В начале октября разработчики открытого форума MyBB (http://www.mybb.com) опубликовали уведомление (http://blog.mybb.com/2011/10/06/1-6-4-security-vulnerabilit/) о наличии критической уязвимости в последней версии MyBB 1.6.4, выпущенной три месяца назад. Сегодня опубликованы (http://blog.mybb.com/2011/10/25/some-closure-on-the-1-6-4-se.../) подробности, указывающие на то, что уязвимость, позволяющая выполнить произвольный код PHP, была внесена злоумышленниками путем подмены архива с релизом форума на сервере загрузки.

По словам разработчиков злоумышленники проникли в систему через неизвестную уязвимость в движке сайта, разработанном своими силами, но основанном на использовании сторонних открытых фреймворков. Разработчики считают, что проблема безопасности присутствует не в коде их CMS, который не распространяется публично, а в используемых внешних фреймворках. Подробности совершения взлома и время подмены архива неизвестны, поэтому разработчики рекомендуют срочно...

URL: http://blog.mybb.com/2011/10/25/some-closure-on-the-1-6-4-se.../
Новость: http://www.opennet.me/opennews/art.shtml?num=32128

• В поставке открытого форума MyBB обнаружен вредоносный код,OramahMaalhur, 18:56 , 25-Окт-11
  • В поставке открытого форума MyBB обнаружен вредоносный код,pavlinux, 05:52 , 26-Окт-11
    • В поставке открытого форума MyBB обнаружен вредоносный код,sh, 08:10 , 31-Окт-11
      • В поставке открытого форума MyBB обнаружен вредоносный код,arisu, 11:19 , 31-Окт-11
• В поставке открытого форума MyBB обнаружен вредоносный код,Аноним, 18:57 , 25-Окт-11
• В поставке открытого форума MyBB обнаружен вредоносный код,Аноним, 19:23 , 25-Окт-11
  • В поставке открытого форума MyBB обнаружен вредоносный код,Аноним, 20:06 , 25-Окт-11
    • В поставке открытого форума MyBB обнаружен вредоносный код,Аноним, 20:09 , 25-Окт-11
      • В поставке открытого форума MyBB обнаружен вредоносный код,Аноним, 20:13 , 25-Окт-11
        • В поставке открытого форума MyBB обнаружен вредоносный код,Аноним, 20:18 , 25-Окт-11
          • В поставке открытого форума MyBB обнаружен вредоносный код,dry, 21:31 , 25-Окт-11
            • В поставке открытого форума MyBB обнаружен вредоносный код,BratSinot, 23:02 , 25-Окт-11
            • В поставке открытого форума MyBB обнаружен вредоносный код,Аноним, 00:18 , 26-Окт-11
              • В поставке открытого форума MyBB обнаружен вредоносный код,eigrad, 01:34 , 26-Окт-11
                • В поставке открытого форума MyBB обнаружен вредоносный код,Какаянахренразница, 06:40 , 26-Окт-11
                  • В поставке открытого форума MyBB обнаружен вредоносный код,Николайка, 09:28 , 26-Окт-11
                    • В поставке открытого форума MyBB обнаружен вредоносный код,Аноним, 09:40 , 26-Окт-11
                    • В поставке открытого форума MyBB обнаружен вредоносный код,Аноним, 10:55 , 26-Окт-11
                      • В поставке открытого форума MyBB обнаружен вредоносный код,Аноним, 12:11 , 26-Окт-11
                        • В поставке открытого форума MyBB обнаружен вредоносный код,Аноним, 23:09 , 26-Окт-11
                  • В поставке открытого форума MyBB обнаружен вредоносный код,Аноним, 15:00 , 26-Окт-11
                    • В поставке открытого форума MyBB обнаружен вредоносный код,the joker, 19:38 , 26-Окт-11
                      • В поставке открытого форума MyBB обнаружен вредоносный код,Аноним, 20:40 , 26-Окт-11
                        • В поставке открытого форума MyBB обнаружен вредоносный код,arisu, 12:34 , 30-Окт-11
