|
|
 |
| |
BUG atau Lubang Sekuritas di PostNuke !!!
Dikirim oleh: LuriDarmawan pada Apr 15, 2003 - 05:52 AM [ Edit | Hapus ] | |
 Ada lubang keamanan di dalam CMS PostNuke yang memungkinkan seseorang memperoleh informasi yang sangat sensitif.
Seperti full path server, ataupun databasename yang digunakan.
Versi yang berlubang:
* Post Nuke versi 0.723 dan sebelumnya
Exploit:
gunakan link berikut di dalam server target
http://www.[target-computer].com/modules.php?op=modload&name=Members_List&file=index&letter=All&sortby=unameXXXX
Ganti XXXX dengan tulisan sembarang
Akan muncul error di dalam PostNuke, yang juga menampilkan full path dari server yang bersangkutan serta database name yang digunakan. Bagi seorang hacker ahli, informasi ini sangat penting dan bermanfaat sekali !!!
Solusi:
- Ubah hak akses terhadap "Member_List" hanya untuk admin saja.
- Deaktifkan seluruh modul "Members_List"
- Aplikasikan Security Patch
Ini hanya salah satu solusi, jika yakin bahwa server hosting yang digunakan aman, bernapaslah dengan tenang.
|
|
| BUG atau Lubang Sekuritas di PostNuke !!! | Log-in or register a new user account | 7 Comments |
|
| Comments are statements made by the person that posted them.
They do not necessarily represent the opinions of the site editor. |
Re: BUG atau Lubang Sekuritas di PostNuke !!!
(Score: 1)
by remoeg (remoeg@postnuke-id.com)
on Apr 15, 2003 - 07:51 AM
(User information | Send a message http://postnuke-id.com)
|
hmm, security patch nggak cukup kayaknya... saya sudah aplikasikan, tapi tetap keluar full path server / database. Ini karena security patch di release bulan Januari, sedangkan isu security yang ini ketahuan tanggal 25 Maret 2003. Berita tentang penemuan security hole ini bisa di liat di sini
Untuk info lebih lengkap tentang solusi yang ada di postnuke.com klik di sini.
Dari thread di postnuke.com ada saran menarik :
"Re: PostNuke Sensitive Information Disclosure (Score: 1)
by mr.ray on Mar 26, 2003 - 01:09 PM
(User info | Send a message) http://www.palazzo.nl
The simplest solutions is to comment out lines 257 - 259 in includes\legacy.php
// $lcmessage = $message . "
" .
// "Program: " . $prg . " - " . "Line N.: " . $line . "
" .
// "Database: " . $db->database . "
";
And wait for a proper fix.
If you use this line in your browser your member info is still visible no matter permissions you set.
http://[domainname]/.../modules.php?op=modload&name=Members_List&file=index&letter=All&sortby=uname
Or I might be doing something wrong in the permissions department.
I would gladly be corrected cause I hate to deactivate it. "
Bila anda mencoba mengakses link memberlist sebagaimana disebutkan di atas, maka akan keluar pesan :
Error (1054) : Unknown column 'unameXXXX' in 'order clause'
At least, nggak keluar path dan dbName.
Kabarnya patch untuk ini sudah dikirim ke pnCorps per tanggal 8 April untuk diuji, tapi sampai sekarang belum keluar juga security fix.
|
Re: BUG atau Lubang Sekuritas di PostNuke !!!
(Score: 1)
by remoeg (remoeg@postnuke-id.com)
on Apr 15, 2003 - 08:16 AM
(User information | Send a message http://postnuke-id.com)
|
Oh ya, security patch tetap perlu dipasang lho !
Sebagai tambahan, bisa juga menggunakan module members_list dari portalzine.de (lihat di bagian download). Upload ke site anda, lalu coba tes. Saya sudah test, dan tidak ada pesan error.
|
Re: BUG atau Lubang Sekuritas di PostNuke !!!
(Score: 1)
by LuriDarmawan (JanganDiSpamDong@kioss.com)
on Apr 15, 2003 - 10:09 AM
(User information | Send a message http://www.kioss.com)
|
>>Bila anda mencoba mengakses link memberlist sebagaimana disebutkan
>>di atas, maka akan keluar pesan :
>>Error (1054) : Unknown column 'unameXXXX' in 'order clause'
>>At least, nggak keluar path dan dbName.
benar keluar comment error spt itu, tp lihat dibaris diatasnya.
coba deh kita cek situs-nya PostNuke.com dengan url:
http://www.postnuke.com/modules.php?op=modload&name=Members_List&file=index&letter=All&sortby=unameXXXX
akan keluar:
Error accesing to the database
Program: /home/postnuke/WebSite/www2/modules/Members_List/index.php - Line N.: 282
Database: postnuke
Error (1054) : Unknown column 'unameXXXX' in 'order clause'
yang huruf tebal itu maksudnya. :)
Jika saja ada lubang keamanan yang lain lagi di dalam server, seperti terbukanya akses SHELL scr public....
greng-greng.... ALERT.!! ALERT..!!
(soal hacking ini masih banyak IF..THEN -nya looh...)
So, selama anda yakin dengan keamanan server anda, HOLE ini tidak akan berarti apa-apa :D
btw,
asik ya...
mbuat pancingan satu artikel,
biar muncul komentar lain.. hihihi..
|
Re: BUG atau Lubang Sekuritas di PostNuke !!!
(Score: 1)
by DecRyan on Apr 15, 2003 - 01:05 PM
(User information | Send a message http://thedivide.org)
|
|
Hey thanks guys! Semenjak membaca article di postnuke.com, gue udah was-was aja tentang masalah ini, krn walaupun udah membaca replies di sana tetap aja penyelesaian masalahnya susah diikutin. Tapi dgn mengupload imod members list 1.7, error message dgn tampilan server & database nya tdk lagi muncul :D
|
|
|
|
|
|
. |
|
|
