Durch mehrere sicherheitskritische Lücken in Version 2.14.0 des quelloffenen Content-Management-Systems MySource könne es zur Einbettung von lokalen und entfernten Dateien in die PHP-Skripte des CMS kommen. Dies berichtet der dänische Sicherheitsdienstleister Secunia in einem Advisory. Außerdem würden Nutzereingaben nicht ausreichend verifiziert, wodurch es unter Umständen möglich sei, schadhaften Skript-Code in erstellte Webseiten einzuschleusen. So ließe sich Schadcode auf den Rechnern der Besucher im Sicherheitskontext der Website ausführen.
Die Lücken lassen sich nur ausnutzen, sofern PHP mit der Option register_globals läuft. Als vorläufiger Workaround bietet sich demnach die Deaktivierung dieser ohnehin problematischen PHP-Option an. Secunia stellt im Advisory detaillierte Informationen zur Ausnutzung der einzelnen Lücken bereit. Außerdem lässt sich das Einbetten von lokalen und entfernten Dateien in PHP-Skripte in der Regel zur Ausführung von beliebigen Code auf dem Server nutzen. Die entdeckten Sicherheitslücken seien in der aktuellen MySource-Version 2.14.2 behoben, auch wenn dies im ChangeLog keine explizite Erwähnung findet.
Siehe dazu auch:
* Advisory und Details von Secunia
Quelle und Links :
http://www.heise.de/security/news/meldung/65112
