View Full Version : Webinterface Bug?! Admin --> sadmin?!
Tach Leute,
ich durchstöberte gerade das Web, und was seh ich da?
http://ruun.de/index.php?area=webint
Die Webinterfaces sind zur Zeit aufgrund eines Bugs, der es ermöglichte mit einem normalen Serveradmin-Account ins Superadmin-Interface zu gelangen, abgeschaltet, bei wichtigen Änderungen kontaktieren Sie bitte einen Admin auf dem Teamspeak von RUUN
Da ich selbst sadmin bei meinem ts-server bin, macht mir soetwas natürlich Angst! Ich benutze 'v2.0.r20.b1 Linux', kann mir etwas passieren?
MfG
Franky
marcelrx
12-10-2005, 15:43
Es gibt keinen Bug der es ermöglicht sich als Superadmin ein zuloggen aber es gibt einen Bug in der Version 2.0.20.1 mit dem ein normaler Server-Admin Server stoppen, starten und löschen kann. Jeden Server nicht nur seinen eigenen.
Aber es gibt dafür schon lange ein Fix: http://forum.goteamspeak.com/showthread.php?p=104836#post104836
Das geht aber nur bei Linux Server für Windows Server existiert im Moment kein FIX.
Generell ja!
Vor allem wenn du ServerAdmins auf irgendeinem SubServer hast die du nicht gut kennst kann es dir passieren dass einige neue Subserver dazukommen oder SubServer gelöscht werden durch diese (ohne dass sie Superadminrechte haben).
Du kannst jetzt entweder den SAs die WebInterface-Nutzungsrechte entziehen oder ein externes WebInterface gekoppelt mit einer IP-Sperre nutzen, d.h. du hast auf dem selben oder einem anderen Server das PHP- oder Perl-, etc. -Webinterface laufen und stellst z.B. mittels Firewall/IP-Tables ein, dass auf den WebInterface nur von dem externen WebInterface aus zugegriffen werden kann, damit der Bug nicht mehr ausgenutzt werden kann.
Die dritte Möglichkeit ist, du benutzt die mehr oder weniger stabile 2.0.21.3 Beta(!)
Version des Servers, bei der der Bug gefixt wurde.
Die dritte Möglichkeit ist, du benutzt die mehr oder weniger stabile 2.0.21.3 Beta(!)
Version des Servers, bei der der Bug gefixt wurde.
Nebenbei bemerkt: 2.0.21.3 erscheint mir auch nicht mehr oder weniger stabil als 2.0.20.1
DerJoker
13-10-2005, 07:33
DarkCyrus hat vollkommen recht. :(
Soweit ich weiß, ist es in den älteren Versionen (die neue beta mal ausgenommen) möglich über spezielle Scripte den SSA Login im Webinterface zu umgehen und dort neue Serverinstanzen anzulegen und/oder zu löschen. Dazu wird allerdings ein SA Zugang benötigt, denn man sich bekanntlicherweise durch Fehlbedinung der User recht schnell besorgen kann.
Es ist sogar möglich neue SSA's anzulegen. Daher kam ja auch die neue Beta raus. Natürlich alles gerüchte (die ich mit eigenen Augen gesehen habe :D )
Wir nutzen seit geraumer Zeit ein eigenes Webinterface und sperren alle anderen via IP Tables aus. Seit dem keine Probleme mehr mit dem Bug.
@DerJoker:
Es war definitiv zu keiner Zeit möglich einen SSA-Account unter Verwendung eines SA-Accounts anzulegen. Die Version 2.0.21.3 hat alle bislang bekannten Sicherheitslücken geschlossen und läuft genauso stabil wie Version 2.0.20.1.
DerJoker
13-10-2005, 08:48
Dann Frage ich dich wie jemand bei mir einen SSA angelegt hat ohne SSA rechte zu haben.
Wir hatten genau wegen dem Bug (der ja seit anfang des Jahres bekannt ist) einen Testserver laufen. Da kam einer der wollte nur SA Rechte haben. und hat sich darüber SSA Rechte angelegt. Ich habs gesehen!! Frag mich nicht wie! Weil bin ja Ahnungslos. Auf dem Server war nur ein SSA eingerichte wo definitiv nur ich das PW zu hatte, weil der Server "frisch" war. Hinterher hat der gute Mann über sein Script und dem SA dort zwei weitere SSA's angelegt.
Vielleicht hast du ja eine andere Erklärung aber mich als Hoster schockt sowas schon ein wenig.
Aber das Problem ist ja in der neuen Beta behoben von daher ist das Thema erledigt würd ich sagen. ;)
marcelrx
13-10-2005, 11:47
Dann Frage ich dich wie jemand bei mir einen SSA angelegt hat ohne SSA rechte zu haben.
Wir hatten genau wegen dem Bug (der ja seit anfang des Jahres bekannt ist) einen Testserver laufen. Da kam einer der wollte nur SA Rechte haben. und hat sich darüber SSA Rechte angelegt. Ich habs gesehen!! Frag mich nicht wie! Weil bin ja Ahnungslos. Auf dem Server war nur ein SSA eingerichte wo definitiv nur ich das PW zu hatte, weil der Server "frisch" war. Hinterher hat der gute Mann über sein Script und dem SA dort zwei weitere SSA's angelegt.
Vielleicht hast du ja eine andere Erklärung aber mich als Hoster schockt sowas schon ein wenig.
Aber das Problem ist ja in der neuen Beta behoben von daher ist das Thema erledigt würd ich sagen. ;)
Also ich hab mich eine Zeit lang mit dem Bug beschäftigt und es war mir zu keiner Zeit möglich an den SSA Accounts was zu ändern(löschen,anlegen...)
