v5.3.10 - Saptanan Güvenlik Açığı

27-10-2014, 17:25:33

Burti

Reveloper

Merhaba,

Arkadaşlar öncelikle panik yapmanız gereken birşey yok sadece bilginizin olmasını istiyorum. Kontrol ettik, denemelerini gerçekleştirdik ve bir güvenlik açığı bulduk sistemde.

Nedir Güvenlik Açığı?
Bu güvenlik açığı ile ESX yönetimi olan VPS'ler değiştirilebilir ve başkasının VPS'sine erişilebilir durumdadır. Yani bana 24 numaralı VPS'i verdiyseniz ben onu 23 ve 25 olarak değiştirebiliyorum.

Ne gibi önlemler almamız gerekli?
Şu anlık sadece güvenmediğiniz kişilere VDS için ESX yönetimli bir panel vermeyin lütfen. ve mümkünse müşterinin aldığı üründe sunucu bölümü seçili olmasın.

Siz Nasıl Farkettiniz?
Bizde her daim son sürümün insert-update-delete yapan bölgeleri geliştiricilere açık olmak suretiyle mevcuttur. Yeni bir modül tasarımında (bu modülün esx ile alakası yoktur) farkettik.

WHMCS HotFix Yayınlayacak Mı?
Şu an kodlamalara başlandı benim kendi bilgisayarım serviste olduğu için MacBook üzerinden çalışmak zorundayım o yüzden yavaş hareket ediyoruz. Elimden geldiğince detaylı bir İngilizce makale yazıp WHM'den rica edeceğim.

Bu Açığı Kullananlar Hakkında DATA'nız var mı?
Maalesef elimizde data yok lakin 2 tane yabancı kökenli tahminen Danimarkalı hacker bunun yoklamasını ve detayını çekmeye çalışıyor. PHP konusunda uzman olup CURL yöntemi ile yapılıyor bu hack.

Art niyetli düşünen arkadaşlar: geçenlerdede SMS Addon'da mevcut olan bir açıktan dolayı ne oldu yeni bir sms modülümü yazıyosunuzki piyasadaki mevcutları kirletiyorsunuz dediler. Meyve veren ağacı taşlamaktansa o ağaçtan faydalanın lütfen.

27-10-2014, 21:09:13

#2

Burti

Reveloper

An itibariyle açık için düzenli bir döküman kodlama departmanından Phyllis'e ulaştırılmıştır. Güzel bir yere değindiğim içinde 1200$ teşekkür ödemesi yapacaklar