Hier gehts zu den Infos von der CCA -> Neue Sicherheitslücke in Contao entdeckt: So könnt ihr schnell reagieren -> https://c-c-a.org/aktuelles/news/det...wurde-entdeckt
Viele Grüße
Druckbare Version
Hier gehts zu den Infos von der CCA -> Neue Sicherheitslücke in Contao entdeckt: So könnt ihr schnell reagieren -> https://c-c-a.org/aktuelles/news/det...wurde-entdeckt
Viele Grüße
Heute Nachmittag wurde eine erneute Sicherheitslücke in Contao gefunden und leider direkt offengelegt, anstatt uns zunächst zu informieren und uns Zeit für die Veröffentlichung eines Patches zu geben.
Ganzen Beitrag zu 'Erneute Sicherheitslücke in Contao gefunden' lesen
Ich habe die beiden Beiträge zusammengeführt und oben in die blaue Mitteilungsbox auch den Hinweis auf diese neue Sicherheitslücke verlinkt.
Hallo zusammen,
Wo kann ich nähere Infos über die Sicherheitslücke bekommen?
Grüße und Danke
Stefan
Gesendet von meinem Lenovo S6000L-F mit Tapatalk
Sorry, man sollte erst richtig lesen und dann fragen. Habs gefunden....
Gesendet von meinem Lenovo S6000L-F mit Tapatalk
Danke an Klaus für die die Meldung im frz. Forum. Ich habe viele Kunden in francophonen Ländern und würde es begrüßen, wenn wichtige systemrelevante Nachrichten gewissermaßen standardmäßig in den diversen Länderforen gemeldet werden, damit alle Nutzer möglichst schnell reagieren können.Zitat:
Zitat von KlausGrenoble
Wenn man/frau hierfür etwas beitragen kann bzgl. Organisation/Kommunkation, dann lasst es mich wissen.
Grüße,
Matthias
Danke für die schnelle Reaktion und die Hinweise! Sehe ich das richtig, dass das Umbenennen der install.php nicht mehr ausreicht?
Damit erschwerst du es zwar, aber am sichersten ist es, wenn du sie einfach löschst. Im normalen Betrieb brauchst du sie ja nicht und sonst stellst du sie einfach ggf. wieder her aus dem Contao source.Zitat:
Zitat von elbec
Einfach die richtigen Rechte setzen, dann braucht man es auch nicht löschen. ;)
Nach dem Setzen der Rechte dringend prüfen ob es auch klappt...
Hatte heute zwei Kundenhostings deren Apache die Rechte überhaupt nicht interessiert hat und die trotzdem auslieferten.
Dann ist das aber eher eine (falsche) Serverkonfiguration und gut, dass dieser Umstand dadurch aufgedeckt wurde. ;)
Wegen solchen Sachen bevorzuge ich in Sicherheitsfragen todsichere Lösungen, wo immer möglich. Einen Apache, der eine gelöschte Datei ausliefert, habe ich noch nie erleben müssen. Von Seiten im Cache mal abgesehen.;) Allerdings, wenn ich sowas lese, dass ein Apache die Dateirechte ignoriert, dann schrillen bei mir die Alarmglocken. Da braucht es dann keine Sicherheitslücken in Contao mehr, um den Server zu kompromittieren.
Rechte entziehen wie im Beitrag auf c-c-a.org vorgeschlagen würde ich nicht empfehlen. Dadurch entzieht man sich evt. auch das Recht die Rechte wiederherzustellen ;). Und ohne Auswege (Root-Access) muss man den Hoster kontaktieren um das wieder richtig zu stellen. Was sicher mehr Aufwand ist, als die install.php wieder hinauf zu laden.
Wenn dann nur die Lese-Rechte entziehen.
Der Vorschlag ist auf guten Hostern absolut legitim und auch nicht Vorschlag Nr. 1.
