Ungekürzte Fehlerausgabe trotz Einstellung "Privat"

Hallo,

stellt man die Fehlerausgabe im ACP auf "Privat" sollte ja allein der kryptische Fehlerzahlencode ausgegeben werden. Das scheint auch in den meisten Fällen zu klappen, z.B. bei einem vergessenen Semikolon im Code.

Folgender Fehler wird trotz der Einstellung jedoch vollständig ausgegeben, inkl. PHP-Version, WSC-Version und Stack Trace:

• Error Type:

  PDOException

• Error Message:

  SQLSTATE[HY000] [1203] User DB already has more than 'max_user_connections' active connections

• Error Code:

  1203

• File:

  */lib/system/database/MySQLDatabase.class.php (45)

• Stack Trace:

  • #0 */lib/system/database/MySQLDatabase.class.php (45):
  • PDO->__construct('[redacted]', '[redacted]', '[redacted]', '[redacted]')
  • #1 */lib/system/database/Database.class.php (119):
  • wcf\system\database\MySQLDatabase->connect()
  • #2 */lib/system/WCF.class.php (359):
  • wcf\system\database\Database->__construct('[redacted]', '[redacted]', '[redacted]', '[redacted]', '[redacted]')
  • #3 */lib/system/WCF.class.php (164):
  • wcf\system\WCF->initDB()
  • #4 */global.php (13):
  • wcf\system\WCF->__construct()
  • #5 */index.php (8):
  • require_once('*/global.php')

Anscheinend läuft diese Meldung irgendwie an der Einstellung vorbei.

Beste Grüße,

Less

Quote from scy

Auch als Gast ?

Ja, ich habe mich zur Rekonstruktion des Ganzen extra ausgeloggt. Und wie gesagt, bei anderen Fehlern erscheint ja die private Fehlermeldung, sprich allein der Zahlencode.

Ich vermute, der Fehler wird ungekürzt geschmissen, weil die Einstellung wegen der überlasteten MySQL-Verbindung garnicht abgefragt werden kann. Dann wäre es jedoch sinnvoll, in solchen Fällen auf die minimalste, sprich private Ausgabe zurückzufallen. Das ist die sicherste Variane und für den Admin entsteht ja kein Nachteil, weil er die Meldung im Log einsehen kann.

Barungar Stimmt, die Variable steht als EXCEPTION_PRIVACY in der options.inc.php und das korrekt als "private". Meine Vermutung, dass sie erst aus der DB geholt werden muss, stimmt also nicht. Es war auch nur eine Idee.

Die Ursache, warum dieser konkrete Fehler trotzdem ungekürzt ausgegeben wird, muss also woanders liegen.

Edit: Mein Beitrag hat sich mit dem Beitrag von jens1o überschnitten.

Quote from Barungar

Tja, dann wäre es in meinem Augen ggf. mal eine Option darüber nachzudenken, die Optionen zu laden bevor man die DB-Initialisiert...

Das wäre vielleicht eine Variante. Die andere wäre, die private Ausgabe von vornherein als Fallback zu nutzen.

Diese Entscheidung halte ich für äußerst bedenklich!

Es geht ja nicht allein um eine Ausgabe bei einem Fehler, sondern auch bei zuvielen Zugriffen / einer Überlastung, werden sensible Daten wie die PHP-Version, die WCF-Version, Datenbankname, etc. für jeden gespoilert! Z.B. werden bei einem DOS-Angriff (der zur Überlastung führt) dem Angreifer dann noch diese Daten auf dem Silbertablett serviert.

Hacker welcome!

Für alle, die neu auf diesen Thread stoßen zusammengefasst: Bei einer Datenbank-Überlastung wird trotz anderslautender Einstellung im ACP eine ungekürzte, vollständige Fehlermeldung ausgegeben - auch Gästen.

...oder als Standard die eingeschränkte Variante ausliefern können (welche man bei Bedarf im ACP dann für alle anderen Fälle ausführlicher einstellen kann).

Such mal nach Exploit.

Hanashi Wieso lässt du dann die Versions-Nummer nicht im Footer deiner Seite anzeigen? Optik, hmm?... Den meisten wird es genau um diese Sicherheit gehen, nicht alles zu verraten. Und genau diese Sicherheit hebelt die ungekürzte Fehlermeldung aus, weil sie in einem kritischen Fall erscheint, ganz gleich, was man im ACP eingestellt hat.

Edit: Ich habe die Ausgabe mal als Screenshot an meinem obigen Beitrag angehängt.