Thema: Sicherheitslücke: Komponente a6MamboHelpDesk

Für alle, die noch keine updates gemacht haben und immer noch Mambo verwenden, gibt tecChannel heute folgende Warnmeldung raus:

[tecCHANNEL Security News - powered by Secunia]
Report vom 31.07.2006, laufende Nummer 7753

Ueberschrift:
Mambo - Systemzugriff ueber Komponente a6MamboHelpDesk

Onlineversion:
http://www.tecchannel.de/sicherheit/reports/7753.html

Warnstufe:
Hoch kritisch

Auswirkungen:
Systemzugriff

Angriffsweg(e):
von extern

Betriebssystem(e):
betriebssystemunabhaengig

Software:
a6MamboHelpDesk 1.x (Komponente fuer Mambo)

Beschreibung:
Ueber eine Schwachstelle in der Mambop-Komponente a6MamboHelpDesk koennen
Angreifer das System kompromittieren.

Eingaben ueber den Parameter "mosConfig_live_site" in
administrator/components/com_a6mambohelpdesk/admin.a6mambohelpdesk.php werden
vor der Verwendung zum Einbinden von Dateien nicht ausreichend ueberprueft. Dies
kann der Angreifer ausnutzen und beliebigen PHP-Code einspeisen.

Ein erfolgreicher Angriff setzt voraus, dass "register_globals" aktiviert ist.

Die Sicherheitsluecke ist bestaetigt fuer die Version 1.2. Andere Versionen
koennten jedoch ebenfalls betroffen sein.

Loesung:
Aendern Sie den Quelltext dahingehend ab, dass Eingaben ausreichend ueberprueft
werden.

Gemeldet von:
Dr.Jr7

Oooops

Danke für den Hinweis.
Habe ich nicht so richtig beachtet!