Sicherheit im vB

[Unimatrix]

Ich bin durch Zufall gestern auf ein Hackerforum gestoßen und habe bei der Gelegenheit mal spaßenshalber nach Sicherheitslüchen in vB gesucht.
Gesucht, gefunden! Die Links und deren Inhalte werde ich aus verständlichen Gründen hier nicht bekannt geben.

In dem einen Beitrag konnte angeblich das vB dadurch gehackt werden, dass ein Flash-Objekt in einen Beitrag eingebettet wird. Nun meine Frage: Wie deaktiviere ich, dass man Flash im Beitrag posten kann? Reicht es, wenn ich HTML verbiete?

In einem anderen Hack wird eine Sicherheitslücke in der finalupgrade.php bekannt gegeben. Wofür genau ist denn diese Datei zuständig? Sollte man sie nach der Installation mit vom Server löschen?


Mathias

[StGaensler]

Hallo,

das es irgendwo offene Sicherheitslücken im vBulletin gibt, würde mich sehr überraschen. Wenn es welche gibt, sind wir für einen Hinweis dankbar - ich nehme aber an, dass sich alle öffentlich auffindbaren Lücken auf veraltete Versionen von vBulletin beziehen.

Standardmäßig kannst du in keinem vBulletin Flash-Inhalte in einem Beitrag einbinden. Wenn dort eine Sicherheitslücke bestehen sollte, dann ist da ein Add-On dran schuld, und nicht vBulletin.
In vBulletin ist das Einbinden von HTML in Beiträgen standardmäßig deaktiviert, und ein Hinweis bei der Einstellung, dass man das nicht so ohne Weiteres aktivieren sollte - wer es doch macht, sollte sich des Risikos bewusst sein.

Die finalupgrade.php dient dazu, am Ende des Updates/Upgrades die den aktuellen Einstellungen/Adminhilfe/Sprachdateien/Style zu installieren. Darauf kannst du aber nicht zugreifen, ohne die Kundennummer des Besitzers des Boardes zu kennen. Die Kundennummer bekommst du aber selbst dann nicht, wenn du das vBulletin-Paket hast, denn dort ist nur ein Hash davon enthalten.
Vom Server löschen brauchst du diese Datei nicht.

Viele Grüße,
Stefan

[StGaensler]

Hallo,

ich habe mir das mit der finalupgrade.php mal genauer angesehen. Du meinst die "Sicherheitslücke" wo dann ein Kasten mit "Backup System" erscheint.

Um dort hinzukommen musst du, wie bereits gesagt, die Kundennummer des Besitzers/Lizenzinhabers wissen. Wenn du die hast, kommst du da auch hin, wenn du step=backup verwendest. Das einzigste Board, welches du damit "hacken" kannst, ist dein eigenes... Naja, wems Spaß macht :D Ich werde es gleich melden.

Viele Grüße,
Stefan