                  • В поставке открытого форума MyBB обнаружен вредоносный код,arisu, 12:32 , 30-Окт-11
                • В поставке открытого форума MyBB обнаружен вредоносный код,Аноним, 14:51 , 26-Окт-11
• В поставке открытого форума MyBB обнаружен вредоносный код,anonymous, 19:24 , 25-Окт-11
• В поставке открытого форума MyBB обнаружен вредоносный код,Аноним, 19:28 , 25-Окт-11
  • В поставке открытого форума MyBB обнаружен вредоносный код,Аноним, 20:05 , 25-Окт-11
    • В поставке открытого форума MyBB обнаружен вредоносный код,Anonim, 21:04 , 25-Окт-11
      • В поставке открытого форума MyBB обнаружен вредоносный код,Аноним, 03:39 , 26-Окт-11
    • В поставке открытого форума MyBB обнаружен вредоносный код,Andrey Mitrofanov, 21:32 , 25-Окт-11
      • В поставке открытого форума MyBB обнаружен вредоносный код,Аноним, 03:38 , 26-Окт-11
        • В поставке открытого форума MyBB обнаружен вредоносный код,тигар, 08:33 , 26-Окт-11
          • В поставке открытого форума MyBB обнаружен вредоносный код,Аноним, 14:01 , 26-Окт-11
            • В поставке открытого форума MyBB обнаружен вредоносный код,тигар, 14:03 , 26-Окт-11
            • В поставке открытого форума MyBB обнаружен вредоносный код,Аноним, 20:43 , 26-Окт-11
            • В поставке открытого форума MyBB обнаружен вредоносный код,arisu, 12:36 , 30-Окт-11
• В поставке открытого форума MyBB обнаружен вредоносный код,Аноним, 20:04 , 25-Окт-11
• В поставке открытого форума MyBB обнаружен вредоносный код,Аноним, 20:42 , 25-Окт-11
  • В поставке открытого форума MyBB обнаружен вредоносный код,Клыкастый, 23:46 , 25-Окт-11
  • В поставке открытого форума MyBB обнаружен вредоносный код,arisu, 12:37 , 30-Окт-11
• В поставке открытого форума MyBB обнаружен вредоносный код,delin, 21:41 , 25-Окт-11
• В поставке открытого форума MyBB обнаружен вредоносный код,Anon21, 00:10 , 26-Окт-11
  • В поставке открытого форума MyBB обнаружен вредоносный код,Аноним, 03:40 , 26-Окт-11
• В поставке открытого форума MyBB обнаружен вредоносный код,eigrad, 03:08 , 26-Окт-11
  • В поставке открытого форума MyBB обнаружен вредоносный код,eigrad, 03:19 , 26-Окт-11
    • В поставке открытого форума MyBB обнаружен вредоносный код,eigrad, 04:23 , 26-Окт-11
• В поставке открытого форума MyBB обнаружен вредоносный код,DFX, 14:37 , 26-Окт-11
  • В поставке открытого форума MyBB обнаружен вредоносный код,arisu, 12:38 , 30-Окт-11
• В поставке открытого форума MyBB обнаружен вредоносный код,Аноним, 23:11 , 26-Окт-11
• В поставке открытого форума MyBB обнаружен вредоносный код,arisu, 12:30 , 30-Окт-11

Они используют eval? Извините, но закопать.

Пользователям рекомендуется проверить сайт на наличие PHP.
После обнаружения, сжечь, съесть, улететь в Чили, там нагадить
и размазать по Андам.

Альтернатива?

> Альтернатива?

чему?

Шел 2011 год - разрабы MyBB взялись за контрольные суммы.

Какие ещё контрольные суммы? man цифровая подпись.

>man цифровая подпись.

Аналог вроде md5sum -c ? Спасибо.

> Аналог вроде md5sum -c ? Спасибо.

Нет, цифровая подпись.

>> Аналог вроде md5sum -c ? Спасибо.
> Нет, цифровая подпись.

Я о простоте использования.

Лучше сразу поясню.
Алгоритм проверки контрольной суммы (хеша):
1) качаем тарбол
2) смотрим на оф. сайте, или чему мы там еще доверяем, хеш (или качаем текстовый файл с циферками)
3) md5sum

Хотелось бы узнать преимущества использования цифровой подписи, и алгоритм ручной проверки. С пакетными манагерами итак вся понятно и автоматизировано.

