Gallery2 und Security

K

khan2002

Registered User
Hallo

Zuerset möchte ich darum bitten, falls dieses Posting im falschen Forum ist, dieses zu verschieben...

Nun zu meinem Anliegen: Ich spiele zur Zeit mit dem Gedanken eine Gallery2 auf meinem Server zu installieren, weiss aber nicht, ob ich mir dabei eine Sicherheitslücke aufmache. Die zwingende "safemode=off" Einstellung verursacht mir Bauchschmerzen und ich bilde mir ein, vor kurzem gelkesen zu haben, dass eine größere Anzahl Seiten über dieses Skript gehackt wurden....

Bitte um feedback
 
Hallo,

ich habe nur mal kurz geschaut ob man dazu bekannte Schwachstellen findet : OSVDB ID: 29000

Ist nur eine aus 2006.
Viel gehört habe ich, im Gegensatz zu dir, davon auch noch nicht.

Aber das soll keine Verharmlosung sein!
 
Ich betreibe bei mir auch eine Gallery2.2 Multisite Installation. Generell ist die Sache schon sicher, einen ordentlich konfiguratierten Server natürlich vorausgesetzt. Früher hatte ich Gallery1 laufen, dann war es Gallery2 und nu die 2.2
Und bisher ist mir da sicherheits-technisch nichts aufgefallen.
 
Richtig, solange man als Plugin für die Bearbeitung der Fotos GD (PHP) einsetzt, und auf Geschichten wie imagemagick, netpbm und ffmpeg verzichtet. Denn diese setzen die Binaries und ein php-exec voraus ;)
Aber ansonsten läuft es auch prima im safe-mode.
 
Naja das ist alles regelbar.

Man legt sich die Binaries für imagemagick, zip und co, was gallery halt braucht per link in einen bestimmten Ordner:

/usr/graphbin zum Bleistift, dann das hier in den vhost:

#Globales
<Directory "/var/www/##user##/">
#Die PHPMailer Funktion sendet sonst den falschen Return Path
php_admin_value sendmail_from webmaster@##domain##
php_admin_value sendmail_path "/usr/sbin/sendmail -t -i -f webmaster@##domain##"
#Speicherpfad für Sessions
php_admin_value session.save_path /var/www/##user##/phptmp
</Directory>

<Directory "/var/www/##user##/html/">
#PHP Safe Mode ausschalten
php_admin_flag safe_mode off
php_admin_value safe_mode_exec_dir /var/www/##user##/html/:/usr/graphbin:/var/www/##user##/phptmp:/var/www/##user##/files/:/var/www/##user##/atd/

#Options setzen
AllowOverride All

#Falls die Options der .htaccess nicht gelesen werden
Options +FollowSymLinks +SymLinksIfOwnerMatch +Includes

#PHP Optionen

#BaseDir setzen damit Gallery die binaries benutzen darf
php_admin_value open_basedir /var/www/##user##/html/:/usr/graphbin:/var/www/##user##/phptmp:/var/www/##user##/files/:/var/www/##user##/atd/
</Directory>
Click to expand...
 
You must log in or register to reply here.
Back
Top