apache htpasswd bug

Security-all

Egy érdekes bugra leltem az Apache-ban:
Ha egy oldalt .htaccess és .htpasswd párossal szeretnék védeni, akkor nem pontosan azt a jelszót fogadja el amit beállítok neki:
Ha a jelszó számot vagy spec. karaktert tartalmaz, akkor az utólsó normál latin karakter után _akármit_ írhatok vagy akár elhagyhatom, be fog engedni.

pl: a jelszó eiDTes345=%
akkor ezt is elfogadja: eiDTes
és ezt is: eiDTes345=%dfasdfawvrawva

Több serveren és kliensen is kipróbáltam.

A felhasználónévnek pontosnak kell lennie.

Mindkét esetben Ubuntu Serverről volt szó és Apache 2 -ről

Láttatok már ilyet? Ez bug, vagy valamit be lehet állítani, hogy ne így legyen?

  • 1923 megtekintés

( zwei | 2008. 10. 27., h – 14:52 )

nem lehet, hogy csak 6 karakteres jelszavakat kezel, és a többit elhagyja?
Nem ez lenne az első ilyen eset....

man htpasswd: 


       When using the crypt() algorithm, note that only the first 8 characters
       of the password are used to form the password. If the supplied password
       is longer, the extra characters will be silently discarded.

--
A vegtelen ciklus is vegeter egyszer, csak kelloen eros hardver kell hozza!