[Berlin-wireless] WICHTIG/IMPORTANT - freifunk-batman: Sicherheitslücke/security problem

[Alexander Morlang]

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1



Alina Friedrichsen schrieb:
>> naja, im gegensatz zur fff wird der uci-foo erst nach erfolgter 
>> authentifizierung ausgefuehrt, da es sich nur um ein
>> configinterface handelt.
>> 
>> sobald man es ohne verwendet, schiesst man sich in den fuss.
> 
> Sicherheit muss von unterster Ebene kommen, sonnst funktioniert die
> nie. Das weiss ich schon seit dem ich mit 12 "Moderne Betriebsysteme"
> von Andrew S. Tanenbaum gelesen hab.
> 
> Wenn das mit Kamikaze was vernuemftiges werden soll, darf sich keine
> Komponente egal welche Ebene exploiten lassen. Zumal diese
> Sicheitsluecke ja nun bekannt ist. Sie bewusst nicht zu fixen waere
> einfach nur dumm.
> 

jain.
ein shell injection im configinterface ist nicht gut und muss weg.

sie als sicherheitsluecke einzustufen ist imho nicht richtig, da du nur
als root rankommst.
nach der argumentation waehre die shell eine sicherheitsluecke, da du
mit ihr shellbefehle absetzen kannst, sicherlich nur nach eingabe des
rootpassworts, das ist aber beim webinterface genau so.

der fix besteht darin, ein webfrontend zu entwickeln, welches bewusst
auch fuer die benutzung von nonroot usern entwickelt wird.

ein frontend, welches nicht fuer diesen zweck entwickelt wurde zu fixen
ist flickschusterei, denn: Sicherheit muss von unterster Ebene kommen,
im design mit "drin" sein.

dies ist bei uci einfach nicht der fall, daher haben sich ich und die
OpenWrt entwickler über dein angebot zu partizipieren gefreut.

alex
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.7 (Darwin)
Comment: Using GnuPG with Mozilla - http://enigmail.mozdev.org

iD8DBQFHQI2Zhx2RbV7T5aERAlshAJ9ilI4gMMwRxKXG795pZ/lsORj95gCfYC0a
1czeqDj5yfJlsY8O1Z520vs=
=X1p2
-----END PGP SIGNATURE-----