Bedenklich: Redakteur kann sich selbst hochstufen?

[phellmes]

Hallo,
ich habe ein Blog mit Administrator, Chefredakteur und ein paar Benutzergruppen eingerichtet, die lediglich dazu dienen, Beiträge in Kategorien sichtbar oder unsichbar zu machen. Der Chefredakteur darf Benutzer anlegen und verwalten, die einfachen Benutzer nicht.
Nun habe ich ein äusserst bedenkliches Verhalten festgestellt: Geht man als Chefredakteur in die Benutzerverwaltung, werden zunächst mal nur man selbst und die untergeordneten einfachen Benutzer angezeigt, nicht der Administrator. Soweit - so gut, geht man aber jetzt in die eigenen Einstellungen, kann man sich über die Gruppenliste ohne weiteres zur Administrator-Gruppe hinzufügen, abspeichern und - voila! schon ist man Admin und darf alles!
Das kann nicht Sinn der Sache sein, oder? Ein Benutzer - egal welchen Ranges - sollte sich selbst und andere Benutzer niemals höher einstufen dürfen, als der Rang, den er selbst bislang belegt. Das muss allein höheren Benutzern vorbehalten sein, anderenfalls ist ein hierarchisches Sicherheitskonzept wirkungslos, da jederzeit aushebelbar.

Habe ich hier etwas übersehen, oder ist das ein echtes Sicherheitsleck per Design?

Immerhin gibt es in den Gruppeneinstellungen eine Option, die scheinbar festlegt, ob man den eigenen Benutzerlevel ändern darf, die hat aber keinerlei Wirkung, es geht trotzdem.

Weiß jemand mehr dazu?

[garvinhicking]

Hi!

Das sollte so eigentlich nicht klappen. Welche s9y version benutzt Du denn? Und bist Du sicher, dass der Redakteur der sich hochstufen kann nicht evtl. vorher schon einer Admin-Gruppe zugehörig war/ist?

Mit der aktuellen 1.2-beta5, die am Wochende released wird, kann ich das jedenfalls erstmal nicht reproduzieren. In den 1.2 Versionen gibts die Gruppenzuordnung in den eigenen Einstellungen auch nicht mehr.

Grüße,
Garvin

[phellmes]

Hi,
danke für die schnelle Reaktion.

Das sollte so eigentlich nicht klappen. Welche s9y version benutzt Du denn? Und bist Du sicher, dass der Redakteur der sich hochstufen kann nicht evtl. vorher schon einer Admin-Gruppe zugehörig war/ist?

Ist die 1.1.4 . Der Chefredakteur war definitiv immer nur Chefredakteur, von Anfang an. Natürlich vom Admin aus angelegt.

Mit der aktuellen 1.2-beta5, die am Wochende released wird, kann ich das jedenfalls erstmal nicht reproduzieren. In den 1.2 Versionen gibts die Gruppenzuordnung in den eigenen Einstellungen auch nicht mehr.

Ok, dann werde ich das Ganze nochmal neu mit der Beta testen und mich später rückmelden, wenn ich auf ähnliche Schwierigkeiten stoßen sollte. Da das Blog noch im Test, also nicht produktiv, ist, stellt das kein Problem dar.

Danke erst einmal, ich melde mich dann nochmal.

Grüsse,
phellmes

[garvinhicking]

Hi!

Super, danke für die Test-Hilfe. Mich würde es sehr interessieren. Wenn's da noch Probleme gibt, würde ich das natürlich gerne beheben und versuchen zu reproduzieren!

Grüße,
Garvin

[phellmes]

Super, danke für die Test-Hilfe. Mich würde es sehr interessieren. Wenn's da noch Probleme gibt, würde ich das natürlich gerne beheben und versuchen zu reproduzieren!

Hi,
so, habe die selbe Umgebung jetzt mit der Beta aufgesetzt. Vom Admin aus Chefredakteur mit weiträumigen Rechten angelegt, dann als solcher eingeloggt und getestet:

1) Gruppenverwaltung: Eigene Gruppen werden angezeigt und lassen sich modifizieren, bis auf die Punkte, die dem Chefredakteur selbst nicht erlaubt sind. Neue Gruppen lassen sich anlegen, aber auch nur mit maximal den Optionen, die der Chefredakteur hat. Allerdings kann der Chefredakteur nicht gleich Mitglied neuer Gruppen werden, selbst wenn es sich beim Anlegen hinzufügt. Die neue Gruppe verschwindet also dann erstmal und der Chefredakteur muss ihr vom Admin aus hinzugefügt werden, dann sieht er sie wieder.
Fazit: Soweit sauber, wenn der letzte Punkt als zusätzliche Sicherheitsmaßnahme so gewollt ist.

2) Benutzerverwaltung: Alle Benutzer eigener Gruppen sind sichtbar und lassen sich modifizieren, aber nicht hochstufen. Den eigenen Benutzer sieht man auch, kann ihn aber an dieser Stelle nicht ändern (gut wegen dem Gruppenfeld).
Fazit: Alles sauber gelöst.

3) Eigene Benutzereinstellungen: Hier taucht wie angekündigt keine Gruppenliste mehr auf. Prima.
Wenn ich auf Speichern gehe, kommt allerdings nach dem Neuladen der Seite oben ein Fehler:

Code: Select all

Warning: Invalid argument supplied for foreach() in /...path-to-s9y.../include/admin/personal.inc.php on line 37

Ansonsten konnte ich keine Probleme entdecken.
Werde also an der Beta alles Weitere austesten und mich dann auf das 1.2-Release konzentrieren. Das müsste mich nun rundum zufriedenstellen - immerhin hatte ich mich ja nach anfänglichen Tests gerade wegen der differenzierteren Rechtevergabe für Serendipity und gegen Wordpress entschieden.
Also großes Lob - ein tolles Blogsystem!

Grüsse,
phellmes

[phellmes]

Hi,
hab noch eine Kleinigkeit vergessen, die mir aufgefallen war:

Die serendipity_config_local.inc.php im Hauptverzeichnis wird nach der Installation als ausführbar angelegt (0700), hab sie dann manuell per chmod auf 0600 zurückgestuft. Ist aber wirklich nur eine Kleinigkeit

Grüsse,
phellmes