Is Mambo veilig?

[jouri]

Als dit niet de juiste plaats is voor deze vraag, dan hoor ik het wel.

 

Ik ben al een tijdje aan het "stoeien" met de opensource Mambo.

Dat lukt aardig en vind het een mooi pakket.

 

Maar nu heb ik de volgende vraag:

Is Mambo wel veilig of zitten er beveiligingslekken in?

Is de standaard installatie voldoende of moet je nog beveiligingspatches installeren?

Ik heb gezien dat bepaalde mappen op de server schrijfrechten hebben, kan iedereen hier zomaar data naartoe schrijven of is dit goed beveiligd?

 

Ik hoop dat iemand hier ervaring mee heeft en mij kan vertellen hoe het met de beveiliging zit.

Alvast hartelijk dank.

[perry]

<

 

Wat is wel veilig?

 

In het verleden Mambo wel eens uitgeprobeerd maar liep toen vast op het feit dat het geen multilanguage aan kon, weet niet of dat al opgelost is en of je dat nodig hebt. Verder een mooi programma, maar zet wel goed op een rij wat je allemaal wil, soms heb je een module nodig die net niet in dit CMS systeem zit maar wel in een andere.

 

Voordeel is dat het Open Source is. Als er een lek onstaat is die veelal vrij snel weer dicht getimmerd.

 

Ik gebruik nu Xoops. In de Beta versie werd daar ook een lek in gevonden, was uiteindelijk ook weer vrij snel opgelost.

 

Perry

http://www.infowinner.nl

 

 

 

 

 

 

 

[willemj]

Heel specifiek voor mambo kan ik het je niet vertellen. Op de site securityfocus is informatie te vinden over gaten in allerlei software, ook voor mambo. Zie 'Vulnerabilities' in het menu op de site.

 

In het algemeen:

 

Is Mambo wel veilig of zitten er beveiligingslekken in?

In alle software zitten beveiligingslekken, alleen het aantal en de (potentiele) impact verschilt nogal.

 

Is de standaard installatie voldoende of moet je nog beveiligingspatches installeren?

De laatste 'vulnerability' op security focus is gefixed in versie 4.5.2.3, dit is ook de versie die nu op de download pagina staat. Als je een 'verse' download hebt gebruikt zit je dus voor nu goed.

 

Ik heb gezien dat bepaalde mappen op de server schrijfrechten hebben, kan iedereen hier zomaar data naartoe schrijven of is dit goed beveiligd?

Dit is niet goed beveiligd maar alleen gebruikers op dezelfde server als waar jouw website staat kunnen hier iets mee *). (Er zijn wel andere situaties waar die schrijfrechten een probleem zouden kunnen zijn maar dat gaat wel erg diep)

 

Over het algemeen wordt Mambo gebruikt voor websites waar alle informatie in de site al beschikbaar is voor iedereen. In dat geval hoef je je dus niet zoveel zorgen te maken over beveiliging. Het ergste wat kan gebeuren is dat de data kwijt raakt (maar je maakt natuurlijk een backup dus dat is geen probleem) Of dat iets/iemand je site verandert in een reclame bord voor een hackerclubje. Dat is vervelender maar meestal te voorkomen door de updates in de gaten te houden en te installeren.

 

Pas wanneer je bedrijfsgevoelige informatie gaat aanbieden moet je je echt zorgen gaan maken over beveiliging.

 

Zowiezo goed dat je nadenkt over de beveiliging!

 

*) als ik erg m'n best doe zou ik een account op dezelfde server kunnen krijgen en wat subtiel wat foute informatie in je site kunnen zetten. Het risico daarop is echter vrij klein en dus in de meeste gevallen niet de moeite waard om je druk om te maken.

