Sicherheitslücke in IceBB erlaubt SQL-Einspeisung

Nach einem Bericht des Milw0rm Projekts betrifft die Sicherheitslücke die aktuelle Version 1.0-rc6 von IceBB. Der Bericht enthält einen in Perl geschriebenen Proof-of-Concept. Dabei nutzen die Angreifer einen Verarbeitungsfehler in der Datei „index.php“ aus, über den Eingaben an die HTTP Kopfzeile „X-Forwarded-For“ nicht korrekt bereinigt werden. Durch gezielte Manipulation dieser Kopfzeile lässt sich die SQL-Abfrage von IceBB modifizieren und eigener SQL-Code in betroffene Systeme einspeisen. Da bislang kein Patch existiert, empfiehlt sich die Korrektur der betroffenen Passage im PHP-Code von IceBB. (vgw)

Sie interessieren sich für IT-Security? Über aktuelle Sicherheitslücken informieren Sie die Security-Reports von tecCHANNEL in Kooperation mit Secunia. Sie können diesen Dienst auch als kostenlosen Newsletter oder als tägliche tecCHANNEL Security Summary abonnieren. Premium-Kunden haben zudem die Möglichkeit, sich bei hoch kritischen Lücken per Security Alert informieren zu lassen.