke für das Statement.


Gérome

Und weiter gehts:
http://www.heise.de/newsticker/meldung/61794

.17er-Update ist draußen. :-)
Wie gewohnt unter: http://www.phpbb.com/phpBB/viewtopic.php?f=14&t=308490

Jo, gab’s gestern Nacht. Das Patch File 2.0.16 zu 2.0.17,gab’s aber nur bei Acid Burne auf der HP. Hab das Update in der Nacht noch gemacht, hat alles funktioniert, war aufwendiger als ich dachte .

Scotty's .NET Projekte: StarTrek Infos X10b, e-hahn Updater 3.20, Easy Desktop Note 1.10