Mi hosting dice que Gallery tiene código malicios

josejoaking · #1 (**permalink**) 22/01/2004, 00:31

Me dedidí por Gallery para mis fotos porque es realmente el mejor que encontré. Pero ahora dice mi hosting que el código es malicioso.

Debe ser porque usa el mod_rewrite y lo hace mas amigable con los buscadores. Les dejo el mensaje que me dieron:

Recientemente se ha descubierto que los scripts denominados

Gallery
Yabb

contienen código malicioso, desarrollado por hackers, que permiten la
entrada de estos a los servidores tomando los derechos sobre la máquina
y comprometiendola gravemente.

Ante esta grave circunstancia, notificamos a todos los usuarios del
servicio que si tienen instalados cualquiera de estos dos scripts en sus
cuentas de Web Hosting, en un plazo máximo de 48 horas estos deben ser
eliminados del servidor, reemplazándolos por cualquier script disponible
en el mercado.

El día Viernes 23 de Enero del 2004 nuestros técnicos procederán al
escaneo de todos los discos duros y al encontrar cualquiera de estos
scripts serán eliminados por completo de los servidores.

Lamentamos los inconvenientes que esto pueda provocar a quienes estén
utilizando este tipo de scripts, y esperamos que se entienda que la
seguridad de los servidores está antes que cualquier otra consideración por
su propio bien al confiar en nosotros el resguardo de su configuración,
archivos y datos.

Saludos,

Patricio Robledo
Gerencia Técnica
Hostingfull.com
StartLight Technologies

||Dj|| · #2 (**permalink**) 22/01/2004, 03:32

Es comun que las aplicaciones de este tipo permitan subir archivos al directorio /tmp del servidor creo que por ahi viene la mano, por lo menos he escuchado de varios servers hackeados por esa via en los ultimos tiempos. Pero hasta donde me puedo imaginar bastaria con que el administrador quite los permisos de ejecución en ese folder para resolver el problema.

En todo caso le podrias pedir a tu soporte que te de datos mas especificos.

Y a ver si alguien puede aportar un poco mas de luz sobre esto, es un tema por demas interesante.

Salu2.

||Dj|| · #3 (**permalink**) 22/01/2004, 04:13

Yo que vos pido que te muevan el mensaje a "Dominios y Hosting".
Estoy seguro que si hay mas usuarios que esten al tanto de esto, estan en ese foro.

||Dj|| · #4 (**permalink**) 22/01/2004, 04:16

Yo que vos pido que te muevan el mensaje a "Dominios y hosting".
Si hay mas usuarios que esten al tanto de esto, seguro estan en ese foro.

###

Perdon por el post duplicado.
Reenvie el formulario despues de 5 minutos (no exagero) de esperar, a ver si el servidor se dignaba a procesarlo, apesta de lento a esta hora :-p

...Ahora otros 5 minutos para guardar los cambios

:-p

josejoaking · #5 (**permalink**) 22/01/2004, 09:17

Lo que me molesta realmente es que los técnicos no le ponen a disposición información acerca de lo que hablan. Ellos piensan que uno debe creerles todo lo que dicen.

Puse el mensaje en dominios y hosting, gracias por la sugerencia. Efectivamente es por eso de la carpeta tmp que existe un fallo de seguridad.

Saludos

Cluster · #6 (**permalink**) 22/01/2004, 13:22

Cita:

contienen código malicioso, desarrollado por hackers, que permiten la
entrada de estos a los servidores tomando los derechos sobre la máquina
y comprometiendola gravemente.

Sinceramente .. encuentro absurdo esas justificacioens de "hackers" y código malicioso.

Tanto PHP en su configuración .. como la configuración de los permisos de directorios .. etc de esos servidores se puede hacer todas esas operaciones sin riesgos.

Por ejemplo .. usando en php configuración "safe mode" .. se arregla el problema ya que sólo me permitiría usar move_uploaded_file() y no un copy() o peor un fopen() al /tmp (o pero aún a otro directorio del servidor).

También están directivas como el open_base_dir .. y otras para gestionar "que y de donde" puedes abrir archivos desde PHP.

Y .. luego están toda la batería de comandos y técnicas para limitar ejecución a cierto usuario .. como es el caso del que usa PHP.