[Gast arrowman]

In alle software zitten beveiligingslekken

 

Loze bewering. Toon jij maar eens een beveiligingslek aan in het AES/Rijndael-algoritme :)

[Nico Schouten]

In alle software zitten beveiligingslekken

 

Loze bewering. Toon jij maar eens een beveiligingslek aan in het AES/Rijndael-algoritme :)

 

Beste mensen, kunnen we het hier gezellig houden.

We hoeven elkaar hier toch niet af te troeven ? ;)

[Gast arrowman]

Beste mensen, kunnen we het hier gezellig houden.

 

Ik vind het wat overdreven om als administrator in zo'n detail van een discussie te duiken, en het ongezellig te verklaren als het je niet bevalt. Gezelligheid is een persoonlijke beleving. Wat mij betreft was het gezellig.

[willemj]

Loze bewering. Toon jij maar eens een beveiligingslek aan in het AES/Rijndael-algoritme :)

 

Met het niet aan (kunnen) tonen is nog niet bewezen dat er geen bugs in zitten. Daarnaast ging mijn opmerking over implementaties niet over algoritmes. Denk dat het vinden van een bug in een implementatie van AES al een stuk eenvoudiger is. Heb ik nu gewonnen ;)

 

Maar goed hoewel deze zijdraad weinig invloed heeft op de gezelligheid is het wel totaal offtopic. Weer terug dus naar de veiligheid van mambo (voor zover dat nodig is)

[Gast arrowman]

Loze bewering. Toon jij maar eens een beveiligingslek aan in het AES/Rijndael-algoritme :)

 

Met het niet aan (kunnen) tonen is nog niet bewezen dat er geen bugs in zitten. Daarnaast ging mijn opmerking over implementaties niet over algoritmes. Denk dat het vinden van een bug in een implementatie van AES al een stuk eenvoudiger is. Heb ik nu gewonnen ;)

 

Nee, nee, je draait er onderuit. Ik heb niet beweerd dat er geen bugs in zitten, dus dat hoef ik niet te bewijzen. Jij hebt wel beweerd dat er wel bugs in zitten, en die bewering is loos tot je hem hebt bewezen. Dat dat eenvoudig zou zijn is bluf. Laat maar zien!

 

Onderscheid tussen algoritme en implementatie? Daar zou ik uren over kunnen filosoferen. "Dat onderscheid is er niet" is een alleszins verdedigbare stelling. Andere keer ;)

[Gast]

ik denk dat je hier echt alle antwoorden op je vragen zal vinden:

http://gathering.tweakers.net/forum/list_messages/1026459/0//mambo%2Cgrote%2Ctopic

[jouri]

Bedankt voor de reacties.

 

Ik kan er dus wel vanuit gaan dat de laatste versie eigenlijk wel veilig genoeg is om te gebruiken en dat ik dus wel regelmatig de updates in de gaten moet houden.

 

Ik ga er verder mee "spelen", want ziet er best wel leuk uit.

[Henk]

100% veiligheid bestaat niet, alleen 100% schijnveiligheid.

[R.I.P. - Benm]

Bij een dusdanig volwassen product als mambo kun je vaak wel uitgaan van tamelijk goede beveiliging.

 

Het nadeel van zulke veelgebruikte systemen is wel dat eventuele gevonden lekken snel uitgebuit kunnen worden.. met name door wat zielige defacers, maar het kan vervelend zijn.

[beeweb]

Mambo is zo algemeen bekend dat het juist daardoor misschien wel kwetsbaar is, net als de kwetsbaarheid van Internet Explorer, het word veel gebruikt en is daardoor voor hackers extra aantrekkelijk om de lekken/bugs te achterhalen.

 

Als je prijs stelt op een veilig Open Source CMS kan ik je Geeklog (www.geeklog.net) aanraden, het ziet er op het eerste gezicht wat minder gelikt uit, je zal iets meer met FTP, HTML en een configuratiebestand aan de gang moeten maar dan heb je ook een prima bruikbaar, veilig en stabiel CMS dat ook hele grote bezoekersaantallen aan kan.