Если действительно хочется узнать, а не просто потролить,
то качаем Брюса Шнаера "Прикладная криптография".
Глава 2. Основные элементы протоколов -> 2.6 Цифровые подписи.

Если так, то уже проще md5sum запустить.

> Если действительно хочется узнать, а не просто потролить,
> то качаем Брюса Шнаера "Прикладная криптография".
> Глава 2. Основные элементы протоколов -> 2.6 Цифровые подписи.

Вот вы развели тут фигню, а всего-то надо было ответить что-то вроде

gpg --verify [[sigfile] [signed-files]]

Эх, никакого живого общения.

Профит по сравнению с md5sum при разовом применении отсутствует, ибо все равно нужно тянуть ключ. Некоторое удобство возникает лишь после импорта ключа. Ну про родные репы дистрибутива и не говорим - самое верное дело.

Прочитал бы Шнаера. Удобство тут не причем.

Достали вы со своими шнайдерами. Нет, чтобы внятно ответить человеку.

Цифровая подпись лучше тем, что подлинность ключа гарантируется третьей стороной. Если нехорошие дяди вскроют сервер и внесут зло в распространяемый код, то нет никакой гарантии, что эти же дяди не подменят заодно и контрольные суммы на странице загрузки. А подписать пакет без сложных дополнительных телодвижений не получится. Вот как-то так...

Агга, агга ... а недавний скандал про подделку сертификатов у "третей стороны" я думаю все читали :) ... кароче нет ничего надежного :)

Нельзя взломать только совесть. Да и то, лишь у некоторых. (С)

> а недавний скандал про подделку сертификатов у "третей стороны" я думаю все читали :) ... кароче нет ничего надежного :)

Поэтому для проверки и удостоверения оригинальности ключа, в отличии от сертификатов, используется сеть доверия. А сертификат подписывается одним лицом. Об этом ещё в той новости писали.

Понятия "Доверие" и "безопасность" ортогональны. Удивлен? Компрометация одного участника сети равнозначна коллапсу всей сети доверия.

> Компрометация одного участника сети равнозначна коллапсу всей сети доверия.

С чего бы это? Вас кто-то заставляет верить только одному? Доверяйте только тем ключам, которые подписаны минимум тремя известными Вам людьми.

> Цифровая подпись лучше тем, что подлинность ключа гарантируется третьей стороной.

Подлинность ключа цифровой подписи не гарантируется ни кем. И я не думаю, что авторы озаботятся наличием сертификата одного из доступных (платных?) root CA. Все описанные прелести к само-выданному ключику отношения не имеют.

> Подлинность ключа цифровой подписи не гарантируется ни кем.

Гарантируется. Только вот верить третьей стороне или нет, каждый решает сам.

> И я не думаю, что авторы озаботятся наличием сертификата одного из доступных (платных?) root CA.

Ну, это ... просто догадки.

> Все описанные прелести к само-выданному ключику отношения не имеют.

Да, само-выданный ключик где-то эквивалентен само-собранным контрольным суммам.

>> Подлинность ключа цифровой подписи не гарантируется ни кем.
> Гарантируется. Только вот верить третьей стороне или нет, каждый решает сам.

Нед. Подпись - лишь хеш, расшифрованный закрытым ключем. Сертификат - это когда ключик (ну и прочий мусор), использованный для формирования подписи, подписан удостоверяющим центром. Т.о. возможно построение иерархии.

> Да, само-выданный ключик где-то эквивалентен само-собранным контрольным суммам.

Забавно смотрятся доморощенные репозитарии, для "надежной" установки из которых требуется предварительно скачать от-туда же и ключик. Хаксору, понятное дело, ничего не мешает положить рядом с распространяемым ПО и свой ключ.

> Забавно смотрятся доморощенные репозитарии, для «надежной» установки из которых требуется
> предварительно скачать от-туда же и ключик.

поэтому не надо его там хранить, вот и всё.

а в принципе — ничему не доверяй. ведь ничто не мешает хаксору упереть ключик прямо с машины девелопера.