En resumen .. Ni PHP ni esas aplicaciones o las que puedas hacer tu son "peligrosas" para el servidor .. siempre y cuando los Srs. adminstradores de esos servicios de hosting SEPAN! configurar los servicios que ofrezcan.

Un saludo,

||Dj|| · #7 (**permalink**) 23/01/2004, 01:15

Cluster: date una vuelta por los foros de cpanel o los de webhostingtalk y vas a ver que no es tan absurdo como parece.

La primera pregunta que hacen el 75% de los usuarios cuando van a comprar un paquete es... "php corre en safe mode en sus servidores??? porque si es asi no me sirve"...lo mismo para lo demas, cada vez que apagas una funcion potencialmente insegura saltan 50 clientes diciendo algo como...."tengo pedorro-system instalado en mi cuenta y me dejo de funcionar, habiliten esta funcion ahora mismo, he pagado por ella!!!".... :-p

Generalmente no es culpa de los sysadmin, quienes tienen que asegurar los servidores y a la vez dejarlos completamente operativos para todo este tipo de aplicaciones.

Saludos.

Cluster · #8 (**permalink**) 23/01/2004, 09:02

DJ.

La gente que pregunta sobre el "safe mode" es por qué su aplicación no usa las funciones adecuadas para funcionar bajo safe mode. El manual de PHP (quien se lo lea) describe que funciones pueden usar en "safe mode" y cuales no .. ademas de las alternativas que tienen.

Yo creo que el servicio de hosting debe hacer lo correto: asegurase sus sistemas (con la configuración que corresponda para los servicios que ofrezcan). Si dejan la configuración abierta para esos "pedorro-systems" será bajo su responsabilidad.

No sé que es peor: dejar el sistema "abierto" y esperar que un dia X .. le dé por ejecutar ese "codigo malicioso" .. y que mis servicios pierdan la reputación de "seguros" y pierda mis clientes .. O bien decirle a ese "pedorro-systems" que no lo puede usar y por ende seguramente pierda a ese cliente. Esto ya son temas de sus "políticas" de empresa ...

Lo único que pido de un servicio de esas caracteristicas es que den explicaciones técnicas .. no esa frase que "soltaron". Si diesen la suficiente información de lo que pueden hacer o no un programador en sus servidores .. no habría problemas. También esto pasa por "cultura" del pròpio programador y no me refiero al usuario final de esos "phpbb" sino a esos desarrolladores de esas aplicacinoes .. que, ante (supongo) los reclamos de sus usaurios .. ya sacaran alguna versión con el código "malicioso" corregido.

Un saludo,

josejoaking · #9 (**permalink**) 23/01/2004, 10:59

Saludos Cluster y DJ. Solicité al soporte explicación y me constestaron enojados. Yo tengo que creer todo lo que dicen.

Les dejo el primer ticket:

Sobre GAllery
He quedado muy decepcionado de la poca informacion que dan sobre scripts "maliciosos" he estudiado Gallery y lo único que he encontrado es que hace operaciones con el mod_rewrite de Apache para reescribir URL's.

Este es un script utilizado en sitios tan importantes como maestrosdelweb.com, webmaster al que conozco porque es guatemalteco como yo.

Simplemente decir que tiene código malicioso y no decir cómo lo hicieron creo que no me deja satisfecho. Creo mas que todo que tiene que ver con el mod_rewrite. ¿Acaso el bandwith que ofrecen no es el real?

Usuario/Staff Seguimiento
José Joaquín López
22-1-2004-02:34

EDIT He escrito en el foro de Gallery y me han dicho esto:

Gallery code is not malicious, nor was it written by hackers. It's entirely open source and can be (and has been) scrutinized from a security point of view by many security auditors.

Please invite your ISP to come discuss the problem here on our forums and I'll be happy to answer any questions they have about how the code works.

Yo no quiero que me quiten mi galeria solo porque alguien dice que es codigo malicioso.

Patricio Robledo
22-1-2004-07:50

Estimado José Joaquín:

Gallery es un script potencialmente peligroso, está pésimamente mal escrito y permite a cualquier persona que tenga un mínimo de conocmientos accesar el servidor donde se encuentra instalado y ejecutar exploits.

