Mögliche SQL Injection Schwachstelle in easyLink v1.x
Heute habe ich Kenntnis von einer möglichen Schwachstelle in easyLink v1.x erhalten und aus diesem Grund möchte ich euch einige weitere Informationen zu diesem Problem bereitstellen.
Wie in der Meldung zu lesen ist, können potenzielle Angreifer über den nicht geprüften Parameter cat der detail.php Zugriff auf sensible Daten aus der Eintragstabelle erhalten.
Im Gegensatz zur der veröffentlichten Warnung von Secunia möchte ich hier aber nochmals ausdrücklich darauf hinweisen, dass von dieser Schwachstelle ausschließlich die Version 1.x und die noch immer oft genutzte Version 1.4.7 betroffen ist.
In sämtlichen Releases ab der Version 2 kann diese Schwachstelle nicht mehr ausgenutzt werden.
Da mit der Version 2.6.x bereits ein sicheres Release zur Verfügung steht, werden wir für die Versionsreihe 1.x keinen gesonderten Patch mehr zur Verfügung stellen. Wir möchten jedoch diese Warnung zum Anlaß nehmen um nochmals alle Kunden aufzurufen, die von uns zur Verfügung gestellten Patches und Updates auch dringend zu installieren.
Bitte denken Sie beim Einsatz von veralteter Software auch immer daran, dass Sie nicht nur das Risiko eines möglichen Datenverlustes eingehen, sondern im schlimmsten Fall können Angreifer natürlich auch Zugriff auf persönliche Kundendaten erlangen und daher appelliere ich natürlich auch vor dem Hintergrund div. Datenskandale an alle Administratoren in diesem Bereich mehr Verantwortungsbewusstsein zu entwickeln.







Facebook
Twitter