Update für PostNuke beseitigt mehrere Schwachstellen

Für das populäre Content-Management-System PostNuke ist ein Update erschienen, das mehrere Sicherheitslücken beseitigt. Die Aktualisierung steht als komplettes Paket oder als Changed-files-only-Paket zum Download bereit. Laut Advisory betreffen zwei der Schwachstellen auch den Release Candidate .760RC4*, der allerdings nicht für den produktiven Einsatz empfohlen wird.

Die in Version .750 entdeckten Schwachstellen ermöglichen neben Cross-Site-Scripting einem Angreifer, das Administrator-Passwort auszuspähen sowie eigenen Code hochzuladen und unter Umständen auszuführen. Da die gefundenen Lücken auf einer fehlenden Typvalidierung beruhen, versagt der eingebaute Anticracker, PostNukes Schutz gegen das Einschleusen von Code.

Allerdings muss zum Ausnutzen der Lücken nach Angaben von Andreas Krapohl, Vorsitzender PostNuke e.V., ein Verzeichnis auf dem Server world-writeable sein. Zudem muss sich das Verzeichnis von außen auch aufrufen lassen, was in der Standardkonfiguration von PostNuke der Zugriffsschutz per .htaccess verhindern würde.

Siehe dazu auch: (dab)

• PostNuke Security Advisory 2005-2 Fehlerbericht von larsneo
• PostNuke SQL Injection Fehlerbericht von Maksymilian Arciemowicz