Um schreiben oder kommentieren zu können, benötigen Sie ein Benutzerkonto.
Sie haben schon ein Benutzerkonto? Melden Sie sich hier an.
Jetzt anmeldenHier können Sie ein neues Benutzerkonto erstellen.
Neues Benutzerkonto erstellen
Hallo!
Wenn du gerade an deiner Website arbeitest oder dein aktuelles Hosting überdenkst: Wir betreiben mit NetzLiving eine Hosting-Plattform, die speziell auf Performance, Sicherheit und einfache Verwaltung ausgelegt ist.
Hm, dann würde der Exploit womöglich doch auf 2.0.6 zu passen.
http://forum.wordpress-deutschland.org/showthread.php?t=16028
Woher stammt denn die Info, dass die schon auf 2.0.6 waren?
Hm, das ist nicht gut.
Schick bitte mal eine Mail an die wp-hackers-Mailingliste, dort wird der Exploit auch schon diskutiert; aber bislang konnte es keiner mit 2.0.6 reproduzieren.
Nachtrag:
Ich habe den Exploit mit der Version 2.06 getestet.Tuts bei register_globals=on und entsprechender PHP Version.
Nachtrag: register_globals=off verhindert es.
das packe ich dann in meine htacess? Wenn ja wie genau?
register_globals wird in der php.ini gesetzt.
Grüße
Mo
register_globals wird in der php.ini gesetzt.
Danke für die Info, register_globals steht bei mir auf off :p
Ich war eigentlich gerade dabei, den Exploit so umzustricken, dass man ihn auch übers Web starten kann (zumindest die ersten paar Stellen des Passwort-Hashs).
Aber es scheint, dass wir doch recht zügig ein neues Update bekommen: 2.0.7 steht vor der Tür und soll primär diese Sicherheitslücke schließen.
http://comox.textdrive.com/pipermail/wp-t…ary/003644.html
Aber es scheint, dass wir doch recht zügig ein neues Update bekommen: 2.0.7 steht vor der Tür und soll primär diese Sicherheitslücke schließen.
http://comox.textdrive.com/pipermail/wp-t…ary/003644.html
updates sind ja schön, wenn dadurch neue Funktionen kommen, aber immer nur Sicherheitslöcher stopfen, finde ich nicht so prickelnd8)...
und wordpress bekommt leider viele updates:roll:
updates sind ja schön, wenn dadurch neue Funktionen kommen, aber immer nur Sicherheitslöcher stopfen, finde ich nicht so prickelnd8)...
Findet keiner prickelnd. Aber sei doch froh, dass es so schnell geht.
Kann auch anders laufen.
WordPress ist eben mittlerweile eine sehr komplexe Anwendung und es hat mittlerweile einen Verbreitungsgrad erreicht, bei dem es auch von Sicherheitsdienstleistern und Hackern (im positiven wie negativen Sinn) viel Aufmerksamkeit bekommt. Wenn ich mir anschaue, wie das bei Joomla und phpbb war und ist, denke ich, dass wir WordPress-Anwender noch gut bedient sind.
Wünschenswert wäre eine (halb)automatisches Updatesystem.
Ich muß mitlerweile einige dutzend WP-Installationen up-to-date halten, dass bedeutet für jeden Patch immer mind. nen Tag Handarbeit :(
Grüße
Mo
Viele Updates?
Also viele Updates gabs damals bei phpBB, ein Grund warum ich dann Software gewechselt habe.
zwar Offtopic, aber:
hat jemand einen Plan, wie das bei Drupal ist mit den Updates? Ich plane gerade eine Seite mit Drupal. Soll ja recht vernünftig geschrieben sein....
zwar Offtopic, aber:
hat jemand einen Plan, wie das bei Drupal ist mit den Updates? Ich plane gerade eine Seite mit Drupal. Soll ja recht vernünftig geschrieben sein....
Grüße
Mo
Immerhin gibt es bei Drupal ein Security-Portal, und es werden offizielle Patches neben den Upgrades angeboten.
register_globals wird in der php.ini gesetzt.
Grüße
Mo
Öhm...ich hab's vorsichtshalber noch in der .htaccess stehen:
php_flag register_globals off
Jetzt sag nicht, das hat keine Wirkung :?
das dachte ich auch gehört/gelesen zu haben:confused:
Wobei bei den meisten Hostern register_globals sowieso off sein sollte. Und das ist auch gut so, da es eine Angriffsfläche für fast jede Art von Script darstellt.
also kurz und knapp: mit der globals off in der php ini bin ich fein raus und update dann trotzdem mal wenn ne neue version raus is?
Sie haben noch kein Benutzerkonto auf unserer Seite? Registrieren Sie sich kostenlos und nehmen Sie an unserer Community teil!