php My FTP 2.0 gehackt

Er is helaas weer slecht nieuws te rapporteren. Er is bewezen (en vrij makkelijk werkbaar gesteld) dat onze eigen FTP tool vrij makkelijk te hacken is. Een willekeurige voorbijganger kon zomaar inloggen.

Dit kon allemaal vrij makkelijk door een javascript een cookie te laten zetten op de pagina, waarna het voor de server leek alsof er een valide gebruiker was ingelogd. De beveiliging was dan ook kinderlijk eenvoudig, en werkte dus ook tijdens de test, niet in de realiteit.

Dit probleem is bekend, maar php My FTP 2.0 is sowieso in ieder opzicht verouderd, en gaat niet meer ge-update worden. Binnenkort (misschien eerste kwartaal 2010?) komt versie 3 uit. Deze is, behalve dat hij circa 70% bandbreedte scheelt, ook veel veiliger.

We raden iedereen aan die dit programma nog steeds gebruikt, tijdelijk hiervan af te zien, en in plaats daarvan een andere gratis tool te gebruiken, zoals FireFTP.

---