Onderwerp: WHMCS gebruikers opgelet!

Heeft iedereen de security patch die gister is uitgekomen uitgevoerd? Er zitten namelijk 2 ernstige lekken in WHMCS waardoor je met een simpel programma de configuration.php uit kan lezen, en op deze manier voorzien bent van de database gegevens.
WHMCS heeft vannacht pas een mailing verstuurd, echter was de patch gister al gepubliceerd. Afgelopen nacht hebben mensen geprobeerd tickets aan te maken met een vreemde PHP code, gelukkig was de patch gister al uitgevoerd waardoor ze de kans niet hebben gehad.

Tenslotte kan het admin gedeelte van WHMCS bij ons alleen via onze VPN bereikt worden, misschien een aanrader voor andere WHMCS installaties.

Hier deze ochtend geupdate. Wat mij vooral zorgen baart is het feit dat dit al maanden gaande is. Er is zelfs een youtube video uit oktober die dit bevestigd.

Oorspronkelijk geplaatst door rensariens

Hier deze ochtend geupdate. Wat mij vooral zorgen baart is het feit dat dit al maanden gaande is. Er is zelfs een youtube video uit oktober die dit bevestigd.

Er zijn mensen die al eerder bij WHMCS hebben geklaagd over gehackte installaties, echter besteedde WHMCS daar weinig tijd aan.
De video heb ik ook gezien inderdaad, er is een programma waar je alleen maar de URL van de installatie op hoeft te geven en meteen de output van de configuration.php geeft.

In ons geval goed dat we vrij actief zijn op Twitter en de patch gisteren hebben uitgevoerd. Echter nog veel te laat, aangezien de exploit er al in oktober was.

Dit veiligheidslek vormt enkel een potentieel probleem i.c.m. een ander veiligheidsprobleem; namelijk de mogelijkheid om als niet-beheerder verbinding te maken met de database. Wanneer je een afgezonderde MySQL installatie draait die niet van buitenaf benaderbaar is en je zorgt ervoor dat er geen derden scripts kunnen draaien in de omgeving die verbinding met de MySQL server kan maken, heb je niets aan de mysql username en password.

Dus wanneer je door dit lek daadwerkelijk gehackt wordt, heb je sowieso te maken met nogal brakke beveiliging. Neemt uiteraard niet weg dat het wel gepatcht moet worden.

http://blog.whmcs.com/

Ik dacht eerst dat het probleem bij ons zelf was !

Ze doen meer als ze binnen zijn gekomen
Zo hebben ze van mijn paypal acount bijna 3700 euro afgeschreven ! (oke is terug gedraait maar toch)

Dit ip hebben ze gebruikt bij ons 41.107.21.166

Ze noemen zich Black-ID

Oorspronkelijk geplaatst door Apoc

Dit veiligheidslek vormt enkel een potentieel probleem i.c.m. een ander veiligheidsprobleem; namelijk de mogelijkheid om als niet-beheerder verbinding te maken met de database. Wanneer je een afgezonderde MySQL installatie draait die niet van buitenaf benaderbaar is en je zorgt ervoor dat er geen derden scripts kunnen draaien in de omgeving die verbinding met de MySQL server kan maken, heb je niets aan de mysql username en password.

Dus wanneer je door dit lek daadwerkelijk gehackt wordt, heb je sowieso te maken met nogal brakke beveiliging. Neemt uiteraard niet weg dat het wel gepatcht moet worden.

Dingen als Phpmyadmin moet je dan inderdaad niet open hebben staan voor de buitenwereld , hier enkel mogelijk via VPN.

Oorspronkelijk geplaatst door patrickekkel

http://blog.whmcs.com/

Ik dacht eerst dat het probleem bij ons zelf was !

