「SourceForge.jpのプロジェクトWebサーバがクラックされる」記事へのコメント

他のXoopsサイトとかXoopsの中の人とか

[Anonymous Coward]

危険なのでは。更新放置してる人も少なくないと思います。
で、この場合サーバー丸ごと迷惑かけちゃう事になるのでしょうか。

また気になるのはXoopsのモジュールが脆弱性を含み、SQLインジェクションのような問題をアプリケーション全体にもたらしている、という話を以前に人づてに聞いており、今回の事が

Re:他のXoopsサイトとかXoopsの中の人とか

[Anonymous Coward]

なんか勘違いしてる人が多そうなので言っておくと、
今回の件はXOOPSが標準で提供してるモジュールではなくて、XOOPSプロジェクトではない
外部の開発者が別プロジェクトとして提供しているモジュールの脆弱性によるもの。
はっきり言えば、その辺の"単体"で提供されるPHPプログラムが持つ脆弱性となんら変わりがない。
実際XOOPSがなくても、該当するファイルだけあれば穴が突けます。

SourceForgeが利用者の融通を利きやすくするためか、PHPの動作制限が緩い設定で
運営を行っていたので、それと相まって色々と出来てしまった。
だからPHPに関してだけだと、
・ユーザの持ち込むPHPスクリプトの全て
・サーバでのPHPの動作設定
の2点の見直しが必要なのであって、
"XOOPSが…"とか言ってると足元すくわれます。

ユーザの持ち込むスクリプトのチェックなんて全部は出来ないのが普通だと思うので
管理者の自衛策としては「PHP動作設定の再チェック」が重要。