Bei den Servern ja aber nicht bei den Accounts. Außerdem sollte die Beta eigentlich ganz stabil laufen.
Moin zusammen!
Ich bin einer der Admins der Website von der gerade gesprochen wird und habe diesen Hinweis verfasst. Es ist in der tat so, dass durch eine falsche Rechteverteilung im Teamspeak-Webinterface (non-beta, wir verwenden die Stable-Version) von Serveradmins die Dateien serverstop.tscmd, delserver.tscmd und serverstart.tscmd (so heissen sie wohl in etwa) angesteuert werden können und bspw. per GET-Parameter bei serverstop.tscmd die Serverid übergeben werden kann. Der Server wurd dann auch gestoppt. Da wir durch diesen "Bug" schon probleme mit Leuten hatten, die uns nicht gerade wohlgesonnen sind und dann gleich mal die 50 Server, die auf diesem Host liefen, gelöscht haben, haben wir den Serveradmins global das Privileg "AccessWebAdminServer" entzogen. So können sich nur noch die Superadmins in das Webinterface einloggen. Wir programmieren z.Zt. an einer Alternative, die den Teamspeak-Server komplett über Queryport steuert.
Mit freundlichen Grüßen,
St4Lk3R
Germeshausen.de
16-10-2005, 10:03
Wir programmieren z.Zt. an einer Alternative, die den Teamspeak-Server komplett über Queryport steuert.
Der Bug ist bereits seit längerem bekannt und DarkCyrus und ich haben ihn schon vor Monaten an TeamSpeak Systems gemeldet. Darauf hin wurde die 2.0.21.3 erstellt.
Verwende doch einfach die 2.0.21.3, dort ist der Bug bereits behoben. Mal eine Frage: Wie willst du alles über TCP Query administrieren, wenn du beispielsweise die Gruppenrechte nicht darüber verwalten kannst? Ebenso die globalen Hosteinstellungen. Du musst auch das HTTP Interface hinzuziehen, denn sonst fehlt ein wichtiger Teil bei der administration. Wir wissen wovon wir sprechen, denn wir haben ja bereits ein neues Adminpanel entwickelt und programmiert.
ich glaub wir sollten nun nicht abschweifen, doch wo du recht hast hast du rehct... dann schaun mer mal wie wir das machen, ich denke eine interaktion mit den ts²-webinterface-dateien ist sinnvoll. in sachen beta: habe ich meinem cheffe auch schon gesagt, der hält allerdings nix von betas.
MfG St4Lk3R
Germeshausen.de
17-10-2005, 17:34
Bezüglich Beta: Die Datei ist auch nix anderes wie die 2.0.20.1. Die 2.0.21.3 ist genauso unfertig, wie die 2.0.20.1, wenn ich es ganz plump sage. Aber der Entscheidende Hintergrund ist doch, dass der Bug weg ist.
Vergesst nicht das TS2 Webinterface per Firewall / iptables zu sichern, denn sonst nützt euch das neue Webinterface absolut nix.
Vielleicht sollte dein Chef oder du mal mit mir telefonieren. Ggf. gefällt ihm ja unser Produkt und Ihr könnt damit viel Zeit und Geld sparen. Denn der (oder die) Programmierer, der(/die) sich ja sonst den lieben langen Tag mit der Programmierung beschäftigt(en), könnten dann etwas anderes tun.
Gruß Crow
3 Leute programmieren zur Zeit an der Alternativlösung... Cheffe Schnaufi, Xell und meine Wenigkeit, der Stalker. wegen der Alternative: könntest du da vielleicht mal ein Webinterface, mit dem man auch arbeiten kann, zeigen?
Germeshausen.de
19-10-2005, 17:14
Selbstverständlich: http://germeshausen.de/products/08/01/1
Falls Ihr mehr Informationen wünscht, einfach melden. Ihr könnt es auch gerne testen, wenn Ihr interesse habt.
ich bestreite nicht, dass dieses webinterface ne menge funktionen habt. ich dachte bei "anschauen" eigentlich eher an eine livedemo... aber ich muss sagen ne single-server-lizenz für 80 € ist doch n bissl happig. und pro zusatz-server 45 €? tut mir leid aber das ist im momentanen finanzspielraum eines webprojekts, das teamspeak²-server kostenlos hostet, wohl net drin.
abgesehen davon: ich glaube dass dieses webinterface von euch einiges an arbeit erfordert hat und ziehe, da ich weiss was das für ne arbeit is, meinen virtuellen hut vor euch!
ps: bist du der mensch im betatester-support für das TAP? wenn ja dann werd ich dich auf dem wege des live-chats wohl mal kontaktieren.
Germeshausen.de
19-10-2005, 20:39
Ja, der Mensch bin ich. Sofern SG (Sven Germeshausen) drin steht.
ich schreibe dich dann morgen nachmittag an. habt ihr auch einen irc-channel? ist mir angenehmer als euch mit eurem supporttool zu kontaktieren, da das ja nur für betatester ist...
MfG St4Lk3R
Germeshausen.de
19-10-2005, 22:14
Ist gut. Einen IRC Channel haben wir nicht. Wir bieten eine ganze Reihe Möglichkeiten an Kontaktmöglichkeiten. Du kannst uns ruhig über das Supporttool ansprechen. Das ist kein Problem. Da es aber Morgen etwas zu feiern gibt, kann es sein, dass ich später online bin als gewöhnlich. Ich rechne so gegen Abend. Ansonsten kurz anrufen oder mir via sms die Rufnummer senden. Ich ruf ansonsten auch zurück.
vBulletin® v3.7.0, Copyright ©2000-2008, Jelsoft Enterprises Ltd.