Die Entwickler des Open-Source-Wiki-Systems Twiki melden mal wieder eine Sicherheitslücke. Sie betrifft die Versionen 4.0.x, 4.1.0 und ältere mit der Erweiterung SessionPlugin. Die Lücke führt dazu, dass lokale Nutzer Code einschleusen und unter den Rechten des Webservers ausführen lassen können. Das ist besonders auf Shared-Hosting-Plattformen fatal, wo fremde Admins auf dem selben Server die Lücke nutzen können. Oder sie lassen unsichere Webapplikationen laufen, durch die dann auch der Twiki-Server verwundbar wird.
Der Fehler betrifft das CGI-Session-Verzeichnis, in dem fatalerweise alle Benutzer Schreibrechte haben. Es reicht nicht, CGI Sessions zu verbieten, da es einen Session Cleanup Code gibt, den der Server grundsätzlich ausführt. Die Entwickler empfehlen ein Upgrade auf Version 4.1.1. Als Hotfix bietet es sich an, ein Verzeichnis mit korrekt gesetzten Zugriffsrechten einzurichten.
Siehe dazu auch:
* Security Alert: Arbitrary code execution in session files (CVE-2007-0669)
Quelle und Links :
http://www.heise.de/security/news/meldung/85105
