LOGIN ID Password Auto Login Register Now! Lost Password?
XUGJ News
  
投稿者 : GIJOE 投稿日時: 2007-03-28 06:33:09 (3604 ヒット)
セキュリティ情報

たぶん日本にはほとんどユーザもいないと思いますが、ArticlesモジュールにSQL Injectionが発見されてます。

http://www.securityfocus.com/archive/1/463916

このあたりの海外製モジュールって、どれもこれも穴だらけ、という印象なので、今さらという感もありますが、一応報告しておきます。

PEAK XOOPSにもさっそく、こんなのが来てます。
反応速いなあ


Isolated comment-in found. (3/**/UNION/**/SELECT/**/NULL,NULL,NULL,NULL,uid,uname,pass,NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL/**/FROM/**/xoops_users/**/LIMIT/**/1,1/*)


とにかく、

・Protectorをインストールすること
・DB_PREFIXをxoops以外のものにしておくこと

この2点だけは守ってください。

ただ、SQL Injectionっていうのは、他にもいろいろ影響があったりするので、それで万全とはさすがに言い切れません。

そういうモジュールを使わないのが一番……かなあ?

*/


投稿者 : fabi 投稿日時: 2006-12-24 06:58:51 (5225 ヒット)
セキュリティ情報

今年もNORAD(北米航空宇宙防衛司令部)でサンタクロースのリアルタイム追跡をするようです。北米時間の24日から開始になるようですね。

相変わらずはじけてるサイトです。XOOPSとは全然関係ないけど。

NORAD TRACKS SANTA 2006
http://www.noradsanta.com/

メリークリスマス!


投稿者 : GIJOE 投稿日時: 2006-06-02 11:33:14 (4110 ヒット)
セキュリティ情報

おそらく、cube.jp にも載るとは思いますが、先にこちらに書いておきます。

suinさんのモジュール、XOOPS検索(search)にセキュリティアップデートがかかっています。
http://www.suin.jp/modules/mydownloads/viewcat-op--cid-6.asp

PHPの設定が、magic_quotes_gpc=on となっているサーバでXOOPSを運用している人は、なるべく早くアップデートしてください。(そうでなければ実はあまり問題ありません)

magic_quotes_gpc=onは、あまりお勧めできない環境です。
もし、.htaccessでPHP設定を変更できるサーバをご利用なら、

php_flag magic_quotes_gpc off

と1行追加することをお勧めしておきます。


投稿者 : GIJOE 投稿日時: 2006-05-23 03:12:08 (3674 ヒット)
セキュリティ情報

SecuniaでXOOPSについての脆弱性レポートが入っています。

http://secunia.com/advisories/20176/

原文を読んでいただければすぐに判ると思いますが、ある設定下では、サーバ上の任意ファイルの内容が覗かれてしまう、または、意図しないコードを途中から実行されてしまう危険性があります。

この脆弱性は、おそらくXOOPS全バージョンに共通です。

本家版 XOOPS 2.0.x/2.2.x
JP版 XOOPS 2.0.x-JP

(XoopsCubeについては判りません)


ただし、この脆弱性が問題になるのは、以下の条件をすべて満たした場合です。

(1) Protectorがインストールされていない
(2) register_globals が on である
(3) magic_quotes_gpc が off である

このうち、(3)については気にしなくて構いません。
(むしろ、magic_quotes_gpc が on である方が問題であることが多い)

しかし、今どき(2)で運用しているとすれば、そのことの方が問題でしょう。

もちろん、XOOPSのソースコードそのものにも問題があるわけで、これについては修正されるでしょうが、XOOPSのサイトを管理している貴方がやることは簡単です。

・register_globals off で運用していることを確認する
・Protectorをインストールする

このいずれかでOKです。(もちろん両方がベスト)


おそらく数日のうちに両コアチームから修正版が出るとは思いますが、この対処さえしてあれば(少なくともこの脆弱性についての)心配は不要です。あわてずさわがず、時間のあるときにじっくりとアップデートしてください。


投稿者 : GIJOE 投稿日時: 2006-04-28 05:18:18 (4290 ヒット)
セキュリティ情報

PHP wordwrap() 関数にバッファオーバーフロー脆弱性が発見されました。
http://www.secureinfo.jp/archives/2006/04/php_wordwrap_1.html

wordwrap()にユーザリクエスト由来の極端に長い文字列をそのまま渡す場合、とりあえずApache権限までは取られる可能性があります。(rootまで行くかな?)

ただ、wordwrap() という関数自体、マルチバイト圏では非常に使いづらい関数で、マルチバイトを前提とした設計のXOOPSではほとんど利用されていません。

私がざっと検索した限りでは、wordwrap()を利用したSmartyのプラグインが2種類ありましたが、どちらもほとんど利用されていません。あえて使っている人もほとんどいないでしょう。

唯一、wordwrap()関数が明示的に利用されていたのは、Dave_Lさんのchessモジュールでした。これも、実際にはリクエストをそのまま渡しているわけではないので(リクエストそのものからはかなり遠いテキストデータ)、おそらくは大丈夫でしょう。


以上から、XOOPSユーザが、それほど大騒ぎする必要はないと思っています。
PHP本体にパッチされるのをゆっくり待ちましょう。

なお、この文章はfabiさんにリクエストされたので、あくまで雑感として書いてます。
責任とか求められても困ります。
$_POST をそのまま wordwrap() にかける、なんてことをやってるプログラムがどこにもないなんて、保証できるわけがありませんから


« 1 2 3 4 (5)
Back to Page Top
MainMenu
Manuals
Search
XOOPS Official & Dev.
XOOPS Communities