phpBB 2.0.7 Security Fix, possible SQL injection

Administrator Anmeldungsdatum: 02.08.2002 Beiträge: 4735 Wohnort: Aachen

This was posted at phpbb.com today:

phpBB Group has been notified of a flaw in search.php. This, under the right circumstances with certain server versions be exploited to obtain password hashes. All existing users of phpBB 2.0.x make the changes specified below, it is highly recommended.

We have now updated all archives (for 2.0.7) as made available on the download page here. Therefore all new installations and upgrades will be immune.

We appologize to not have reacted earlier and for the bug in the redirection code introduced while fixing another security bug.

To fix this flaw please open search.php in any text editor and follow the following instructions:

FIND:

Code:

$show_results = ( isset($HTTP_POST_VARS['show_results']) ) ? $HTTP_POST_VARS['show_results'] : 'posts';

AFTER, ADD:

Code:

$show_results = ($show_results == 'topics') ? 'topics' : 'posts';

FIND:

Code:

$store_vars = array('search_results', 'total_match_count', 'split_search', 'sort_by', 'sort_dir', 'show_results', 'return_chars');

AFTER, ADD:

Code:

$search_results = '';

To fix the redirect problems:

Open login.php:

FIND:

Code:

$url = ( !empty($HTTP_POST_VARS['redirect']) ) ? htmlspecialchars($HTTP_POST_VARS['redirect']) : "index.$phpEx";

REPLACE WITH:

Code:

$url = ( !empty($HTTP_POST_VARS['redirect']) ) ? str_replace('&', '&', htmlspecialchars($HTTP_POST_VARS['redirect'])) : "index.$phpEx";

FIND:

Code:

$redirect = ( !empty($HTTP_POST_VARS['redirect']) ) ? htmlspecialchars($HTTP_POST_VARS['redirect']) : '';

REPLACE WITH:

Code:

$redirect = ( !empty($HTTP_POST_VARS['redirect']) ) ? str_replace('&', '&', htmlspecialchars($HTTP_POST_VARS['redirect'])) : '';

FIND:

Code:

$redirect = ( !empty($HTTP_POST_VARS['redirect']) ) ? htmlspecialchars($HTTP_POST_VARS['redirect']) : "";

REPLACE WITH

Code:

$redirect = ( !empty($HTTP_POST_VARS['redirect']) ) ? str_replace('&', '&', htmlspecialchars($HTTP_POST_VARS['redirect'])) : "";

FIND:

Code:

$url = (!empty($HTTP_POST_VARS['redirect'])) ? htmlspecialchars($HTTP_POST_VARS['redirect']) : htmlspecialchars($HTTP_GET_VARS['redirect']);

AFTER, ADD:

Code:

$url = str_replace('&', '&', $url);

FIND:

Code:

$url = ( !empty($HTTP_POST_VARS['redirect']) ) ? htmlspecialchars($HTTP_POST_VARS['redirect']) : "index.$phpEx";

REPLACE WITH:

Code:

$url = ( !empty($HTTP_POST_VARS['redirect']) ) ? str_replace('&', '&', htmlspecialchars($HTTP_POST_VARS['redirect'])) : "index.$phpEx";

For completeness, here the small fix for the correct row colour display at private messaging:

Open privmsg.php:

FIND:

Code:

message_die(GENERAL_ERROR, 'Could not query private messages', '', __LINE__, __FILE__, $sql);
}

if ( $row = $db->sql_fetchrow($result) )
{

AFTER, ADD:

Code:

$i = 0;

FIND:

Code:

$row_color = ( !($i % 2) ) ? $theme['td_color1'] : $theme['td_color2'];
$row_class = ( !($i % 2) ) ? $theme['td_class1'] : $theme['td_class2'];

AFTER, ADD:

Code:

$i++;

Save and if necessary upload the changed files to your webserver replacing your existing versions.

phpBB2.de User Anmeldungsdatum: 19.03.2004 Beiträge: 101

könnt ihr auch deutsch reden?

