Warnung vor Exploit in UTComp-Vote-System

[Wormbo]

Aufgrund eines Bugs in UTComp mit aktivierten Voting-Features kann ein Server von einem Angreifer komplett übernommen werden. Der Exploit erfordert zusätzlichen Code, erlaubt es dann aber, Admin-Accounts beliebig zu manipulieren und somit den eigentlichen Admin auszusperren. Einzige Lösung in so einem Fall ist es, den Server-Prozess abzuschießen, die Konfiguration zurückzusetzen und danach den Server neu zu starten. Trotzdem bleibt der Exploit bestehen und kann jederzeit wieder ausgenutzt werden. Einzig das Deaktivieren der Vote-Features oder gar UTComp als Ganzes scheint zu helfen.

Durch diesen Exploit sind schon einige Communities zerstört worden, weil irgendwelche Hirnies es dem Server-Admin mal so richtig zeigen wollten. Toll gemacht, ihr Idioten! Falls ein UTComp-Entwickler dies liest (oder jemand, der die Entwickler kennt): Ich helfe gerne mit einer genaueren Fehlerbeschreibung aus. Zeit selbst dran zu basteln habe ich aber nicht.

[sÀtÁñ.UTzone]

Na herzlichen Glühstrumpf

[Sly.]

Vielleicht sollte man das auch beim Epic Forum posten? Ich denke mal, ein UTComp-Entwickler wird das da sicherlich eher bemerken, als hier.

[King.UTzone]

uiuiui is ja auch nich so das utcomp1.7a oder drunter ne final version is
gibt bestimmt nochmehr bugs und löcher im code...
zum glück is vote in ictf eh disabled

(wie isn das bei 3spn basiert das nich auch iwie auf comp)

[Wormbo]

Nein, TAM war eine Eigenentwicklung. Das Problem ist in beiden Fällen das gleiche: Unzureichende Prüfung, ob der Client tatsächlich das machen darf, was er vor hat. Mich würde nicht wundern, wenn so ein Bug auch in anderen Systemen steckt, die ähnliche Voting-Features anbieten. Bei reinen Voting-Tools is es wohl eher nicht der Fall, sofern sich der Autor einigermaßen mit der Materie beschäftigt hat. Aber 3SPN und UTComp sind Mods, bei denen Voting "nur dabei" ist.

Was mich in diesem Fall aber besonders stört ist die Ausrede, die ich kurz nach diesem Post lesen musste:

just disable utcomp voting -_- i mean he figured it out, know it for years but no reason to release a fix as that would only cause more people to find it and then abuse it, guess someone did that.

Ich stehe auf den Bahnschienen und da kommt ein Zug. Ich halte mir mal besser die Augen zu, dann ist der Zug nicht mehr da.

[sÀtÁñ.UTzone]

TAM ist eh von oben bis unten verbuggt.

[Wormbo]

Was glaubst du, was in UTComp noch so alles drin steckt. Ich hab schon gehört, dass es da noch ein paar mehr Exploits geben soll. Den hier hab ich nach ein paar Minuten Suche gefunden, nachdem ich ein eingegrenztes Fehlerbild bekommen habe. Ich habe weder Lust noch Zeit für einen vollständigen Code-Audit, aber das würde vermutlich Abgründe zu Tage fördern, dass einem die Haare zu Berge stehen. (Ich befürchte, dass das auch für 3SPN gilt.)

[KorteX.UTzone]

Vermutlich hat 3SPN das schon geahnt und daher schon früh die Beine in die Hände genommen

Und zum Offiziellen Forum ... kein Kommentar.