Source: https://tikiwiki.org/tiki-read_article.php?articleId=100
Timestamp: 2020-07-15 18:57:44+00:00

Document:
Weihnachts Sicherheitswarnung: php injection | Tiki Wiki CMS Groupware :: Community
Deutsch (de)English (en)Français (fr)Česky (cs)
Author: mose	- Mon 13 Dec 2004 16:55 GMT-0000
Überprüfen Sie, ob ihr Tiki schon Opfer eines Exploits wurde
Überprüfen Sie die Apache Logdateien
Spielen Sie einen Fix ein
Die Lösung für System-Administratoren
Beim Upload von Bildern über die "Wiki Bearbeiten" Seiten wurden die hochgeladenen Dateien nicht überprüft, so daß ein bösartiger Benutzer mit der Berechtigung zum Upload eine beliebige PHP-Datei hochladen und direkt unter img/wiki_up/ ausführen konnte. Der Fehler ist recht simpel, dumm und offensichtlich. Es ist recht erstaunlich, daß bisher noch niemand diesen Fehler behoben hat.
Reparieren Sie ihr Tikiwiki so bald als möglich!
Suchen sie im Verzeichnis img/wiki_up (bzw. img/wiki_up/$tikidomain/ bei Multitiki) nach Dateien mit der Endung .php, .php3, .php4 oder .phtml. Das funktioniert z.B. mit den folgenden Einzeilern:
§48094a178fd4452d27d94a77ee86a7fc§
Ab Tiki 1.9 liegt dort evtl. schon eine index.php um zu verhindern, daß man bei falsch konfiguriertem Webserver den Inhalt des Verzeichnisses auslesen kann. Sie sollten sich die Datei aber in jedem Falle genauer anschauen.
Um herauszufinden, ob jemand eine ungewünschte PHP Datei hochgeladen hat, können Sie grep auf die Logdateien benutzen:
§41266ca5b88089d60b9d45eac17390aa§
oder benutzen Sie zgrep, falls die Logdateien regelmäßig weggerollt werden:
§5b9fc7ea10de4397cd17dbba0720f1b0§
Der schnellste Notfallfix ist das Deaktivieren von Bildern in Wikis über die Adminseiten (/tiki-admin.php?page=wiki).
Eine zweite Möglichkeit ist, das Uploaden von Bildern in Wikis nur für Administratoren zu erlauben, indem die Berechtigung tiki_p_upload_picture nur für die Administratoren-Gruppe gesetzt wird.
Natürlich gibt es auch einen richtigen Fix, der ermöglicht, daß das Hochladen von Bildern wie gewohnt weiterbenutzt werden kann. Dazu muß die Datei tiki-editpage.php ersetzt oder angepaßt werden:
CVS Benutzer :
Holen Sie sich einfach die neueste Version, alle Branches von 1.7 bis 1.10 wurden gefixt.
Sonstige Benutzer :
Fügen Sie folgende Zeile in tiki-editpage.php ein:
§78af8fc4f58c15fe154ac519aae24a44§
direkt vor der Zeile mit dem Inhalt:
§73d5696d7986c77e3eabc58755c7fa80§
bei version 1.7.x in Zeile 106
bei Version 1.8.x in Zeile 138
bei Version 1.9rcx in Zeile 173 und 181
bei Version 1.10 in Zeile 172
Alternativ zum Austauschen/Korrigieren der Datei kann auch einfach verboten werden, daß Dateien aus dem Verzeichnis geparsed werden.
Benutzen Sie Apache, haben jedoch keine Zugriff auf dessen Konfiguration, dann legen Sie in img/wiki_up eine Datei .htaccess an mit dem Inhalt:
§35f7274e4f4b55691a08eb1db873c10f§
Falls das nicht funktioniert, bitten Sie den Admin, die Nutzung von .htaccess für folgende Nutzung freizuschalten:
§e55df3a38aaa5994016e385900a98ed5§
für den gesamten Verzeichnisbaum, in dem ihr Tiki liegt.
Falls Sie selbst Admin sind und die Apache-Konfiguration anpassen können:
§f3325a544785dbf718b154a2890b9639§
Hierbei ist natürlich noch der Pfad auf das img/ Verzeichnis anzupassen.
Beide Methoden verbieten den Zugriff auf PHP Dateien im img-Verzeichnis, aber evtl. sollten Sie das gleich auf alle ausführbaren Dateitypen ausdehnen (.pl, .vb etc.)
Weitere Details dazu unter http://httpd.apache.org/docs-project/
Für jeden Versionszweig wird in den nächsten Tagen ein neues Release veröffentlicht, als da wären 1.7.9, 1.8.5 und 1.9dr4. Falls Sie keinen der obenstehenden Fixes ausgeführt haben:
Aktualisieren Sie Ihr Tiki so bald wie möglich!
Denken Sie daran: Sie können jederzeit einen Sicherheitshinweis an uns schicken über die EMail-Adresse security at tikiwiki.org.
für das Tikiwiki Security Team
[ Execution time: 0.58 secs ] [ Memory usage: 5.76MB ] [ Queries: 178 in 0.49 secs ] [ Server load: 1.11 ]

References: §48094

§41266

§5

§78

§73

§35