Si nosotros somos para usted solo "alguien que le dice algo", y no sus administradores de seguridad, pensamos que nuestra relación comercial con usted entonces está absolutamente errada.

Usted puede ver algo de información en los siguientes enlaces, y si no le bastan, estamos dispuestos a enviarle otros mil enlaces más que hacen directa alusión al problema:

http://www.secunia.com/advisories/9998/
http://www.secunia.com/advisories/9376/
http://maliciouslabs.tk/
http://www.microsoft.com/technet/sec...n/fq00-015.asp
http://www.securiteam.com/windowsntf...erability.html
http://support.microsoft.com/default...b;EN-US;256167
http://archives.neohapsis.com/archiv...3-q4/0090.html
http://www.nukecops.com/modules.php?...e=print&sid=56
http://svenrox.com/53cur1ty.php
http://freshmeat.net/articles/view/933/
http://xforce.iss.net/xforce/xfdb/13419
http://www.derkeiler.com/Mailing-Lis...3-02/0119.html
http://cert.uni-stuttgart.de/archive.../msg00140.html
http://www.securitytracker.com/alert...p/1007664.html
http://seclists.org/lists/bugtraq/2003/Sep/0091.html
http://archives.mandrakelinux.com/qm...8/msg00001.php
http://channel.bulport.com/index.php?fcid=11
http://www.securiteam.com/unixfocus/5DP0E15B5G.html
http://lists.alphanet.ch/pipermail/g...er/000079.html
http://cert.uni-stuttgart.de/archive.../msg00006.html
http://phpnuke.org/modules.php?name=...ticle&sid=6033
http://www.xoops.org/modules/news/ar...hp?storyid=362

Una prueba fehaciente es que en este momento tenemos dos servidores, y a todos sus clientes, fuera de línea gracias al excelente código open-source con que estos dos scripts mencionados han sido desarrollados.

Lamentamos su percepción acerca de nuestros servicios, pero tenemos que velar por la seguridad de nuestros usuarios en general y no trabajar permitiendo la instalación de cualquier basura disponible en Internet en beneficio de un solo usuario, contra todos los demás que han confiado sus datos a nosotros.

Saludos,

-------------
Patricio Robledo E.
Staff Soporte
www.SoporteHosting.com
Hostingfull.com
Powerfullhost.com
StartLight Technologies
Patricio Robledo
22-1-2004-07:59

(los primeros enlaces, relacionados con Microsoft, hacen mención a otra vulnerabilidad no relacionada, los enlaces fueron tomados al azar desde google y es por eso que se incluyeron por error en la lista enviada)

-------------
Patricio Robledo E.
Staff Soporte
www.SoporteHosting.com
Hostingfull.com
Powerfullhost.com
StartLight Technologies
Patricio Robledo
22-1-2004-08:08

Estos son los comentarios a una revisión de seguridad de Gallery, por lo que nadie en ese foro puede decir que su producto ha sido auditado como usted menciona:

Gallery has a security hole where any other user on the same webserver
can create, modify or destroy photos in a given album directory.

Also Gallery requires that you turn off safe mode.

Each gallery setup needs a temp directory and an album directory.

Gallery accesses the album directory in a manner that requires
permissions of 755.

eg:
drwxr-xr-x 5 www wheel 512 Feb 9 16:02 albums

and inside albums:
ls -l
total 16
drwxrwxr-x 2 www wheel 3584 Feb 9 16:19 album01
drwxrwxr-x 2 www wheel 5120 Feb 9 16:25 album02
-rw-r--r-- 1 www wheel 65 Feb 9 16:02 albumdb.dat
-rw-r--r-- 1 www wheel 65 Feb 9 16:02 albumdb.dat.bak
-rw-r--r-- 1 www wheel 0 Feb 9 14:05 albumdb.dat.lock
-rw-r--r-- 1 www wheel 11 Feb 9 15:42 serial.dat

As a result anyone who has ever set up a gallery before can just have a
cgi running as user www (or whatever user apache is running as) move
files around.

This can be exploited with everything from SSI, perl to even php.

So on shared hosting gallery is a bad idea.

There is no fix for this as of this time.
This is a product of poor default web application security design.

