Nach vBulletin-Hack: Opensuse künftig mit freier Foren-Software

Nach einem Hack der vBulletin-Software haben die Opensuse-Admins das Forum vorübergehend abgeschaltet. Nun ist es wieder online, doch die proprietäre Software soll gegen eine freie Alternative ersetzt werden.

Artikel veröffentlicht am ,
Die Opensuse-Foren sind wieder online.
Die Opensuse-Foren sind wieder online. (Bild: Opensuse)

Auf lange Sicht sei es nicht ideal, "um die Sicherheitsprobleme proprietärer Software herum zu arbeiten", lautet die Erkenntnis der Opensuse-Administratoren, nachdem ein Hacker eine Zero-Day-Lücke in der vBulletin-Instanz von Opensuse ausnutzte. Das Team sah sich gezwungen, die Foren komplett vom Netz zu nehmen, die nun eine Woche später wieder zur Verfügung stehen. Bis eine Entscheidung für eine andere Software getroffen ist, wird aber weiterhin vBulletin eingesetzt.

Keine Passwörter abhanden gekommen

Stellenmarkt
  1. Mathematiker / Business Intelligence Specialist (m/w/d)
    Standard Life, Frankfurt am Main
  2. Teamleiter Onsite Support (w/m/d)
    Bechtle Onsite Services GmbH, Neckarsulm
Detailsuche

Vergangene Woche hatte ein nach eigenen Angaben aus Pakistan stammender Hacker über eine bisher unbekannte Lücke ein PHP-Skript in die Foren-Software einschleusen können. Damit konnten auch ohne Root-Rechte Dateien gelesen, verändert und überschrieben werden.

So erlangte der Hacker Zugriff auf die Datenbank des Forums und somit auch auf die E-Mail-Adressen der knapp 80.000 Nutzer. Passwörter habe der Angreifer nicht mitnehmen können, da das Forum das Single-Sign-On-System des Access Managers von NetIQ nutzt.

Wieder online mit besserem Schutz

Die eingesetzte Software sei zwar nie perfekt gewesen, doch haben die bisher aufgetretenen Probleme die Administratoren nie dazu bewogen, die zeitintensive Arbeit für eine neue Lösung anzugehen. Doch bereits im vergangenen Sommer sei das Forum vom selben Hacker angegriffen worden.

Golem Karrierewelt
  1. Deep-Dive Kubernetes – Production Grade Deployments: virtueller Ein-Tages-Workshop
    20.09.2022, Virtuell
  2. Adobe Photoshop Aufbaukurs: virtueller Zwei-Tage-Workshop
    14./15.07.2022, Virtuell
Weitere IT-Trainings

Um das Forum aber so schnell wie möglich wieder zugänglich zu machen, entschloss sich das Team, einige über die Foren-Software hinausgehende Sicherheitsvorkehrungen zu treffen. So sei das Dateisystem nun verriegelt, für die Ordner gelten nur Leserechte und die Dateien haben nun paranoide Berechtigungen. Darüber hinaus sollen die Foren-Dienste künftig per AppArmor oder SELinux gesichert werden.

Suche nach freier Alternative

Statt dem proprietären vBulletin wollen die Administratoren künftig eine Lösung auf Basis freier Software einsetzen. Möglich scheint derzeit ein Wechsel zu BBPress oder PHPBB, dazu sucht das Team aber noch erfahrene Verstärkung, die bei einer Migration von vBulletin helfen könnten.

Zudem muss das NNTP-Gateway-Skript portiert werden, was einen PHP-Entwickler erfordert. Ebenso wird zur Zeit eine Liste mit notwendigen und wünschenswerten Anforderungen an die neue Software erstellt.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


teleborian 23. Jan 2014

Bei PHP bestehen in der Regel alle PHP Scripte aus lesbarem Text.

TW1920 21. Jan 2014

phpBB ist eher ein Fahrgestell mit Motor und nem proviorischen aufbau. es ist schlicht...

TW1920 21. Jan 2014

Na und? es ist vom aufbau (also quelltext) gut. aber wer wirklich was aufbauen will...



Aktuell auf der Startseite von Golem.de
Halbleiterfertigung
Keine modernen Belichtungsmaschinen mehr für China

Maschinen für EUV-Belichtung darf ASML bereits nicht mehr nach China exportieren, auch der Zugang zu älteren DUV-Anlagen soll gekappt werden.

Halbleiterfertigung: Keine modernen Belichtungsmaschinen mehr für China
Artikel
  1. Fake-Polizei-Anrufe: Bundesnetzagentur meldet starken Anstieg von Beschwerden
    Fake-Polizei-Anrufe
    Bundesnetzagentur meldet starken Anstieg von Beschwerden

    Seit März wachsen die Beschwerden stark an, weil Betrüger automatische Ansage von Polizei, BKA, Interpol oder Europol versenden. Dabei täuschen sie echte Telefonnummern vor.

  2. Games with Gold: Die Xbox-360-Neuauflagen sind alle
    Games with Gold
    Die Xbox-360-Neuauflagen sind alle

    Ab Oktober 2022 ist Schluss mit weiteren Xbox-360-Spielen in Spieleabos von Microsoft. Grund ist schlicht eine natürliche Grenze.

  3. Kryptowinter: Auch Bitcoin-Minern droht die Zahlungsunfähigkeit
    Kryptowinter
    Auch Bitcoin-Minern droht die Zahlungsunfähigkeit

    Nicht nur Bitcoin-Verleiher gehen in der Krise pleite. Auch professionelle Krypto-Mining-Unternehmen kämpfen um ihre Liquidität.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Red Friday: Mega-Rabatt-Aktion bei Media Markt • PS5 bestellbar • EVGA RTX 3090 günstig wie nie: 1.649€ • MindStar (MSI RTX 3060 429€, MSI 31,5“ WQHD 165Hz 369€) • Samsung QLED 85" günstig wie nie: 1.732,72€ • Alternate (Tower & CPU-Kühler) • Der beste 2.000€-Gaming-PC [Werbung]
    •  /