[beeweb]

Mambo wordt omgedoopt naar Joomla, zie http://www.downloadsquad.com/2005/09/02/open-source-mambo-cms-now-known-as-joomla

 

Dit hing al een tijdje in de lucht omdat het CMS oorspronkelijk niet Open Source is, en de oorspronkelijke maker problemen heeft met de scheidslijn tussen zijn eigen commerciele Mambo CMS en het Open Source Mambo CMS.

 

De database van het nieuwe Joomla schijnt compatibel te zijn met de oude, maar toch, hoe zit het met die honderden plugins etc??

[marijn79]

Heel specifiek voor mambo kan ik het je niet vertellen. Op de site securityfocus is informatie te vinden over gaten in allerlei software, ook voor mambo. Zie 'Vulnerabilities' in het menu op de site.

 

 

 

Ik heb gezien dat bepaalde mappen op de server schrijfrechten hebben, kan iedereen hier zomaar data naartoe schrijven of is dit goed beveiligd?

Dit is niet goed beveiligd maar alleen gebruikers op dezelfde server als waar jouw website staat kunnen hier iets mee *). (Er zijn wel andere situaties waar die schrijfrechten een probleem zouden kunnen zijn maar dat gaat wel erg diep)

 

Ik werk bij een hosting provider (byte.nl) en wij bieden Mambo (Joomla) aan in safe mode. Op die manier wordt juist dit probleem voorkomen. En dit werkt erg goed. :) Niemand kan bij zijn buurman mee kijken/schrijven.

 

 

[marijn79]

Mambo wordt omgedoopt naar Joomla, zie http://www.downloadsquad.com/2005/09/02/open-source-mambo-cms-now-known-as-joomla

 

 

 

De database van het nieuwe Joomla schijnt compatibel te zijn met de oude, maar toch, hoe zit het met die honderden plugins etc??

 

 

Voor meer info hierover kan je kijken op http://www.opensourcematters.org of op http://www.byte.nl/docs/Mambo-Versus-Joomla.html waar wij het even uitleggen....

[mspelt]

even reagerend op de vraag of mambo veilig is of niet,

 

Ik ken mambo een beetje, maar kan er niet over oordelen of het veilig is of niet, maar als ict consultant wil ik het volgende in het algemeen kwijt.

 

Een applicatie is onderdeel van een keten (gebruikers>applicatie>os>hardware>verbinding), als 1 onderdeel hiervan niet goed is ingericht heeft dit invloed op de veiligheid van de hele keten en mogelijk ook daarbuiten (andere servers).

 

Uiteraard begint het bij de bewustwording van de schrijvers van de applicatie, deze moet goed en volgens de geldende specificaties gebouwd worden.

Echter een "veilige" applicatie draaien op een onveilig geinstalleerd os heeft geen zin. Evenals een veilig os en veilige applicatie in beheer laten nemen door beheerders die er niet voldoende kennis van het pakket hebben.

 

Veiligheid is dus iets wat niet ophoudt bij 1 component maar het is een keten van procedures en de juiste software keuzes.

 

martijn

 

[mkbdigitaal]

Mambo is idd voortgezet als Joomla. Mambo bestaat nog wel maar de active community richt zich nu op Joomla. Met versie 1.0.3 van Joomla zijn een groot aantal security lekken gedicht. Het goede aan deze open source pakketten is de grote schare fan's waardoor lekken vrij snel worden gespot en ook kunnen worden opgelost.

 

Safe Mode is zeker een oplossing maar heeft soms wat nadelen mbt de installatie van modules en componenten. De "officele" hosting lijst op joomla.org (voor zover je daarvan kan spreken hoor) stelt volgens mij zelfs als eis "safe mode off".

 

Wij gebruiken Joomla in de "safe mode uit" stand en zorgen voor security op server niveau. We zien meer en meer de omschakeling van Mambo naar Joomla in het hosting gebied bij ons.