Eine signifikante Sicherheitslücke wurde in der weit verbreiteten **phpBB**-Forum-Software aufgedeckt, die potenziell tausende Online-Communities unbefugtem Zugriff aussetzt. Die Schwachstelle, die seit zehn Jahren im Code existiert, ermöglicht es einem Angreifer, die Identität jedes Benutzers, einschließlich Foren-Administratoren, anzunehmen. ### Die Schwachstelle: Zehn Jahre in der Entstehung Die Lücke, für die derzeit noch kein **CVE**-Identifier existiert, ist bemerkenswert einfach auszunutzen. **Aikido**-Forscher, die die Schwachstelle am 2. Juni identifizierten, bestätigten, dass eine einzige HTTP-Anfrage ausreicht, um den Bypass auszulösen. Diese einfache Ausnutzbarkeit, gepaart mit ihrer langjährigen Präsenz, macht sie zu einem hochprioritären Anliegen für Foren-Administratoren. ### Betroffene Versionen und Abhilfemaßnahmen Die Schwachstelle betrifft **phpBB**-Versionen 4.0.0-a2 und 3.3.16 und darunter. Nach **Aikido**s Bericht über das HackerOne Vulnerability Disclosure Program von **phpBB** veröffentlichten die Entwickler am 6. Juni schnell einen Patch in **phpBB** Version 3.3.17. Während für den 3.x-Zweig eine Korrektur verfügbar ist, steht eine stabile Veröffentlichung für den 4.x-Zweig noch aus, was betroffene Benutzer auffordert, vorerst auf den Master-Zweig zu aktualisieren. ### Ausnutzungspotenzial und Risiken Die Ausnutzung dieser Lücke erfordert keine spezielle Konfiguration, da sie auf Standardeinstellungen von **phpBB** ausgelöst werden kann. Der Erhalt von Administratorzugriff könnte Angreifern die Möglichkeit geben: * Alle privaten Nachrichten einzusehen. * Inhalte und Benutzerkonten zu erstellen, zu ändern oder zu löschen. * Sich als Mitarbeiter auszugeben. * Forenseiten zu verunstalten. Obwohl die Schwachstelle aufgrund einer separaten Passwortprüfung, die das Admin Control Panel schützt, keine Remote Code Execution (RCE) ermöglicht, bleibt das Potenzial für weitreichende Störungen und Datenlecks hoch. **Aikido**-Forscher haben technische Details bewusst zurückgehalten, um Administratoren ein kritisches Zeitfenster zur Anwendung von Patches zu geben, und haben sogar direkt große **phpBB**-basierte Foren kontaktiert. ### Wichtige Überlegungen für Administratoren Administratoren, die das Update implementieren, sollten sich bewusst sein, dass Foren, die OAuth-Authentifizierung nutzen, vorübergehende Störungen erfahren könnten. Dies liegt daran, dass der OAuth-Redirect-Handler an einen neuen Speicherort verschoben wird, eine Korrektur, die in den meisten Fällen unkompliziert sein sollte. **Aikido** hat angedeutet, dass vollständige technische Details in einem zukünftigen Bericht veröffentlicht werden, obwohl kein spezifischer Zeitplan angegeben wurde. Angesichts der einfachen Ausnutzbarkeit und der weit verbreiteten Nutzung von **phpBB** ist sofortiges Handeln für alle betroffenen Forenbetreiber entscheidend, um ihre Communities und Benutzerdaten zu schützen.