!!! SECURITY-FIXES für YaBB SE älter als 1.5.1 !!!

[andrea]

Original englischer Thread:

http://www.yabbse.org/community/index.php?board=9;action=display;threadid=17919

For those of you using these version, please change the following in the Packages.php file.

Change:

Code Select Expand


include_once("$sourcedir/Packer.php");
// verify the user is an administrator
is_admin();


to

Code Select Expand


// verify the user is an administrator
is_admin();
include_once("$sourcedir/Packer.php");


Make sure the include comes after the is_admin() call.

Deutsche Uebersetzung: Wer eine dieser Board-Versionen benutzt soll die Datei "Packages.php" editieren und die Reihenfolge der Aufrufe tauschen so dass der include Befehl *nach* dem is_admin() Aufruf steht.

[chris]

Zusätzlicher Hinweis:

MACHT DIESE ÄNDERUNG BITTE SO SCHNELL WIE MÖGLICH

das ist kein Thema wo man "och ja, mach ich irgendwann" sagen sollte.

Macht das Bitte AUCH wenn ihr 1.5.0 oder einen der frühen 1.5.1 RC's nutzt! Die Änderung ist erst seit gestern drinne!

[Tarok]

Grüzi,

sicherheitsrelevante dinge klärt man

SOFORT

oder NIE.

Wer sowas anderst handhabt ist selbst schuld (meiner meinung nach) was dan so passieren kann (für was sieht man sich ansonsten die info überhaupt erst an wenn man sie eh nicht nutzt).

1Min. nach lesen sofort geändert ist ja auch wirklich einfach zu machen und für die diejenigen die sich NICHT wohl dabei fühlen es via hand zu machen würde ich sogar schnell ne mod schreiben (das bekome selbst ich hin, was 1.5.1RC1 nutzer betrieft den nur die habe ich auf meiner HD noch drauf weshalb ich dan auch nur dafür ne mod schreiben könte die dan auch leuft).

Ansonsten vileicht eine Idee für den Support für alle Yabbse 1.x.x Versionen eine MOD/ein PHP-Script zu schreiben das diesen WICHTIGEN fehler sauber behebt (auch bei denjenigen die sich nicht so wohl dabei fühlen via hand am code zu werkeln.........ja auch solche nutzer von YabbSE gibt es).

[chris]

Achja... und wenn ihr schon dabei seid:

"Reminder.php" sollte auch angepasst werden. Sucht da nach:

Code Select Expand

$user = urldecode($user);   // deal with special chars in the name
und fügt dahinter (ACHTUNG! AKTUALISIERT!)

Code Select Expand

if( !get_magic_quotes_gpc() )
   $user = addslashes($user);
ein...

Das behebt noch ein kleineres Problem.

[Surfy]

is die remindergeschichte auch für 1.4.1?

Surfy

[chris]

Gegenfrage: Wäre es sinnvoll einen Fix für 1.5.1 in einen Thread mit dem Betreff

"Security fix für Board-Versionen < 1.5.1"

zu packen?

In anderen Worten: Ja, die Remindergeschichte ist für 1.4.1/1.5.0

[Beri]

Hallo zusammen!

Hätte ich diesen Thread doch nur eher gesehen....   heute nacht ist jemand über diese Package.php eingestiegen und hat mein Forum gehackt.  

Hacker ION, URL www.brcommunity.de. Hier könnt Ihr das bewundern:
Zone-H org - Digital Attacks Archive

Könnt Ihr bitte einen Sticky machen, damit das nicht noch anderen passiert? Dass mir das passiert, obwohl ich ständig hier mitlese... args.

Frage: Weiß jemand, wie die an diese Informationen kommen? Ich kann mir einfach nicht vorstellen, dass die Hacker sich dort selbst eintragen.

[chris]

OK, Thread ist nun Sticky!


Weitere Änderungen die Ihr einbauen solltet...

in der Datei helpadmin.help am Anfang (vor der definition des 1. $helptxt) bitte folgendes einfügen:

Code Select Expand

$helptxt = array();
(sehr theoretisches problem - aber sicher ist sicher)

wenn ihr die News.php nicht nutzt, LÖSCHT SIE ! zusammen mit news_template.php !!!

Ansonsten bitte folgende Änderungen:

In News.php bitte am Anfang folgendes einfügen:

Code Select Expand

if (!defined('YaBBSE'))
{
die('Schleich Dich!');
}
und den gleichen Code bitte auch am Anfang von news_template.php einfügen!

Wenn Ihr die News.php nun irgendwo einbinden wollt, bitte in Eurem Script BEVOR Ihr die News.php einbindet

Code Select Expand

define('YaBBSE',1);
eintragen....

Das sind so im groben die wichtigsten Änderungen....

Code Select Expand

[Tarok]

Grüzi,

OK, Thread ist nun Sticky!


Weitere Änderungen die Ihr einbauen solltet...

in der Datei helpadmin.help am Anfang (vor der definition des 1. $helptxt) bitte folgendes einfügen:

Code Select Expand

$helptxt = array();

Dumme frage das mit dem array stand schon so bei mihr in der V1.5.1RC1 drin (erster befehl am anfang) oder habe ich den Sec.FIX falsch verstanden wo er eingefügt werden soll???

Ne antwort bei diesem Secfix währe mihr schon recht wichtig.

[chris]

Wenns schon drin steht, sei doch froh.

Ist aber primär eh für V1.4.*, etc. gedacht wie es auch schon im Betreff steht.

[Beri]

Danke, Christian!
Die von Dir angegebenen Änderungen werde ich auch sofort machen! Einmal reicht mir nämlich.

Viele Grüsse,
Beri

[gegenwart]

Wie soll den was passieren?? Ich hab die settings gelöscht, da das Forum von mir eh inaktiv ist... aber warum die ganze Aufregung?

[MC600]

Gegenfrage: Wie würdest du reagieren, wenn z.B. dein Forum dich mit einem Hackerscreen begrüssen würde  

[gegenwart]

jo, ich verstehe nur nicht, warum auf einmal soetwas passiert... ist es so einfach, dass nie jemand dran gedacht hat?? so billig?? wie kann überhaupt so ein fehler auftauchen?? wurde diese forum nicht auch sofort gehackt? woher wußtet ihr wie sie es machen??

[Daniel D.]

Manche Sachen fallen erst später auf, wenn man über den Code noch einmal drüberschaut oder wenn es andere Leute (Eure Hacker) durch probieren schaffen und es dann irgendwo ins Netz stellen.
Es gibt Internet-Seiten, die sich auf solche Bugs spezialisiert haben und diese Fehler bei bekanntwerden posten. Dieses Forum hier entspricht nicht dem Standard-Forum, es wurde viel geändert im Code der Dateien...