-------------
Patricio Robledo E.
Staff Soporte
www.SoporteHosting.com
Hostingfull.com
Powerfullhost.com
StartLight Technologies

soportehosting.com : Hora: 12:44:01 P.M. (23/1/2004)

josejoaking · #10 (**permalink**) 23/01/2004, 11:02

Bueno, espero no aburrirlos, pero no creo que esta sea la manera de tratar clientes.

Saludos

Para Patricio Robledo
Regularmente no creo todo lo que me dicen porque nadie es Dios para no tener errores. Usted dice que Gallery y Yabb "contienen código malicioso, desarrollado por hackers". Eso no lo leí en ninguno de los links.

Simplemente tiene un fallo de seguridad, como también lo ha tenido windos NT y un montón de aplicaciones más.

Mi punto es, que generalmente los técnicos menosprecian la capacidad de comprensión de los usuarios y no documentan bien sus avisos de seguridad. No todos nos comemos todo lo que nos dicen, habemos algunos que investigamos más.

Usuario/Staff Seguimiento
Patricio Robledo
22-1-2004-11:28

Estimado José Joaquín:

Es una lástima que usted no entienda la gravedad del tema. No estamos haciendo que nadie se "coma" absolutamente nada, el negocio de la alimentación no es el nuestro.

Nuestro negocio es hospedar sitios, y entregar a cada uno de nuestros usuarios la seguridad que requieren para sus aplicaciones y datos. Si un usuario decide montar un script con CODIGO QUE SE PRESTA PARA USO MALICIOSO, como es el caso que nos ocupa, y ante nuestra solicitud de que lo elimine, reacciona atacándonos (ignorantes, o que no queremos darle el bandwidth contratado, etc), entonces es preferible no mantener a este usuario en nuestros servicios.

Nosotros no tenemos por que entregar explicaciones detalladas acerca de por que un script puede o no provocar problemas a un servidor. Está claramente especificado en nuestras condiciones, las que usted tendría que haber leído antes de contratar el servicio, que no puede hospedar scripts que causen inconvenientes a los servicios, y que ante esto nosotros podemos cesar el servicio sin previo aviso y sin derecho a indemnización.

En este caso el exploit que trae este script específico ha causado la baja de 2 máquinas completas y de sus consiguientes clientes, y si a usted esto le parece poco, a nosotros nos parece gravísimo, y no vamos a discutir con usted tecnicismos pues lo único que nos interesa es que no se repita la situación.

Si esto no le parece bien, y piensa que nosotros debemos dejar que los servidores caigan por que a un usuario no le parece que le indiquemos que existen scripts potencialmente peligrosos tanto para el como para el servidor completo donde se encuentra, usted debe evaluar seriamente si continuar con nosotros o mudar su sitio a otra compañía que no se preocupe por nimiedades como la seguridad de los datos de quienes han confiado en ellos.

Lamentamos que usted sea el único usuario (de casi 30.000) que ha colocado todo tipo de problemas con este tema, pues está usando esto como un tema personal contra usted y no como una medida de seguridad global, que además lo beneficia directamente al asegurarse de que estamos pendientes de lo que va pasando en el mercado.

No acostumbramos discutir con nuestros clientes, pero estamos en una situación de emergencia y usted ha utilizado los tickets de soporte para insultarnos y disctuir temas en los que no estamos interesados, como saber si usted tiene o no los conocimientos suficientes para entrar en tecnicismos, que no son necesarios en este momento pues el núcleo del problema es uno solo: estos scripts son potencialmente peligrosos, y quienes los instalan están dejando las puertas abiertas para que cualquier hacker con mínimos conocimientos y cero experiencia pueda entrar a los servidores donde se encuentran hospedadas las aplicaciones. No pretendemos entrar en detalles de como lo hacen ni cuales son las fallas de estos scripts (que son varias), sino simplemente prohibimos el uso de estos scripts en beneficio de todos los demás usuarios que si aprecian que nos preocupemos de su seguridad.

Gallery es una aplicación que no vamos a permitir en nuestros servidores, usted ha sido notificado de esto.

