Thema: TeamSpeak RFI vulnerability

Ich bin einfach mal so frei und copy paste alles:

A while ago, members of R4P3.net discovered a RFI vulnerability in the TeamSpeak client.
This huge security issue exists in every client version!
After studying the vulnerability, we successfully exploited it.
With this exploit you are able to download every file you want to you victim´s computer!
Even worse, you can "make them" execute (Windows only)!

Informations on how to get your hands on this will be released here, soon.
You may share the video!
https://vimeo.com/141671418
password: r4p3.net_h5du80vf

Für weitere Info's besucht einfach die Website R4P3

das Posaunst du jetzt überall herum, wa? (unter anderem Sborg)
Eine Möglichkeit zur eigenen Sicherheit wäre,

SBorg ist ScriptzBase.ORG

Mich würde eher Interessieren wie es funktioniert, aber nicht um jemanden zu schaden oder mich zu schützen, sondern rein wie es programmiertechnisch sich auswirkt.

aso, ja dann habe ich das auch bei SBorg gepostet.

naja, das ganze wird heute bei uns in der VIP section veröffentlicht
Wenn du warten kannst.. wir werden es auch irgendwann komplett öffentlich machen (Wahrscheinlich aber erst wenn TeamSpeak das ganze gefixed hat)

Zitat von Supervisor

naja, das ganze wird heute bei uns in der VIP section veröffentlicht
Wenn du warten kannst.. wir werden es auch irgendwann komplett öffentlich machen (Wahrscheinlich aber erst wenn TeamSpeak das ganze gefixed hat)

..Wenn TeamSpeak das gefixed hat. Erwartest du eine Provision hierfür, oder warum hälst du dich für Gott und willst den Zauberstab erst rausrücken wenn er keine Magie mehr verstreut.

lol - warum sollten wir? Ich bin mir sicher (wir haben es von 4h released) das es schon auf irgend einer Website geleaked wurde. Wir finanzieren uns aber nun mal durch VIP sign ups, also erscheint es mir nur logisch so zu handeln. (DDoS Protection nimmt dabei einen nicht unbeachtlichen Teil der Kosten ein o_O)

Wie man sich davor schützen kann ist auch auf unserer HP zu lesen. Also insofern du das nicht verwenden willst kannst du doch glücklich sein

btw.. selbst wenn das ganze irgendwann von TeamSpeak gefixed wird, es gibt mehr als genung Nutzer, die Ihren Clienten nicht updaten.

Einen Bug prangert man aber nicht so an. Wann habt ihr das TS gemeldet?

Wie sieht die Timeline des Bugs aus von Entdecken bis zu melden/fixen? Wollt ihr nun Whitehats sein oder nerviger Marder?

Grundsätzlich finde ich die Politik Bugs öffentlich zu machen wenn der Hersteller diese nicht fixt, gut. Google zum Beispiel macht das ja auch so (Project Zero), haben aber eine Frist von 90 Tagen die sie den Herstellern geben um die gemeldete Lücke zu fixen. Ich denke TeamSpeak braucht noch eine ganze Weile um einen so schwerwiegenden Fehler zu beheben der in allen Versionen auftauchen soll, wie du behauptest.
Auch habt ihr den Bug ja nicht öffentlich gemacht sondern benutzt ihn um euer Forum zu finanzieren was ich nicht sauber finde.

Tatsächlich lässt sich das ganze sehr einfach beheben. Eine Einschränkung eines bestimmten Strings würde als Hotfix vollkommen ausreichen.
Zum letzten von dir angesprochenen Thema: Mag sein, aber irgendwie muss man sich finanzieren. Kann man sehen wie man will schätze ich.

Just a moment...

Hier der Hotfix von Teamspeak

Zitat von Supervisor

TeamSpeak wurde im Vorfeld darüber informiert.
Da Sie allerdings keine Reaktion in den letzten Wochen gezeigt haben, wurde es nun public gemacht.

Eine wichtige Information welche dir mehr Achtung einbringt...

Zitat von Cappa

Eine wichtige Information welche dir mehr Achtung einbringt...

..., die ich aber leider so nicht bestätigen kann.

dank den kiddies die das überall rum copy-pasten müssen ist die schwachstelle schon seit tagen fixed.
tja ; -(