phpBB2.de User Anmeldungsdatum: 06.03.2004 Beiträge: 318

zumindest schreiben Wink

Administrator Anmeldungsdatum: 02.08.2002 Beiträge: 4735 Wohnort: Aachen

Wir haben hier mehr internationales Publikum, daher sind die News immer in Englisch.

phpBB2.de User Anmeldungsdatum: 18.06.2003 Beiträge: 166 Wohnort: Wuppertal

Aber es können nicht alle so gut englisch ... und ihr seit doch das deutsche Support-Board, oder ?! Wink

Besonders bei so wichtigen Ankündigungen sollte man dann wenigstens 2-sprachig schreiben.

phpBB2.de User Anmeldungsdatum: 14.03.2004 Beiträge: 36 Wohnort: Wuppertal

Hallo zusammen,

ich wollte gerade den Security Fix durchführen, aber der Code bei der login.php ist bei mir nicht vorhanden. Jetzt weiß ich nicht an welcher Stelle ich ändern muss.

Mein Board ist ein phpBB2 1.3 - 2.0.6

Gruß
Prinz

phpBB2.de User Anmeldungsdatum: 19.02.2004 Beiträge: 5

vielleicht gibts den code nur mit 2.0.7 ??

phpBB2.de User Anmeldungsdatum: 27.05.2003 Beiträge: 322

braucht Ihr immer noch eine Übersetzung?

dann würd ich das mal machen...

Gruss

phpBB2.de User Anmeldungsdatum: 15.02.2003 Beiträge: 252

gerne

phpBB2.de User Anmeldungsdatum: 27.11.2003 Beiträge: 994 Wohnort: sLOVEnia

I did fix this bugs, but there are not possible to fix a login.php, the code is not the same. Does that mean that login.php from phpbb2 plus doesn't need to be fixed?

phpBB2.de User Anmeldungsdatum: 09.02.2004 Beiträge: 159

Also ich habe kein von dem genannten Text in meine login.phh Shocked

was soll ich den da was ändern? Muss ich das über haupt?

phpBB2.de User Anmeldungsdatum: 23.03.2004 Beiträge: 81

Bin zwar neu, aber ich helfe gerne!
Also die deutsche Übersetzung (nicht 1 zu 1, aber sinngemäß)
Die phpBBgruppe wurde über einen Fehler/Formfehler/Schönheitsfehler in search.php benachrichtigt. Diese Gegebenheit wird ausgenützt um an Passworthashes (weiß nicht was es heißt) zu kommen.
Jenen die phpBB 2.0.x verwenden wird sehr empfohlen, unten genauestens angebenen Änderungen durchführen. Wir haben jetzt alle Archive (für 2.0.7) , wie hier zur Verfügung gestellt, auf der Downloadseite aktualisiert.
Folglich sind alle Installationen und Upgrades(Verbesserungen) geschützt.
Wir entschuldigen uns für den Fehler im Programmiercode und weil wir nicht früher reagierten. Es lag daran dass wir an der Behebung eines anderen Fehlers arbeiteten.
Zur Behebung dieses Fehlers öffne bitte search.php in einem Texteditor und befolge folgende Anweisungen.

Falls ihr andere Wörter nachschauen wollt dann schaut doch Hier nach!

phpBB2.de User Anmeldungsdatum: 06.08.2002 Beiträge: 1628 Wohnort: Hannover

Zitat:

Open login.php:

FIND:

Code:

$url = ( !empty($HTTP_POST_VARS['redirect']) ) ? htmlspecialchars($HTTP_POST_VARS['redirect']) : "index.$phpEx";

Taucht zweimal auf, müssen beide ersetzt werden?

phpBB2.de User Anmeldungsdatum: 23.03.2004 Beiträge: 81

keine Ahnung! Wird nicht deklariert!

phpBB2.de User Anmeldungsdatum: 09.02.2004 Beiträge: 159

Zitat:

$url = ( !empty($HTTP_POST_VARS['redirect']) ) ? htmlspecialchars($HTTP_POST_VARS['redirect']) : "index.$phpEx";

Denn Code finde ich überhaupt nicht in der Datei....Muß ich ihn etwa um schreiben oder kann ich ihn so lassen?