Erneut kritische Lücke in Forensoftware phpBB 2

Abermals erregt die bekannte Forensoftware phpBB aufsehen, indem eine neue kritische Lücke bekannt geworden ist. Die Betreiber hatten erst kürzlich die Version 2.0.12 veröffentlich, die ebenfalls zwei Sicherheitslöcher behob. Bei einer der neuen Sicherheitslücken ist es einem potenziellen Angreifer möglich, Administrationsrechte zu erlangen und somit die Kontrolle über das Forum zu bekommen. Das Team von phpBB empfiehlt daher dringend ein Update der Forensoftware auf die neu erschienene Version 2.0.13 um die Fehler zu beheben.

Falls jemand nicht dazu bereit ist die neue Version komplett zu installieren, kann man die Lücken auch im Modul includes/sessions.php selbst bereinigen. Folgende Zeilen müssen dann ersetzt werden.

if( $sessiondata['autologinid'] == $auto_login_key )

durch

if( $sessiondata['autologinid'] === $auto_login_key )

Die zweite Sicherheitslücke ist nicht so kritisch, jedoch sind die Änderungen die hierfür vorgenommen werden müssen etwas aufwendiger. Nähere Informationen hierzu erhalten Sie unter dem angegebenen Link.

Homepage: phpBB Support-Forum
Download: phpBB 2.0.13 Download (Verschiedene Versionen verfügbar)