Öh, das ist ziemlicher Blödsinn (sry für die Wortwahl), die Berechtigungen einer Datei zu ändern, hat nichts mit den Rechten, die man auf eine Datei hat zu tun, sondern mit den Rechten, die man auf das beinhaltende Verzeichnis hat. Du kannst ohne Probleme eine Datei mit einem chmod von 0000 löschen, solange du Schreibrechte auf das Verzeichnis hast ;)Zitat:
Zitat von Spooky
Stimmt, sorry. Ist wohl nur eine negative Erinnerung die schon länger her ist ;). War wohl auch damals eher ein anderes Problem, wenn ich darüber nachdenke.
Auch das zurücksetzen der Rechte sollte eigentlich funktionieren, nicht nur das löschen.
Da schrillen bei mir nicht nur die Alarmglocken, da zweifel ich an dem Admin oder dem Anbieter.
Hey,
ich muss sagen, dass Problem hätten wir schon vor 2 Jahren (!!!) entkräften können.
Ich habe damals den Vorschlag geäußert, dass bereits bei der Installation automatisch ein Passwortschatz für das /contao Verzeichnis mit angelegt wird.
https://github.com/contao/core/issues/3892
Leider wurde das Ticket nie umgesetzt
Stefan
@KlausGrenoble,
wenn du solche Verlinkungen machst, könntest du auch noch bitte eben kurz schreiben warum oder was der Inhalt ist? Ich kann kein Französisch und frag mich dann an so einer Stelle, was das denn nun für wichtige Informationen enhält, das es hier verlinkt werden muss.
An sich ist es ja gut, das du versuchst die Foren zu verbinden... aber mach das doch bitte Transparent ;-)
Viele Grüße
@MacKP: Hast recht. Reine Faulheit. Ausserdem war das in diesem Fall italienisch. Aber viel ist in diesem Forum (noch) nicht los.
Voila:Zitat:
Zitat von MacKP
Mit meinen intalienisch kenntnissen würde ich sagen ... inhaltlich korrekt und verständlich ;)Zitat:
Zitat von Translate.google.com
Danke, mir hätte auch gereicht, wenn da gestanden hätte: News übersetzt in Sprache xy ;-)
Das ist dann auch nicht so viel arbeit ^^
Viele Grüße
Den Vorschlag würde ich grundsätzlich unterstützen, ich muss dir aber leider sagen, dass ist nur die Spitze des Eisberges. Außerdem, wenn es optional ist, werden es vermutlich gerade Anfänger nicht machen :(Zitat:
Zitat von AgentK
EDIT: Und im übrigen ist das nur Symptombehandlung, keine Ursachenbehandlung und so was mag ich überhaupt nicht :rolleyes:
Nur mal so als Laie gefragt: Wäre es eine Idee, bei der Installation den Pfad zum Backend einstellbar zu machen, so dass er nicht immer fix auf /contao steht? Es würde doch automatische Angriffe (Liste von Domains via wget per Script abklappern) deutlich erschweren, wenn man ins Backend z.B. über http://www.domain.tld/irgendeinekrum...henkombination käme?
Natürlich ersetzt das keinen Bugfix, aber es wäre doch eine weitere Schutzschicht - oder nicht?
