Datensicherheit: Kritsche Sicherheitslücke in Forensoftware vBulletin

Angreifer können mit minimalem Aufwand an die Zugangsdaten des Datenbank-Servers gelangen

[datensicherheit.de, 23.07.2010] Betroffen ist Version 3.8.6 der weit verbreiteten Forensoftware vBulletin. Sucht man  im FAQ-Modul nach dem Begriff „datenbank“ (deutschsprachige Version) bzw. „database“ (englischsprachige Version) werden die vertraulichen Daten im Klartext sichtbar. Mit den erlangten Daten ist es Angreifern möglich Zugriff auf den gesamten Datenbestand des Forums inklusive Nutzerdaten zu nehmen. Administratoren wird empfohlen schnellstmöglich die Datei „faq.php“ zu entfernen oder den vom Hersteller verfügbaren Patch einzuspielen.

Weitere Informationen zum Thema:

heise online, 23.07.2010
vBulletin verrät MySQL-Login

vBulletin.com, 21.07.2010
Security Patch Release 3.8.6 PL1

j0hnx3r.org, 21.07.2010
vBulletin® 3.8.6 faq.php Vulnerability