Forum PHP.pl

W popularnym systemie zarządzania treścią e107 Bogdan Calin z fimry Acunetix (producent oprogramowania do zabezpieczania aplikacji internetowych) znalazł kod, który może wskazywac na obecność backdoor'a.
W pliku class2.php znajduje się linijka:

[PHP] pobierz, plaintext 
if(md5($_COOKIE['access-admin']) == "cf1afec15669cb96f09befb7d70f8bcb")
[PHP] pobierz, plaintext 

Po analizie Calin doszedł do wniosku, że po sprawdzeniu, czy owe ciasteczko jest ustawione, wykonywany jest dodatkowy kod pozwalający na wykonywanie poleceń systemowych na zdalnym systemie.

Najprawdopodobniej serwer e107.org został zaatakowany, a agresorzy umieścili backdoor'a w kodzie źródłowym dostępnym oficjalnie do pobrania. Dokładny przebieg zdarzenia opisany jest na stronie głownej e107.org (News -> "e107.org compromised").

Do czasu uporania się z sytuacją zalecane jest wstrzymanie się z pobieraniem źródeł CMS-a bezpośrednio z serwera e107.org. Kod znajdujący się na sourceforge.net nie został zainfekowany, więc stanowi potencjalnie bezpieczne źródło pobierania.

Żródło:
http://www.heise-online.pl/newsticker/news...oor-913556.html

dodatkowe informacje:
http://e107.org/news.php