text: Weihnachts Sicherheitswarnung: php injection
  Deutsch (de)English (en)Français (fr)Česky (cs)
  Author: mose - 13 Dec 2004 16:55 GMT-0000
  Wichtiger Sicherheitshinweis für alle TikiWiki Administratoren und Entwickler, der alle Versionen von Tikiwiki betrifft: falls Sie ein Tikiwiki System betreiben, dann lesen Sie bitte die Einzelheiten dieses Beitrags, er enthält eine schnelle Lösung (eine Zeile in einer Datei) für ein Sicherheitsproblem.
  Überprüfen Sie, ob ihr Tiki schon Opfer eines Exploits wurde
  Überprüfen Sie die Apache Logdateien
  Spielen Sie einen Fix ein
  Die Lösung für System-Administratoren
  Neue Releases in den Startlöchern
  Beim Upload von Bildern über die "Wiki Bearbeiten" Seiten wurden die hochgeladenen Dateien nicht überprüft, so daß ein bösartiger Benutzer mit der Berechtigung zum Upload eine beliebige PHP-Datei hochladen und direkt unter img/wiki_up/ ausführen konnte. Der Fehler ist recht simpel, dumm und offensichtlich. Es ist recht erstaunlich, daß bisher noch niemand diesen Fehler behoben hat.
  Reparieren Sie ihr Tikiwiki so bald als möglich!
  Suchen sie im Verzeichnis img/wiki_up (bzw. img/wiki_up/$tikidomain/ bei Multitiki) nach Dateien mit der Endung .php, .php3, .php4 oder .phtml. Das funktioniert z.B. mit den folgenden Einzeilern:
  Ab Tiki 1.9 liegt dort evtl. schon eine index.php um zu verhindern, daß man bei falsch konfiguriertem Webserver den Inhalt des Verzeichnisses auslesen kann. Sie sollten sich die Datei aber in jedem Falle genauer anschauen.
  Um herauszufinden, ob jemand eine ungewünschte PHP Datei hochgeladen hat, können Sie grep auf die Logdateien benutzen:
  oder benutzen Sie zgrep, falls die Logdateien regelmäßig weggerollt werden:
  Der schnellste Notfallfix ist das Deaktivieren von Bildern in Wikis über die Adminseiten (/tiki-admin.php?page=wiki).
  Eine zweite Möglichkeit ist, das Uploaden von Bildern in Wikis nur für Administratoren zu erlauben, indem die Berechtigung tiki_p_upload_picture nur für die Administratoren-Gruppe gesetzt wird.
  Natürlich gibt es auch einen richtigen Fix, der ermöglicht, daß das Hochladen von Bildern wie gewohnt weiterbenutzt werden kann. Dazu muß die Datei tiki-editpage.php ersetzt oder angepaßt werden:
  CVS Benutzer :
  Holen Sie sich einfach die neueste Version, alle Branches von 1.7 bis 1.10 wurden gefixt.
  Sonstige Benutzer :
  Fügen Sie folgende Zeile in tiki-editpage.php ein:
  direkt vor der Zeile mit dem Inhalt:
  bei version 1.7.x in Zeile 106
  bei Version 1.8.x in Zeile 138
  bei Version 1.9rcx in Zeile 173 und 181
  bei Version 1.10 in Zeile 172
  Alternativ zum Austauschen/Korrigieren der Datei kann auch einfach verboten werden, daß Dateien aus dem Verzeichnis geparsed werden.
  Benutzen Sie Apache, haben jedoch keine Zugriff auf dessen Konfiguration, dann legen Sie in img/wiki_up eine Datei .htaccess an mit dem Inhalt:
  Falls das nicht funktioniert, bitten Sie den Admin, die Nutzung von .htaccess für folgende Nutzung freizuschalten:
  für den gesamten Verzeichnisbaum, in dem ihr Tiki liegt.
  Falls Sie selbst Admin sind und die Apache-Konfiguration anpassen können:
  Hierbei ist natürlich noch der Pfad auf das img/ Verzeichnis anzupassen.
  Beide Methoden verbieten den Zugriff auf PHP Dateien im img-Verzeichnis, aber evtl. sollten Sie das gleich auf alle ausführbaren Dateitypen ausdehnen (.pl, .vb etc.)
  Weitere Details dazu unter http://httpd.apache.org/docs-project/
  Für jeden Versionszweig wird in den nächsten Tagen ein neues Release veröffentlicht, als da wären 1.7.9, 1.8.5 und 1.9dr4. Falls Sie keinen der obenstehenden Fixes ausgeführt haben:
  Aktualisieren Sie Ihr Tiki so bald wie möglich!
  Denken Sie daran: Sie können jederzeit einen Sicherheitshinweis an uns schicken über die EMail-Adresse security at tikiwiki.org.