Квик-фикс по безопасности.
Вчера обратили внимание на очередной взлом одного из крупных сайтов посвященных php-nuke. Одновременно с этим, нам сообщили что на одном из сайтов опубликовали очередную уязвимость в phpbb версий 2.x-2.10. Такое "совпадение" не может не удручать.
Быстро просмотрев новость об этом (ссылку на которую прислал нам gordi), мы решили последовать "старой-доброй" традиции квик-фиксов безопасности.
Ссылку на саму статью и описание дырки не приводим. В описании дырки заявлена возможность исполнения произвольного php-кода. В новости о ней не был расписан подробный способ применения.
С другой стороны может дыры никакой и нет. Ибо этот сайт последнее время уже публиковал несколько "ненастоящих" дыр.
Реальность дыры мы проверять не стали - быстрее пофиксить, чем проверять. Вот какие три строки следует добавить в начало файла mainfile.php для бОльшей уверенности.
$highlight=eregi_replace("[^a-zA-Zа-яА-Я0-9_-]",'',$_GET['highlight']);
$HTTP_GET_VARS['highlight']=$highlight;
$_GET['highlight']=$highlight;
P.S.: А вот и официальный ответ phpbb на который нам указали. http://www.phpbb.com/phpBB/viewtopic.php?f=14&t=239819 . Утверждается, что дыра на самом деле не дыра.
P.P.S.: Судя по обсуждениям и взлому форума на самом phpbb, дыра всё-таки очень серьезная. К сожалению сейчас нет времени разбираться. Но - вышеприведенный фикс настоятельно советуем - помогает.