Saludos,

-------------
Patricio Robledo E.
Staff Soporte
www.SoporteHosting.com
Hostingfull.com
Powerfullhost.com
StartLight Technologies

||Dj|| · #11 (**permalink**) 23/01/2004, 11:48

Mira, yo creo que el de soporte le erró cuando te dijo que la aplicacion estaba escrita por hackers y que tiene codigo malicioso.
Pero el problema existe , es real y no es algo irrelevante sino algo critico.
Ahora me conecte a bajar el correo nada mas, esta noche con tiempo busco y te dejo algunos links para que veas por vos mismo.
Yo te recomiendo que busques un script similar, seguro debe haber algunos muy buenos y aparte vas a tener un poco mas de originalidad en tu sitio y no lo mismo que usan todos.
http://hotscripts.com es un buen lugar donde mirar por si te interesa.
Saludos.

Cluster · #12 (**permalink**) 23/01/2004, 11:55

Bueno .. las últimas discursiones y comentarios ya pasan a otro nivel que no es el de PHP própiamente dicho ..

Si estiman oportuno (espero que lo confirmen) .. muevo el mensaje al foro de "Dominios y hosting" para ver opiniones de otros usuarios y tal vez de algun proveedor de estos servicios.

Un saludo,

josejoaking · #13 (**permalink**) 23/01/2004, 13:50

Tenés razón DJ. El fallo existe. Estoy de acuerdo también con que una compañía de Hosting dictamine que script es prohibido o no. Creo que me encendí algo cuando leí lo de “código malicioso, desarrollado por hackers”.

Cuando elegí Gallery fue simplemente porque me gustó, no me preocupaba mucho lo de la originalidad. Y de veras que busqué otro script que me gustara pero no encontré (también busqué en HotScripts

).

Bien Cluster, de acuerdo con mover el tema. Lo había puesto también en Dominios y Hosting, pero nadie contestó

. Tal vez ahora que tiene más respuestas se animen.

Saludos

||Dj|| · #14 (**permalink**) 23/01/2004, 20:49

http://forums.cpanel.net/showthread....hlight=gallery
http://forums.cpanel.net/showthread....hlight=gallery

Ahi hay un par de posts donde se menciona algo al respecto, asi como tambien algunos tips sobre seguridad, pero claro, estas atado a lo que decida hacer el administrador de tu servidor.

Con respecto a una alternativa a gallery podes preguntar en el subforo de aplicaciones prefabricadas, yo no estoy al tanto pero seria muy extraño que fuese la unica aplicacion de su tipo.

Salu2.

josejoaking · #15 (**permalink**) 23/01/2004, 21:17

Creo que gasté más hígado del que debí.

Aunque había leído algo sobre temas de seguridad, este caso me ha despertado curiosidad sobre el tema. Como uno no anda pensando en hackear (o ser hackeado) esos temas como que no interesan tanto. Hasta que te ves afectado.

Le dedicaré un tiempo a estudiar algo el tema. Gracias por los links los revisaré. Yo lo que siempre pido es que me digan la verdad tal cual es sin hacerle algunos "maquillajes".

Bueno DJ, como decimos en Guatemala, Buena onda

Virgil · #16 (**permalink**) 24/01/2004, 00:11

Te recomiendo la galería 4images. En mi opinión es más flexible, y tiene mas opciones (incluyendo multi-idiomas).

cvander · #17 (**permalink**) 24/01/2004, 16:15

4images es muy buena alternativa aunque he sufrido con la personalización de la misma.

Lo que si me encanta de Gallery es la opción de enviar las fotos desde winXP que resulta sumamente cómoda.

josejoaking · #18 (**permalink**) 24/01/2004, 18:54

Estuve echando un vistazo a varias opciones y creo que finalmente utilizaré Coppermine . Por supuesto que 4images es una excelente opción, pero lo que me gustaba de Gallery era su presentación simple y su slideshow.

Lamentablemenete Coppermine no utiliza Netpbm, mientras Gallery y 4images si. De causarme mucho problema para instalarlo, usaré 4images.

Aparte de ello, según lo que leí, Coppermine corre con el safe mode encendido, pero aclaran que debe estar bien configurado. Lo encontré porque lo ví como software preinstalado en un hosting gringo.

Se agradece la atención al tema.

Saludos.