Sicherheitslücke in Plesk 8.6

[Roger Wilco]

Es ist schon richtig, dass das eine Sicherheitslücke ist, aber bestimmt keine schwerwiegende.

Für den "Exploit" wird bereits ein funktionierender, nicht gesperrter E-Mail-Account mit gültigem Passwort vorausgesetzt. Das heißt der "Angreifer" (oder nennen wir ihn E-Mail-Benutzer) könnte von Anfang an E-Mails über das System versenden und muss dazu nicht diesen Fehler ausnutzen.

 

[Huschi]

Meinst Du diesen Bug?

Lücke in Plesk 8.6 bei Mailauth mit Shortnames

Mein Bruder hat mich gerade auf folgenden Eintrag bei BugTraq aufmerksam gemacht: SecurityFocus From: Felix Buenemann Date: 2008/8/31 Subject: Plesk 8.6.0 authentication flaw allows to gain virtual user priviledges To: [email protected] [...] I have discovered severe...

serversupportforum.de

Wenn ich den Text richtig verstehe, braucht man nicht unbedingt das richtige Passwort zu dem Login.
Und Logins austesten mit dem User "info" dürfte eh sehr leicht sein, oder?

huschi.

 

[Roger Wilco]

Meinst Du diesen Bug?

Lücke in Plesk 8.6 bei Mailauth mit Shortnames

Mein Bruder hat mich gerade auf folgenden Eintrag bei BugTraq aufmerksam gemacht: SecurityFocus From: Felix Buenemann Date: 2008/8/31 Subject: Plesk 8.6.0 authentication flaw allows to gain virtual user priviledges To: [email protected] [...] I have discovered severe...

serversupportforum.de

Ja. Da wurde wohl mein Beitrag von dem Thema getrennt.

Wenn ich den Text richtig verstehe, braucht man nicht unbedingt das richtige Passwort zu dem Login.

Doch, benötigt man. Ich konnte es zumindest nur mit einem gültigen Passwort reproduzieren und nicht, wie der Autor des Reports angeblich nur mit einem gültigen Passwort (ohne Nutzername). Richtig ist allerdings, dass qmail alle Benutzernamen annimmt, die als Präfix einen gültigen localpart haben (also z. B. ist 'foo' eingerichtet und es geht auch 'foo2', 'foobar' usw.; allerdings nur mit dem richtigen Passwort).

Zusätzlich dürfte es nur sehr wenige Pleskinstallationen mit mehreren Domains geben, die das Shortnames-Feature aktiviert haben.