Ze doen meer als ze binnen zijn gekomen
Zo hebben ze van mijn paypal acount bijna 3700 euro afgeschreven ! (oke is terug gedraait maar toch)

Dit ip hebben ze gebruikt bij ons 41.107.21.166

Ze noemen zich Black-ID

Dus ze zijn via de WHMCS exploit aan user/pass gekomen. Hoe hebben ze op je MySQL server ingelogd?

Oorspronkelijk geplaatst door WeServIT

Dingen als Phpmyadmin moet je dan inderdaad niet open hebben staan voor de buitenwereld

Als je dat wel hebt, op een systeem waarop bijvoorbeeld whmcs draait, vraag je er ook bijna om.

Oorspronkelijk geplaatst door Apoc

Dus ze zijn via de WHMCS exploit aan user/pass gekomen. Hoe hebben ze op je MySQL server ingelogd?

Gewoon via de phpmyadmin (werk met Directadmin)
en ik kan het ook niet maken om phpmyadmin af te schermen voor de klanten

ik heb hier als ik eerlijk ben ook nooit over nagedacht !
Maar eens in gaan verdiepen en de mysql apart te draaien op een vps iod

Oorspronkelijk geplaatst door patrickekkel

Gewoon via de phpmyadmin (werk met Directadmin)
en ik kan het ook niet maken om phpmyadmin af te schermen voor de klanten

jij host je WHMCS op dezelfde server als waar klanten op draaien?

Oorspronkelijk geplaatst door patrickekkel

Gewoon via de phpmyadmin (werk met Directadmin)
en ik kan het ook niet maken om phpmyadmin af te schermen voor de klanten

1. WHMCS draaien op een server met klanten is al helemaal niet aangeraden. De kans dat hackers via andere brakke scripts binnen komen is hierdoor vele malen hoger.

2. http://abuhawa.wordpress.com/2009/01...te-ip-address/ daarmee kun je instellen om specifieke databases enkel via een apart IP te benaderen.

Optie 2 kan, maar nog zou ik een aparte server nemen voor WHMCS, waar Phpmyadmin al überhaupt niet open staat voor de buitenwereld.

momenteel wel helaas, wordt nu even keihard wakker gerammeld !

Gelukkig draait er op de whmcs nog niks en op moment van hacken was het een zo goed als nieuwe installatie van whmcs
werk grotendeels toch met wefact

pfff krijg er momenteel gewoon kop pijn van !!!!!


Ik weet wat er mij te doen valt !

ik ga nu werken aan optie 2
Veiligheid boven alles, en al helemaal als het gaat om gegevens

Draait je WeFact wel in een afgezonderde en goed beveiligde omgeving?

Oorspronkelijk geplaatst door patrickekkel

Ik weet wat er mij te doen valt !

Een degelijke systeembeheerder inhuren. Je hebt klaarblijkelijk niet voldoende kennis om dit soort zaken te tackelen/voorkomen. De kans dat er naast je WHMCS installatie andere zaken niet op orde zijn, lijkt me erg groot.

Oorspronkelijk geplaatst door Apoc

Draait je WeFact wel in een afgezonderde en goed beveiligde omgeving?

daar had ik de db al wel apart draaien

Maar ik ga beide installatie's nu geheel apart op een vps plaatsen
zowel whmcs als wefact

Patrick, nog even wat tips:

- Ik zie dat je SolusVM draait. Maak nou niet de fout door een VPS aan te gaan maken via SolusVM en daar je administratie in te gaan hosten. Je hebt dan namelijk weer het risico dat er ooit op je SolusVM ingebroken wordt, en men op die manier toegang krijgt tot je WHMCS (en andere bedrijfsgevoelige systemen). Zet simpelweg een volledig afgezonderde server op, en timmer dat ding helemaal dicht.

- Ik zie dat je geen SSL certificaat hebt draaien op bestel.uscn.nl. Dit + het bovenstaande zijn toch wel hele duidelijke signalen dat er een boel werk aan de winkel is..

- de URL in je WHT profiel klopt niet, er staat nu http://http//uscn.nl (WHT voegt zelf http:// toe)