vBulletin 3.6.5
Gestern morgen wurde eine Sicherheitslücke gemeldet, die alle Versionen von vBulletin 3.5.x und 3.6.x betrifft. Auch wenn die Beschreibung der Sicherheitslücke und wie sie auszunutzen ist, ungenau ist und nur unter ganz bestimmten und unwahrscheinlichen Bedingungen funktionieren kann, wurde dennoch auf ein Problem in den betroffenen Versionen hingewiesen.
Daher veröffentlichen wir vBulletin 3.5.8 und 3.6.5, die diese Sicherheitslücke beheben. Wir empfehlen allen Kunden, die vBulletin 3.5.x oder 3.6.x einsetzen, auf die jeweils aktuelle Version zu wechseln oder den bereitgestellten Patch einzuspielen.
Um zu zeigen, wie schwer die Sicherheitslücke auszunutzen ist, wird im Folgenden beschrieben, welche Bedingungen der Angreifer erfüllen muss:
- Der Angreifer muss Moderatoren-Rechte haben.
- Der Angreifer muss dieselbe IP-Adresse (oder einen identischen Teil je nach Einstellungen im Admin-Kontrollzentrum unter Genauigkeit der Überprüfung der Session-IP-Adresse) haben wie ein Administrator, der zum Zeitpunkt des Angriffs im Admin-Kontrollzentrum angemeldet sein muss.
- Der Angreifer muss die Alt-IP-Adresse (z.B. die IP-Adresse eines benutzten Proxys) und den User Agent (exakte Browser-Identifikation) des Administrators kennen.
- ODER Der Angreifer muss die Lizenznummer des Forums kennen.
Anhand dieser Bedingungen ist ersichtlich, dass die Sicherheitslücke nur sehr schwer auszunutzen ist.
Behobene Fehler in vBulletin 3.6.5
Die SicherheitslückeDie in dieser Ankündigung beschriebene Sicherheitslücke, mit der ein SELECT-Query manipuliert werden könnte, wurde behoben.
Safari CookiesBei Nutzern des Apple-Browsers Safari konnte es vorkommen, dass Sie unerwartet aus vBulletin ausgeloggt wurden. Dies trat nur auf, wenn vBulletin auf bestimmten Servern betrieben wurde.
Bugreport...Viele Diskussionen gab es zu der Tatsache, dass Microsoft sich entschieden hat, eine Sicherheitswarnung im Internet Explorer 7 zu zeigen, wenn die Javascript-Funktion
prompt() aufgerufen wird. Das führte dazu, dass der Texteditor in vBulletin ebenfalls eine solche Warnung erzeugte, wenn eine Grafik oder ein E-Mail-Link eingefügt werden sollte. Für vBulletin-Benutzer, die den IE7 einsetzen, wird die Funktion
prompt() nicht mehr genutzt. Anstelle dessen wird eine andere Methode für Benutzereingaben verwendet.
Bugreport...
Zusätzlich führen Verbesserungen im Internet Explorer 7 dazu, dass für diesen Browser auf einige Codeteile verzichtet werden kann, die Probleme beim Rendern einer Seite umgehen. Im Besonderen betrifft das das Überlappen von Menüs und
<select> Elementen.
Ein Problem im Zusammenhang mit gesperrten Benutzern, das beim Ablauf von Verwarnungen auftrat, wurde behoben.
Bugreport...Unter FreeBSD ist in einigen aktuellen PHP Version ein Fehler im Zusammenhang mit regulären Ausdrücken zu finden, der sich in vBulletin beim Einloggen zeigen kann. vBulletin umgeht diesen Fehler beim Einloggen, jedoch kann es an anderen Stellen immer noch eine Fehlermeldung geben. Ein Workaround, der diesen Fehler vollständig umgeht, wird in einer späteren vBulletin Version verfügbar sein.
So aktualisieren Sie Ihr vBulletin, um die Schwachstelle zu beseitigen:
Sie haben zwei Möglichkeiten, die Schwachstelle zu beseitigen:
- Vollständiges Upgrade: Der beste Weg, das Problem zu beheben, ist ein vollständiges Upgrade, indem das komplette vBulletin 3.6.5 Paket aus dem Kundenbereich heruntergeladen und das normale Upgrade durchgeführt wird.
- Patch: Laden Sie die Patch-Datei aus dem Anhang des nächsten Beitrags herunter, entpacken Sie sie und laden Sie die Dateien auf Ihren Webserver. Überschreiben Sie dabei alle bestehenden Dateien. Die Patch-Datei ist auch auf der Patchseite im Kundenbereich verfügbar!
Hinweise, Anleitungen und Diskussion zu dieser Veröffentlichung
Hinweis zu vBulletin 3.6.6
Durch die Veröffentlichung dieser Sicherheitslücke sahen wir uns gezwungen, schnell korrigierte Versionen von vBulletin zu veröffentlichen. Ursprünglich sollte vBulletin 3.6.5 noch weitere Probleme beheben, die seit vBulletin 3.6.4 gemeldet wurden und diverse Verbesserungen einführen.
Unglücklicherweise bedeutet die schnelle Reaktion auf die Sicherheitslücke, dass für den Test der anderen Korrekturen keine Zeit mehr war und diese somit erst in vBulletin 3.6.6 erscheinen werden.
Damit das Upgrade auf vBulletin 3.6.5 so einfach wie nur möglich ist, haben wir weder Veränderungen an den Templates, noch an den Phrasen vorgenommen.
Zitieren
Lesezeichen