http://de.wikipedia.org/wiki/Security_through_obscurityZitat:
Zitat von Kater
Kurz gesagt: Nein!Zitat:
Das Prinzip ist sehr umstritten, so rät das National Institute of Standards and Technology (NIST) Sicherheitssysteme nicht auf dieser Basis zu konzipieren: “System security should not depend on the secrecy of the implementation or its components.”[2]
Auf diesem Prinzip beruhende Systeme sind intransparent für dessen Anwender und damit wenig geeignet Vertrauen in Sicherheit zu schaffen: „Security by Obscurity ist ein Prinzip, das nicht nur ungeeignet als Sicherungsprinzip bleibt, es ist obendrein kundenfeindlich.“
Ich meinte es nicht im Sinne von "depend on the secrecy of the implementation" (also Obscurity als Basiskomponente der Sicherheit), sondern eben nur als eine zusätzliche Schicht für den Fall, dass in der Implementation eine Sicherheitslücke besteht (was man ja nie 100% ausschließen kann), die sich dann eben weniger leicht automatisiert ausnützen ließe.Zitat:
Zitat von tril
Aus Sicht der Sicherheit gibt es keinen Unterschied, letztlich nützt es keinem und verwirrt nur den Kunden, wenn der sich jetzt plötzlich über example.com/wasweißich/ anmelden muss, anstelle von example.com/contao/Zitat:
Zitat von Kater
Ich finde der Satz sagt alles, egal ob als Schicht oder als komplette Sicherung, es bleibt ein Prinzip, dass keine Vorteile bietet.Zitat:
Security by Obscurity ist ein Prinzip, das nicht nur ungeeignet als Sicherungsprinzip bleibt, es ist obendrein kundenfeindlich.
Ein Passwortschutz per .htaccess!?
Sorry, aber das ist eine Sache von 30 Sekunden, so etwas von Hand zu realisieren, dazu, finde ich, benötigt es keine Hilfestellung von Contao.
Ich möchte mal eine Lanze für andere Serverdienste brechen, die nicht mit .htaccess können (nginx, cherokee, lighttpd, Windoofs usw.) . Diese System sind es schon Wert, mal über den Tellerrand zu schauen.
Viele Anbieter von Webhosts bieten zudem die Möglichkeit über die Adminoberfläche einen Verzeichnisschutz zu integrieren, das dauert noch weniger als 30 Sekunden. ;)
Damit wir uns nicht falsch verstehen, ich habe generell nichts gegen einen Verzeichnisschutz, meinetwegen auch per .htaccess, nur sollte man dabei die unterschiedlichen Server-Dienste beachten. ;)
Vielleicht habe ich aber auch einfach nur einen anderen Anspruch, was (Server-)Administratoren angeht. :)
Ein Verschleierung kann niemals als Schutz angesehen werden, es dient lediglich dazu etwas zu erschweren, kann aber in Verbindung mit anderen Lösungen recht wirkungsvoll sein.
Wir sind uns ja alle darüber im Klaren, dass es keinen 100%igen Schutz geben wird.
Gerade auch deshalb muss das System einfach Sicher sein und keine Obscurity oder "einfach zusätzliche Sicherheitslayer" eingeführt werden. Ich sehe in dem .htaccess Schutz keinen Vorteil (eher im Gegenteil, allerdings rein Organisatorisch, nicht technisch), würde aber eine "Hilfestellung" diesen im Installtool einrichten zu können jetzt nicht grundsätzlich ablehnen.Zitat:
Zitat von Thomas
Hallo Thomas
Welches Verzeichnis/welche Verzeichnisse soll ich/muss man schützen?Zitat:
Viele Anbieter von Webhosts bieten zudem die Möglichkeit über die Adminoberfläche einen Verzeichnisschutz zu integrieren, das dauert noch weniger als 30 Sekunden.
Ich benötige vermutlich einiges mehr als 30 Sekunden;) Trotzdem: In welchem Verzeichnis/welchen Verzeichnissen soll ich/muss man einen Passwortschutz mit .htaccess einrichten - gleich wie oben?Zitat:
Ein Passwortschutz per .htaccess!?
Sorry, aber das ist eine Sache von 30 Sekunden, so etwas von Hand zu realisieren, dazu, finde ich, benötigt es keine Hilfestellung von Contao.
Es behebt zwar auch nicht die ursächlichen Fehler, aber vielleicht wäre folgendes hilfreich:
a)
Link am Ende des Installscripts, über den man die install.php löschen kann.
b)
Hinweis im Header des Backends (bei Adminrechten) um darauf hinzuweisen, dass die Install.php noch existiert und gelöscht oder abgesichert werden sollte.
