Påstået kæmpehul i Morpheus

Gad vide, om det også gælder KaZaA...

Det er længe siden man fandt ud at der var indbygget spyware i KaZaA...
her er der også detaljer om sikkerhedshullet i morpheus:
http://www.comon.dk/index.php?page=news:show,id=10...

Her et direkte Cut'n'Paste fra virus112.dk





Morpheus "sikkerhedshul" fejlfortolket!

04-02-2002



Der har i dag (4/2-2002) været en del artikler fra diverse medier angående et eftersigende alvorligt sikkerhedshul i Morpheus - et populært fildelingsprogram. Desværre har disse medier fejlfortolket problemet...Hullet skulle eftersigende give personer ubegrænset adgang til en brugers filer ved at etablere forbindelse til den port Morpheus lytter på (port 1214/tcp). Dette er imidlertid ikke korrekt.Morpheus er ligesom Gnutella, Napster og Kazaa et fildelingsprogram, som giver en bruger mulighed for at vælge filer, som denne ønsker, at andre skal have adgang til. Da Morpheus ikke har en indbygget, selvstændig protokol, benyttes HTTP-protokollen i stedet til overførsel af filer samt visning af fil-lister. Dette betyder i praksis, at den enkelte brugers maskine fungerer som en slags simpel webserver.Da maskinen fungerer som en webserver, er det ikke kun andre Morpheus-brugere, der har adgang til en brugers delte filer, men også alle andre. Disse delte filer kan ses og downloades ganske simpelt, ved at man åbner en browser og etablerer en forbindelse til maskinen på port 1214/tcp. Folk har dog stadig kun adgang til delte filer, som brugeren selv har valgt - faren for ubegrænset adgang til filer på systemet opstår først, hvis en person har delt hele sit drev. Ønsker man ikke at dele sine filer med hele verden, kan man filtrere trafik til port 1214/tcp, så kun specifikke personer kan etablere forbindelse til ens system.Der er derfor ikke tale om et sikkerhedshul. Det umiddelbart "store problem" i Morpheus er, at størstedelen af brugerne er børn og unge, som benytter programmet til udveksling af mp3-filer, og disse måske ikke er klar over, at deres maskine fungerer som en webserver, og at hele verden kan kigge med på valgte filer eller se deres brugernavn...

Wow.. anede ikke at man bare kunne pege en webbrowser på en brugers port 1214 og så nakke alt muligt.. men fedt..
Det bliver da noget af en omstrukturering der skal til for at få den bug fjernet.

når man deler filer ud med mor-fidus er det aligevel til hele verden.

så det gør ikke meget forskel at alle filerne ligger på en åben web-server.

man kunne web-scanne internettet på port 1214, eller også kunne man bare bruge mor-fidus, og finder det man skal bruge.