Ein Administrator warnt im offiziellen Forum davor, dass Angreifer im Server-Management-Panel Froxlor über eine Sicherheitslücke bis Version 0.9.33.1 gegebenenfalls das Datenbank-Passwort abgreifen können. Während die abgedichtete Version 0.9.33.2 zum Download bereit steht sollen reparierte Debian-Pakete folgen.

Temporär können Debian-Nutzer über den Eintrag Alias /froxlor/logs /dev/null in der Apache-Konfiguration und einem anschließenden Neustart ihre System absichern, was dem Anbieter zufolge aber auf eigene Gefahr geschieht. Wenn das Update verfügbar und eingespielt ist, soll der Eintrag wieder entfernt werden.

Der Fehler wird, wenn der MySQL-Server nicht erreichbar ist und Admins in der Zeit Froxlor öffnen, geloggt. Der Benutzername und das Passwort landen dann in diesem Fall auch in dem öffentlich zugänglichen Ordner /logs/sql-error.log. Für Angreifer sollen Passwörter aber nur bis maximal 15 Zeichen einsehbar sein.

(mt, hannover)

(siehe auch heise-News-Ticker:)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE