Sicherheitslücke in phpBB-Forum?

[noid]

hmm das ist komisch, versuch einfach einmal dein config.php vom alten Forum in das Neue zu kopieren! (Die Datei liegt im root - dort sind die Daten für die DB gespeichert)

Wenn du dann auf das Forum zugreifst, müsste eine Meldung kommen, dass dein Installverzeichnis nicht leer ist (falls du das Update der DB noch nicht gemacht hast) --> mach das Update der Datenbank (mit dem "update_to_latest.php" File im install ordner)

Dann löschst du den install Ordner und jetzt müsstest auf das Forum normal zugreifen können.

mfg noid

[gnagflow]

Original geschrieben von noid
hmm das ist komisch, versuch einfach einmal dein config.php vom alten Forum in das Neue zu kopieren! (Die Datei liegt im root - dort sind die Daten für die DB gespeichert)

Hat leider nix gebracht - es kam nur die Meldung: "Could not connect the database"

Original geschrieben von noid
Wenn du dann auf das Forum zugreifst, müsste eine Meldung kommen, dass dein Installverzeichnis nicht leer ist (falls du das Update der DB noch nicht gemacht hast) --> mach das Update der Datenbank (mit dem "update_to_latest.php" File im install ordner)

Wie mach ich genau ein Update der Datenbank? Das php-File "update_to_latest.php" habe ich eingespielt, es kommt aber ebenfalls obige Fehlermeldung.

[noid]

klar, das update kann nicht gehen, wenn er nicht zur Datenbank verbinden kann...

Die Datenbank die im config.php angegeben ist, exisitert aber schon noch, oder?
und geht die alter Version noch?

mfg noid

[gnagflow]

Original geschrieben von noid
klar, das update kann nicht gehen, wenn er nicht zur Datenbank verbinden kann...

Die Datenbank die im config.php angegeben ist, exisitert aber schon noch, oder?

Habe jetzt die "richtige" config.php upgeloadet und kam zur Startseite des Forums auf Englisch (ohne install-Eingaben machen zu müssen) konnte aber nicht auf die deutsche Version umschalten.
Beim Einloggen erhielt ich eine Fehlermeldung (siehe Attatchment)

Original geschrieben von noid

und geht die alter Version noch?

Ja, alte Version funktioniert klaglos.

[gnagflow]

Sorry, das Uploaden des Bildes hat nicht funktioniert.
Fehlermeldung war wie folgt:

phpBB: Critical Error
Error Creating New Session
SQL Error 1054 - Unbekanntes Tabellenfeld in session_admin in field list
insert into phpbb_sessions (...)

Line 189
file: sessions.php

[Dumdideldum]

1) 2.0.10 ist offen wie ein Scheunentor (stichwort: highlight exploit)

2) Hast du zufällig ssh Zugang ? Denn dann wäre es ein Leichtes, per patch deine alte Version weiterzubenutzen und somit Frickelei zu verhindern.

[noid]

Original geschrieben von gnagflow
Sorry, das Uploaden des Bildes hat nicht funktioniert.
Fehlermeldung war wie folgt:

phpBB: Critical Error
Error Creating New Session
SQL Error 1054 - Unbekanntes Tabellenfeld in session_admin in field list
insert into phpbb_sessions (...)

Line 189
file: sessions.php

Nun hast du jetzt, mit der richtigen config.php datei schon das oben genannte update der DB gemacht??? Die Fehlermeldung liest sich nehmlich so, wie wenn du das noch nicht gemacht hättest!

cya noid

[gnagflow]

Original geschrieben von noid
Nun hast du jetzt, mit der richtigen config.php datei schon das oben genannte update der DB gemacht??? Die Fehlermeldung liest sich nehmlich so, wie wenn du das noch nicht gemacht hättest!

cya noid

config.php

<?php

$dbms = 'mysql';

$dbhost = 'xxx.xx.x.x';
$dbname = '********';
$dbuser = '**********';
$dbpasswd = '*********';

$table_prefix = 'phpbb_';

define('PHPBB_INSTALLED', true);

?>

Mehr steht (mit den korrekten Angaben) nicht drinnen.
Muss ich vielleicht in sessions.php was ändern? Oder muss mir mein Hoster eine neue Datenbank stricken?

[gnagflow]

Original geschrieben von Dumdideldum

2) Hast du zufällig ssh Zugang ? Denn dann wäre es ein Leichtes, per patch deine alte Version weiterzubenutzen und somit Frickelei zu verhindern.

leider kein ssh-Zugang

[gnagflow]

@ noid:
Auch beim Einspielen von "update_to_the_latest.php" kommt die gleiche Fehlermeldung, nur werde ich vorher aufgefordert, die Ordner "install" und "contribute" zu löschen.