Bug in Plesk.

[spirit010]

Ik zag het onderstaande op de website van mijn provider, ik had hier op het forum hier nog geen vermelding van gezien, vandaar dat ik het maar even post.

---------------------------

29.09.06 - Schwachstelle in Plesk
Sehr geehrte Kundin, sehr geehrter Kunde,

kürzlich wurde eine Schwachstelle in Plesk 8.0 und Plesk 7.5 Reloaded bekannt, die das Ausspähen von Daten ermöglicht.

Es soll möglich sein, über einen Fehler in der Datei filemanager.php auf Verzeichnisse zuzugreifen, die oberhalb des aktuellen Pfades liegen.

Dieser mögliche Angriff ist eine sogenannte "directory traversal"-Attacke, auch bekannt als "../ -Attacke".

Unsere Techniker haben dies bei den bei STRATO eingesetzten Versionen von Plesk 8.0 und Plesk 7.5 Reloaded überprüft.

Wir können bestätigen, dass man über den genannten Weg eine Liste der gehosteten Domains in Erfahrung bringen kann, ein darüber hinausgehender unberechtigter Zugriff auf Dateien oder Verzeichnisse ist offenbar jedoch nicht möglich!

Parallel baten wir den Hersteller der Software SWsoft um eine Stellungnahme. SWsoft bestätigte diese bisherige Einschätzung ebenfalls und ist dabei, den Bug näher zu untersuchen.

[Update 30.09.06] Nach derzeitigem Kenntnistand ist der Bug nur durch User ausnutzbar, die bereits einen Plesk-Account auf diesem System besitzen.
Als kurzfristigen Workarround können Sie auf Ihrem System folgenden Befehl ausführen:
chmod 711 /var/www/vhosts

Wir empfehlen in jedem Fall, Sicherheitsupdates von SWsoft einzuspielen, sobald sie verfügbar sind.

[JayvD]

Google translate GER > ENG

29.09.06 - Weak point in Plesk Very honoured customer, very honoured customer, recently a weak point in Plesk 8,0 and Plesk became 7,5 Reloaded admits, which make a spying possible of data. It should be possible to access over an error in the file filemanager.php listings which lie above the current path. This possible attack is so-called “directory traversal” - attack, also well-known as”… - an attack ". Our technicians examined this with the versions of Plesk 8,0 and Plesk, used with STRATO, 7,5 Reloaded. We cannot confirm that one can get to know a list of the gehosteten Domains over the way mentioned, over it a going out unauthorized access to files or listings are possible obviously however! Parallel we asked the manufacturer of the software SWsoft for a statement. SWsoft confirmed this past estimate likewise and is about to examine the nose more near. [Update 30.09.06] after present knowing NIST and the nose is usable only by user, which already possesses an Plesk account on this system. As short term Workarround you can implement the following instruction on your system: chmod 711 /var/www/vhosts We recommend in each case to bring safety updates in of SWsoft as soon as they are available.

[spirit010]

Hehe.. google vertaald het ook leuk

Neem aan dat het te begrijpen is voor iedereen of moet ik het gaan vertalen naar het Nederlands

[Aar]

Hehe.. google vertaald het ook leuk

Neem aan dat het te begrijpen is voor iedereen of moet ik het gaan vertalen naar het Nederlands

graag

[runescom]

Doe maar even ja.

[JayvD]

Deze is leuk

GER > ENG > NL

29.09.06 - het Zwakke punt in Plesk eerde zeer klant, zeer geëerde klant, onlangs werd een zwak punt in Plesk 8.0 en Plesk Herladen 7.5 toelaat, die spioneren van gegevens mogelijk maken. Het zou mogelijk moeten zijn om over een fout in de dossierfilemanager.php- lijsten toegang te hebben tot die boven de huidige weg liggen. Deze mogelijke aanval is zogenaamde "traversal folder" - val aan, ook bekend zoals "... - een aanval ". Onze technici onderzochten dit met de versies van Plesk 8.0 en Plesk, die met STRATO, Herladen 7.5 worden gebruikt. Wij kunnen bevestigen niet dat men kan krijgen te weten een lijst van Domeinen over de vermelde manier gehosteten, over het zijn een het uitgaan onbevoegde toegang tot dossiers of de lijsten mogelijk duidelijk nochtans! Parallel vroegen wij de fabrikant van de software SWsoft voor een verklaring. SWsoft bevestigden deze verledenraming eveneens en staat de neus meer dichtbij te onderzoeken op het punt. [ Update 30.09.06 ] na het huidige het weten NIST en de neus is bruikbaar slechts door gebruiker, wat reeds een rekening Plesk op dit systeem bezit. Als Workarround op korte termijn kunt u de volgende instructie op uw systeem uitvoeren: chmod 711/var/www/vhosts die wij in elk geval hebben geadviseerd veiligheidsupdates van SWsoft binnen te brengen zodra zij beschikbaar zijn.