FAQ Sicherheitslücke bekannt?

[BMI]

naja, das sollte dem Verfassungsschutz wahrscheinlich Zugang und zu den Daten von Nutzern eines im Sauerland gehosteten Terror-Forumms verschaffen

[mleyen]

Genau, da klagt wohl wieder jemand, der seinen Bildschirm geschrottet hat, weil einer animierte Fliegen als Avartar hat.
Ich weiß ich bin wieder etwas paranoid, aber zur Sicherheit nochmal die Frage: Passiert sowas echt so schnell in PHP bzw bei Forenentwicklung?

[himitsu]

jupp, sowas passiert überall so schnell, wo viele Teile zusammenarbeiten ...
'ne kleine "harmlose" Änderung hier kann eine große und böse Auswirkung wo anders haben.

[mkinzler]

Ein Programmierer baut soetwas zum Debuggen/Testen ein und bedenkt nicht, dass diese Änderung in ein Versionierungssystem zurückgeschrieben wird und schon ist es Teil des nächsten Builds.

[Daniel]

Zitat von mleyen:

Ich weiß ich bin wieder etwas paranoid, aber zur Sicherheit nochmal die Frage: Passiert sowas echt so schnell in PHP bzw bei Forenentwicklung?

Also in diesem Fall hat das etwas mit einem dämlichen Entwickler zutun,der seinen Debug-Code vergessen hatte. Meinetwegen hatte es auch was mit schlampiger Qualitätskontrolle zutun. Die Zugangsdaten zur Datenbank hätte man aber in jeder denkbaren Programmiersprache ausgeben lassen - und das nicht nur bei Foren. PHP hat seine Schwächen, Stärken und was auch immer - nur diesmal hat der Fehler nichts mit der Tatsache zutun, dass es sich um eine in PHP entwickelte Software handelt.

Ich habe hier noch Version 3.8.5 im Einsatz, weil die im Update korrigierten Fehler für uns nicht relevant sind. Bei Gelegenheit werde ich das Update ausführen, aber es besteht hier kein Leidensdruck. Davon mal abgesehen wären wir wohl so oder so kein echtes "Opfer" geworden, da der MySQL-Server von außen nicht zugänglich ist.

[mkinzler]

Schön wäre die Offenlegung der Zugangsdaten aber auch nicht gewesen.

[alcaeus]

Zitat von mkinzler:

Schön wäre die Offenlegung der Zugangsdaten aber auch nicht gewesen.

Das nicht, aber ich geb Daniel mal nen . Diejenigen, die ihren DB-Server so konfigurieren, dass eine Software mit allgemein gueltigen Zugangsdaten drauf zugreifen kann, sind selber Schuld wenn so eine Luecke bei ihnen zu Datenlecks fuehrt. <user>@'%' ist das Zweitschlimmste das man bei MySQL machen kann. Schlimmer ist nur 'root'@'%'

Greetz
alcaeus

PS: und nein, mit PHP hat das wirklich nichts zu tun.

[mkinzler]

Wobei man den Zugriff bei MySQL eigentlich zuerst mal erlauben muss. So kann man es nicht darauf schieben, vergessen zu haben, es sicher zu machen

[Namenloser]

Also das nenn ich mal eine kritische Sicherheitslücke Gut, dass die DP nicht betroffen ist. Ich frage mich trotzdem, ob diese Lücke schon irgendwo ausgenutzt wurde.

[himitsu]

Zitat von Daniel:

Davon mal abgesehen wären wir wohl so oder so kein echtes "Opfer" geworden, da der MySQL-Server von außen nicht zugänglich ist.

Es sei denn du nutzt das selbe Passwort für den MySQL-Server, wie für deinen Admin-Account hier.