93962

Sicherheitslücke in IceBB erlaubt SQL-Einspeisung

20.11.2007 | 10:00 Uhr |

Bei IceBB handelt es sich um eine Internet Foren Software. Angreifer können eine Schwachstelle zur Einspeisung beliebiger SQL-Befehle ausnutzen.

Nach einem Bericht des Milw0rm Projekts betrifft die Sicherheitslücke die aktuelle Version 1.0-rc6 von IceBB. Der Bericht enthält einen in Perl geschriebenen Proof-of-Concept. Dabei nutzen die Angreifer einen Verarbeitungsfehler in der Datei „index.php“ aus, über den Eingaben an die HTTP Kopfzeile „X-Forwarded-For“ nicht korrekt bereinigt werden. Durch gezielte Manipulation dieser Kopfzeile lässt sich die SQL-Abfrage von IceBB modifizieren und eigener SQL-Code in betroffene Systeme einspeisen. Da bislang kein Patch existiert, empfiehlt sich die Korrektur der betroffenen Passage im PHP-Code von IceBB. (vgw)

Sie interessieren sich für IT-Security? Über aktuelle Sicherheitslücken informieren Sie die Security-Reports von tecCHANNEL in Kooperation mit Secunia. Sie können diesen Dienst auch als kostenlosen Newsletter oder als tägliche tecCHANNEL Security Summary abonnieren. Premium-Kunden haben zudem die Möglichkeit, sich bei hoch kritischen Lücken per Security Alert informieren zu lassen.

tecCHANNEL Shop und Preisvergleich

Links zum Thema IT-Sicherheit

Angebot

Bookshop

Bücher zum Thema

eBooks (50 % Preisvorteil)

eBooks zum Thema

Software-Shop

Virenscanner

0 Kommentare zu diesem Artikel
93962