Fhem und CVE-2020-19360 - FileLog_logWrapper

[JoWiemann]

Hallo,

ich hatte nach FileLog_logWrapper gesucht und folgendes angezeigt bekommen:
https://nvd.nist.gov/vuln/detail/CVE-2020-19360

Ist das schon mal gecheckt worden?

Grüße Jörg

[rudolfkoenig]

Ist das schon mal gecheckt worden?

Nein, ist mir neu.
Habs gefixt und eingecheckt.

Ich wuerde gerne wissen, warum solche Probleme nicht erst hier gemeldet werden.
Und wer das gemeldet hat.

[rudolfkoenig]

Erklaerung: man konnte ueber diesen Weg den Inhalt einer beliebigem Datei auf dem FHEM-Rechner mit Rechten von FHEM auslesen.
Voraussetzung war, dass man in FHEM angemeldet ist.

[JoWiemann]

Hallo Rudi,

danke.

Im CVE gemeldet hat ja Emre Övünç. Auf seiner Homepage gibt es keine direkte Beziehung zu Fhem.

Ich werde ihn mal anschreiben. Außer Du möchtest das übernehmen.

info[at]emreovunc[dot]com

Grüße Jörg

[betateilchen]

Ich wuerde gerne wissen, warum solche Probleme nicht erst hier gemeldet werden.

Weil nirgends steht, dass man das tun muss und weil es solche Schwachstellenregister genau dafür gibt, um solche Schwachstellen zu melden. Die Welt ist halt ein Stück weit größer als Hessen oder Deutschland.
Und die Meldung hat ja keine dramatischen Konsequenzen.

Ich werde ihn mal anschreiben.

Was soll das bringen? Derjenige, der das gemeldet hat, hat ja grundsätzlich nichts falsch gemacht.

[JoWiemann]

quote author=JoWiemann link=msg=1294699 date=1700998237]
Ich werde ihn mal anschreiben.

Was soll das bringen? Derjenige, der das gemeldet hat, hat ja grundsätzlich nichts falsch gemacht.

Darum geht es nicht. Mich würde interessieren wie er drauf gekommen ist.

Grüße Jörg

[PatrickR]

Hi!

Darum geht es nicht. Mich würde interessieren wie er drauf gekommen ist.

Würde mich auch interessieren. Aber selbstkritisch betrachtet kann man mit der Information auch nichts Sinnvolles anfangen. Don't shoot the messenger.

Die eigentlich interessante Frage hier ist eher, was passiert, wenn CVEs auftauchen, deren Ursprung in der beabsichtigten Offenheit von FHEM liegt, z. B.:

Code Auswählen Erweitern

http://fhem.host:8000/fhem?cmd=%7Bqx%28cat%20%2Fetc%2Fpasswd%29%7D&fwcsrf=hallo
Die direkte, beabsichtigte Möglichkeit, beliebigen Code remote mit den Rechten des FHEM-Users auszuführen, wird den Score nach oben drücken.

Patrick

[Nestor]

The exploit was already discussed in 2020.
https://forum.fhem.de/index.php?topic=114004.msg1082719#msg1082719