[MASOCH-L] Alguém da Locaweb na lista?

[MARLON BORBA]

Acho que algumas versões antigas do AWstats eram vulneráveis. Por
exemplo, nesta apresentação de 2005, é demonstrada uma vulnerabilidade
que permite ao atacante executar programas com os mesmos privilégios do
servidor Web:

http://www.packetstormsecurity.org/0501-exploits/AWStatsVulnAnalysis.pdf


No caso de que tive conhecimento, o "desinfeliz" administrador permitia
uso do Apache como "root". Daí, já viu, né?

Versões mais recentes padecem de uma vulnerabilidade de 'cross-site
scripting':

http://www.ubuntu.com/usn/usn-686-1 


-- 

Abraços,

Marlon Borba, CISSP, APC DataCenter Associate
Técnico Judiciário · Segurança da Informação
Comissão Local de Resposta a Incidentes - CLRI
TRF 3 Região
(11) 3012-1581
--
Practically no IT system is risk free.
(NIST Special Publication 800-30)
--


Em 18/5/2009 às 12:09, Juliano Primavesi - Cyberweb Networks
<juliano at cyberweb.com.br> gravou:

> Como assim? Tem mais detalhe sobre isso?
> 
> Juliano
> 
> MARLON BORBA escreveu:
>> Alguns pacotes de coleta de estatísticas de "sites" feitos em PHP
tinham 
> sérias vulnerabilidades.
>> Sei do caso de pelo menos um servidor que assim foi "ownado".

[...]