> Достали вы со своими шнайдерами. Нет, чтобы внятно ответить человеку.

«достали вы своей физикой! нет, чтобы внятно ответить человеку, что трамвай ездит так: 'бжжжж-звяк-звяк!'»

> Прочитал бы Шнаера. Удобство тут не причем.

Либо ты отвечаешь _тут_ и по сути вопроса, либо я засчитываю повторный слив (первый потерли).

> С целью предотвращения подобных инцидентов в будущем, разработчики MyBB намерены начать распространение контрольных сумм

Т.е. в использовании eval они подвоха так и не заподозрили. Удач.

Про git они наверно не слышали...

Через git нельзя распространять тарболлы.

Через веб интерфейс спокойно можно скачать архив определенной версии.

> Через веб интерфейс спокойно можно скачать архив определенной версии.

И с новой версией git'а или интерфейса у него будет изменится чексумма, ага.

> Через git нельзя распространять тарболлы.

А подписанные исходники -- можно. Па-ра-докс!!

Кому они нужны россыпью? Софт распространяется тарболлами.

> Кому они нужны россыпью? Софт распространяется тарболлами.

у СпецЫалистаф софт распространяется deb`ами

> у СпецЫалистаф софт распространяется deb`ами

deb'ы это одноразовый мусор. Весь source-based живёт на тарболах, потому что их можно сохранять локально, миррорить и, собственно, проверять их чексуммы.

>> у СпецЫалистаф софт распространяется deb`ами
> deb'ы это одноразовый мусор. Весь source-based живёт на тарболах, потому что их
> можно сохранять локально, миррорить и, собственно, проверять их чексуммы.

спасибо за просветление, но я в курсе.

>Весь source-based живёт на тарболах, потому что их
> можно сохранять локально, миррорить и, собственно, проверять их чексуммы.

Итак:
1) сохранять локально
2) миррорить
3) проверять чексумы

Что из перечисленного нельзя делать с бинарными пакетами?

> Весь source-based живёт на тарболах, потому что

…кульхацкеры-сборщики-из-исходников cannot into VCS.

Все отлично, пару проектов взломают - тысяча других о безопасности подумает(а часть может и усилит защиту, а не только подумает).

>С целью предотвращения подобных инцидентов в будущем, разработчики MyBB намерены начать распространение контрольных сумм для проверки целостности изначально опубликованных архивов.
>Контрольные суммы планируется распространять через сторонний сервер, чтобы исключить ситуацию, при которой злоумышленники могут подменить файлы с контрольными суммами.
>Второй вариант, который рассматривают разработчики MyBB - использование для организации загрузки релизов сетей доставки контента (CDN).

Эти люди не слышали про OpenPGP/GnuPG? Срочно им расскажите, а то бедные опять костыли городят.

Хромую лошадь можно не подковывать

> Эти люди не слышали про OpenPGP/GnuPG?

тебе eval в коде ни на что не намекает?

Больше похоже на преднамеренный "бекдор", чем на "они к нам залезли хз как, заменили хз как, и у нас нету инфы кто и когда", который был кем то спален.

Потому что, блин, скачивать надо из Git'а.

> Потому что, блин, скачивать надо из Git'а.

Не надо скачивать из git'а. Да и нельзя.

блин... ни одного форума уязвимого найти не могу, мало слишком народу под раздачу попало %(

попадается много форумов с надписью "закрыто"... как будто их кто-то через этот бэкдор и позакрывал)

а не, это просто я нуб. ТЫСЯЧИ ИХ

>> Разработчики считают, что проблема безопасности присутствует не в коде их CMS, который не распространяется публично, а в используемых внешних фреймворках.

ога, ога - "мы не знаем где дыра, но уж точно не у нас!".
стоило бы всё таки сначала найти косяк и опубликовать, перед тем как воспевать security-trough-obscurity в своём закрытом коде и срать на "сторонние открытые фреймворки". как-то это лицемерненько выглядит от вроде как открытого проекта.

> ога, ога — «мы не знаем где дыра, но уж точно не у нас!».

…"ведь мы умеем круто использовать eval!"

Я один не понял, на зачем вообще там eval?

eval. уносите, пациент неоперабелен.