(könnte so aussehen wie der Hinweis auf den abgesicherten Modus oder den Wartungsmodus)
Gruß
ChrMue
Es geht um das contao Verzeichnis indem die install.php liegt.Zitat:
Zitat von peter.fl
Einfach umbenennen geht noch schneller....
Und wie loggst du dich dann bitte ins Backend ein?Zitat:
Zitat von magicsepp
install.php != index.php
mit Benutzername und Passwort ;)Zitat:
Zitat von the_scrat
Hatte deinen Satz falsch verstanden, dachte du wolltest das Verzeichnis umbenennen.Zitat:
Zitat von magicsepp
achso, nein es geht nur um die Datei install.php im Unterverzeichnis contao in einer Installation
Danke für den Link! Ich hatte meine install.php's einfach nur umbenannt, was dann wohl der "Sicherheit durch Unklarheit" entspricht und der falsche Weg ist. Jetzt werde ich sie löschen.Zitat:
Zitat von tril
Eine Verständnisfrage:
Sobald ich die Dateiendung umbenenne, kann die Datei mangels Handler-Zuordnung nicht mehr ausgeführt werden, oder? Würde es nicht reichen, dem Dateinamen irgendwelche Zeichen voran und hintenan zu stellen?
Z.B. #!install.php+*
Hallo Stepinsky,
je nach Hoster reicht das nicht wirklich aus. Zusätzlich kann man auch noch selber definieren welche Dateien als PHP Dateien behandelt werden... Sowas sollte man also gut Prüfen, wenn man diesen Weg geht.
Viele Grüße
vor allem wenn man so einen Webserver hat:
https://twitter.com/bahnfuehrer/stat...216640/photo/1
Sicherheitsupdate ist raus *freu*
Heißt das jetzt "Business as usual" und ich kann mich entspannt zurücklehnen, weil unser Contao den Job macht?
https://contao.org/de/news/contao_3-2-9.html, das sind für mich der eher aus der Design und Frontenddevelopment-- als aus der Entwicklerschiene kommt, ein wenig arg wenig Infos.
Das illustriert mal wieder den Gegensatz zwischen "gut gemeint" und "gut gemacht".:):rolleyes:Zitat:
Zitat von BugBuster
Live update wirft Fehler wenn man den Change-mode Hack verwendet hat und vergisst die Daei zu löschen oder changemod wieder zu ändern.
Vorallem toll wen der Provider mitdenkt und bei Sicherheitsproblemen solche Patches selber ausführt.
Ein weiters Plus für InetRobots (daumen hoch)!
Wer nach dem Update eine Rote Meldung kriegt mit der Mitteilung das in update.phar.php was nicht klappt, der besinne sich an changemod und der install.php!
Daher auch die Twitter Meldung von Leo Feyer:
Zitat:
Vor dem #Contao-Live-Update die Datei contao/install.php wieder per CHMOD 644 aktivieren, andernfalls gibt es eine Fehlermeldung.
Hallo Zusammen,
meine Webseite ist nicht mehr erreichbar. Das ist während meines Urlaubs passiert.
Es wurden auch Dateien css/Xml auf dem Server verändert.
Bei mir wurde der Pfad geändert. Weiß nicht wie ich die Änderung rückgängig machen kann.
Komme nämlich nicht mehr in mein Backend!
Bitte kann mir jemand weiterhelfen.
Bin nicht sooo super fit in Contao.
Webseite: www.weboutfit.de
Danke im Voraus!:mad:
Hallo rauel,
ist die Frage, ob das wirklich über diese Lücke geschehen ist.. das nur mal am Rande... allgemein hilft das hier weiter -> http://de.contaowiki.org/Contao_gehackt
Viele Grüße
nachdem das Frontend noch erreichbar ist- kann da eigentlich nicht so viel zerstört sein....
als erstes Conto-check verwenden und die Installtion auf Vollständigkeit prüfen
dann die Zugangsdaten (passwörter ftp,sql etc.ändern)