FreeBSD：froxlor -- データベースパスワード情報漏洩（9ee72858-4159-11e5-93ad-002590263bf5）

critical Nessus プラグイン ID 85369

Language:

概要

リモート FreeBSD ホストには、セキュリティ関連の更新がありません。

説明

[email protected] による報告：

バージョン 0.9.33.1 およびそれ以前の froxlor にある /logs/ フォルダーのファイル権限設定が間違っていることにより、認証されていないリモートの攻撃者が webaccesss を介してデータベースのパスワードを取得することが可能です。平文の SQL パスワードおよびユーザー名は、/logs/sql-error.log ファイルに保存される可能性があります。このディレクトリはデフォルト構成/設定によりパブリックにアクセス可能です。

注意：froxlor 0.9.33.2 は将来的なパスワードの記録は防止しますが、すでに記録されているパスワードの遡及的な削除は行いません。Froxlor のリード開発者である Michael Kaufmann 氏は以下のように報告しています：

ディレクトリからすべての .log ファイルを削除するためにはジョブを実行する必要があります。または、単に Github の　.ConfigIO.php クラスを使用します。