Veszélyes hiba a Drupal 6.10 és ACL 6.x... együttesében

PHP

A nemrégiben (2009. február 26.) megjelent Drupal 6.10-hez illeszkedő ACL ("hozzáférési jogosultságkezelő modul"), nevezetesen az ACL 6.x-1.0-beta4 súlyos hibát rejt magában. A hiba a Content Access modulban generálódik.

A jelenség: hiába nincs a "be nem jelentkezett felhasználónak" adott esetben bármely tartalomhoz hozzáférése, mégis olvasási és szerkesztési jogkörrel ruházódik fel. A gyakorlatban ez azt jelenti, hogy minden Drupal 6.10 alatt ACL-lel szabályzott tartalmat bárki módosíthat kedvére.

Sürgősen ajánlott patchelni a Content Access modult! A patch letölthető innen.

(A Drupal 6.10-re történt frissítés előtti tartalmakat nagy valószínűséggel nem érinti ez a probléma.)

( nevergone v | 2009. 03. 10., k – 12:25 )

Ezentúl minden külső modult be fogunk jelenteni? Szerintem akit érint, annak a drupal-security lista elég információval szolgál.
Számtalan külső modul rejthet problémákat, ezért nem kell őket ész nélkül használni, nekem pl. a fenti modulra még soha nem volt szükségem, szóval olyan irtó elterjedt mégsem lehet.

-----
"Egy jó kapcsolatban a társunkat az ő dolgában kell támogatni, nem a miénkben."

( VaZso v | 2009. 03. 10., k – 12:59 )

Én régebben használtam ezt a modult, és egyszer előjött egy ilyen probléma a rendszerrel. :(
Az viszont még régebbi Drupal verzió volt, de nem emlékszem már, mit csináltam akkor vele.

Nem állítom, hogy ACL volt a ludas, már nem tudom.

( boobaa | 2009. 03. 10., k – 13:59 )

Ha veszélyes (aka security) bug, akkor miért issue queue-ba lett beküldve a security team értesítése helyett? Ha nem veszélyes bug, akkor miért van róla egyáltalán hír (vagy a másik heti n! hasonlóról miért nincs hír)? Nem értem én ezt, de ugye MCNW, úgyhogy vissza a vimhez...

Akkor máshogy fogalmazom meg: szerinted az nem veszélyes - sürgősen javítandó hiba - ha valaki szabadon átírhatja a weblapod tartalmát?
A cikk az érintetteknek szól, azoknak, akik bizony Drupal6.10-et használnak és olyan tartalmakat is közzétesznek, amik nem mindenki számára érhetők el. Olyan nehéz elképzelni, hogy M.o.-on csak én lennék egyedül érintett? Csűrheted-csavarhatod, akkor is a jóindulat beszélt belőlem, mikor trey-nek elküldtem a cikket. A híreket pedig trey publikálja - lásd lentebbi hozzászólást -, ő dönti el, hogy ez az írás fontos, vagy sem. Ha téged nem érint, akkor nem kell hozzászólni. Olyan nehéz megállni?

Jó, de ez nem az alaprendszerhez köthető hiba, hanem egy ki tudja ki által fejlesztett külső modulról. Annyira nagy baj pedig tényleg nem lehet, mert tényleg nem jelent meg a security listán, szóval ne akarjunk itt badarságokról vitatkozni.
Ez egy ki tudja honnan származó, és hány ember által használt külső modul, amiben találtak egy hibát... na és, külső moduloknál ez simán előfordulhat, nem kell őket ész nélkül használni.

olyan tartalmakat is közzétesznek, amik nem mindenki számára érhetők el.

Erre pedig jópár egyéb lehetőség van, úgy csinálsz, mintha ez lenne az egyetlen "világmegváltó" modul arra, hogy korlátozd egy adott tartalom elérését, TAC, TAC lite, kb. ezek jutottak most eszembe, de van még.
Szóval messze nem olyan súlyos a dolog, mint amilyennek felvázoltad, csak kellett neked a vihar a biliben.

-----
"Egy jó kapcsolatban a társunkat az ő dolgában kell támogatni, nem a miénkben."

Bocs, de miért nem a windows defenderes cikkben trollkodtok inkább? Az jobban belefér a hup által fedett témakörökbe, mint a drupal? Nektek biztos...

Komolyan mondom az ilyen emberek miatt már xedjére merül föl bennem hogy itt kellene hagyni a hupot és csinálni egy normális portált meghívásos alapon, aki trollt hív meg azt meg kirúgni és rágyújtani a házát.

Ne haragudj trey, tisztelem és becsülöm a munkád, nem a huppal van gondom hanem a trollokkal.

--
http://csuhai.hu

Olvasd már el a nyitó témát és az összes hozzászólást, kérlek. Miért trollkodás az, hogy volt egy "nem túl átgondolt" témafelvetés, mi pedig reagáltunk rá, hogy nem pont úgy van a dolog, ahogy a témaindító leírta.

-----
"Egy jó kapcsolatban a társunkat az ő dolgában kell támogatni, nem a miénkben."

1. Attól még, hogy téged nem érdekel/érint mást még igen (pl engem).
2. Attól még hogy vannak rajtad kívül is trollok bőven, te még nem leszel normális.
3. Nem vagy trey, nem dolgod eldönteni hogy mi kerüljön ki és hova.

Egyébként meg hupper kiegészítés felrakva, nevergone mint első számú troll felvive, nyugodtan válaszolj én nem fogom olvasni sem....

--
http://csuhai.hu

Javítsatok ki, vagy mutassatok linket, de sehol nem olvastam, hogy contrib modulok secbugjait _nem_ a sec teamnek kell először jelenteni - sőt, épp az ellenkezőjéről tesz bizonyságot a fenti linken olvasható első két mondat (kiemelés tőlem): "If you discover a vulnerability in Drupal core or contributed module, keep it confidential. Mail us at security()drupal!org, do not post in the issue tracker." (Hint: másképp hogy garantálod, hogy nem jelennek meg 0-day exploitok?) Talán az sem véletlen, hogy a fent már linkelt oldalon kívül azt is leírták, mi a teendő, ha engem, mint józsika1243 modulfejlesztőt keres meg a sec team.

Értem az érvelésed, csak ugye elbeszélünk egymás mellett: nem azt mondom, hogy a hiba nem valós, továbbá elismerem, hogy nagy kalamajkát tud okozni - azt nem értem, hogy a valós sec bugokat miért nem úgy kezelik, mint ahogy valós sec bugok esetében ez elvárható (és lépésről dokumentált). De erről már nem te tehetsz, se nem trey, se nem én - tehát ezt a "vitát" nem itt kéne folytatnunk, hanem ott, ahonnan származik (talán az érintett issue queue-ban? d.o fórumban? nem tudom).

A másik dolog, amit nem értek, hogy ha ez itt főoldalas hír, akkor d.o-n/d.hu-n (ahol a célközönség lakik) miért nem az (miért nem küldted be/került ki d.hu-n); illetve ha akkora sec bug, akkor miért nincs róla SA. (Talán mert nem sec bugként volt jelentve?)

Jöhetnek a kövek.