Donnerstag, 19. Oktober 2006
Drupal Sicherheitsloch
Mein erster öffentlicher Exploit-Report: Drupal Security Fix.
Fast hätte ich es vergessen, das habe ich nämlich vor gut 12 Monaten berichtet. Eine Woche bevor Serendipity ein ähnliches Loch nach einem Userbericht innerhalb von 48 Stunden behoben hatte, und XSRF-Angriffsvektoren auch bei anderen Systemen die Runde machten.
Schade, dass Drupal so lange gebraucht hat - aber nett, das man mich per E-Mail informiert hat.
Grundsätzlich ist das alles eher eine theoretische Sache, denn XSRF-Lücken bestehen grob geschätzt bei 80% aller freien PHP-Anwendungen. Kein Grund natürlich, das nicht zu fixen. Typo3 ist übrigens nur davor geschützt weil es ein grauenhaftes Frame-Konzept hat.
Fast hätte ich es vergessen, das habe ich nämlich vor gut 12 Monaten berichtet. Eine Woche bevor Serendipity ein ähnliches Loch nach einem Userbericht innerhalb von 48 Stunden behoben hatte, und XSRF-Angriffsvektoren auch bei anderen Systemen die Runde machten.
Schade, dass Drupal so lange gebraucht hat - aber nett, das man mich per E-Mail informiert hat.
Grundsätzlich ist das alles eher eine theoretische Sache, denn XSRF-Lücken bestehen grob geschätzt bei 80% aller freien PHP-Anwendungen. Kein Grund natürlich, das nicht zu fixen. Typo3 ist übrigens nur davor geschützt weil es ein grauenhaftes Frame-Konzept hat.
Trackbacks
Trackback-URL für diesen Eintrag
Keine Trackbacks
Kommentare
Ansicht der Kommentare:
(Linear | Verschachtelt)
Drupal steht auf meiner Liste der dringed zu evaluierenden "Frameworks" ganz klar auf Platz 1. Mir ist ein System mit bekannt gemachten Sicherheitsfehlern lieber als Systeme, bei denen Fehler so lange totgeschwiegen werden bis sie von Bösartigen entdeckt werden.
Wie auch immer, Sicherheit ist immer auch nur ein Teilaspekt einer Software. Drupal hat einige sehr sinnvolle Funktionen und eine aktive Entwicklergemeinschaft, und findet so durchaus seinen Nischenbereich in dem es viel Sinn macht - da gebe ich Dir recht.
Als Framework würde ich es nur begrenzt einsetzen und mir eher ezComponents oder das ZendFramework ansehen, oder auch CakePHP. Drupal ist zu sehr auf Drupal ausgerichtet um ein sinniges Framework zu sein. Genauso, wie Serendipity als Framework auch nur für Cracks Sinn macht.
Viele Grüße,
Garvin
