В vBulletin обнаружена серьёзная уязвимость

[bobermaniac]

На 3.8.0 не воспроизводится.

[Crashus]

1. гуглим «powered by vbulletin 3.8.6»
2. expat.ru/forum/faq.php?s=&do=search&q=database&match=all&titlesonly=0
3.…
4. профит!

[bobermaniac]

Видимо, в более ранних версиях этой проблемы нет.

[Crashus]

так само собой, включили в 8.6 отладку и забыли выключить

[DMOFF]

Как порядочный человек написал ихнему веб-мастеру.

[Crashus]

я это сразу сделал, всё-таки ломать не строить

[NRJ]

Ничего себе «просто недосмотр.»

Вот поэтому лучше подождать пару деньков, а то и недельку-другую при обновлении программ/движков и прочего ПО. Так сказать, до массовой обкатки.

[Mexxis]

Попробовал все форумы с первой страницы выдачи гугла.
Ни в одной данные доступа к БД не выводятся.

[Crashus]

см выше

по какому паттерну пробовали?

[Mexxis]

по тому, который вы написали.

[DMOFF]

Все прекрасно ищет, вот резалты:
Database Name: expat_forum
Database Host: localhost
Database Port: 3306
Database Username: expat_admin
Database Password: park745
Это не серьезная уязвимость, эта армагедон для пользователей движка версии 3.8.6

[shai_hulud]

«В vBulletin обнаружена серьёзная уязвимость — за него оказывается надо платить»

[xReaper]

Блин у одного пароль от рута выскочил, перезвонил в сша сказал чтоб поменял.

[ArtemPugachev]

И что это даст? Нормальные админы разрешают доступ к важной информации только для «проверенных» IP, а чаще в листе проверенных есть только 1-н IP: 127.0.0.1

Лично я всегда закрывают для доступа «из вне».

[LbICbIY]

Если залить phpMyAdmin, то проблем с локальным ip не будет. Не факт, что зальют, но варианты могут быть.

Так что нужно подсказывать вебмастерам обновляться.

[b10s]

иногда он уже залит ;()

[ArtemPugachev]

если он залит, то он будет далеко лежать. так просто не пробраться

[b10s]

из 10 напарсенных гуглом булок 3.8.6 мне попались 1 со стандартным путем к myphpadmin, 2 с подключением не localhost из которых к одному удалось подключится EMS'ом.
итог удручает\веселит — во как непонятно итожит!

[ArtemPugachev]

его часто заливают с нестандартными названиями

[pwlnw]

так ведь есть еще нормальные программисты. они заливают sypex dumper в папочку /sypex/.

[PavelKuptsov]

Я смотрю добро побеждает зло :-)
forums.webscript.ru/search.php?s=8ec5803c18c661e376810a905c744d9c
10 последних поисковых фраз:
Дата Запрос Результатов
27-07-10 at 06:08 database 279
27-07-10 at 05:14 поиск 1477
26-07-10 at 13:07 database 279
26-07-10 at 13:04 MimeLite 45
26-07-10 at 08:08 database 279
25-07-10 at 02:57 database 279
25-07-10 at 01:50 database 279
24-07-10 at 09:04 database 279
24-07-10 at 07:06 database 279
24-07-10 at 02:34 database 279