PHP-Updates schützen vor Einschleusen von Schadcode

Gleich zwei Fehler in PHP-Modulen zur Anbindung von SQL-Datenbanken gestatten die Ausführung beliebigen Fremd-Codes. Deshalb sollten Admins von Shared-Hosting-Servern PHP zügig updaten. IT-Sicherheitsforscher Charles Fol fand gleich zwei Fehler in PHP-Datenbankmodulen, die er zur erfolgreichen Ausführung eigenen Codes benutzen konnte. Diese Schwachstellen stecken in allen PHP-Versionen der aktuell gepflegten Versionsbäumen bis einschließlich 7.4.29, 8.0.19 und 8.1.6. Bug #1: postgreSQL Die erste der Lücken (CVE-2022-31625) steckt in der Anbindung an postgreSQL-Datenbanken. Durch ein falsch initialisiertes Array zur Speicherung von Parametern einer Datenbankanfrage könnten Angreifer bei geschickter Kombination von bestimmten Datentypen den Heap korrumpieren und dann eigenen (Schad-)Code auf dem Zielsystem ausführen. Um diese Sicherheitslücke auszunutzen, müssten sie aber zusätzlich auch die Möglichkeit haben, eigenen PHP-Code auf dem Zielsystem auszuführen. Bug #2: MySQL Die zweite Sicherheitslücke steckt in der PHP-Anbindung an MySQL und bekam die CVE-ID CVE-2022-31626. Hier nutzte Fol einen Pufferüberlauf in der PHP-eigenen Implementation des MySQL-Protokolls aus, um den eingeschleusten Code dann auszuführen. Nötige Randbedingungen Aber auch hier ist eine Randbedingung zu erfüllen, um den Schadcode injizieren zu können: Der Zielserver muss dazu eine Verbindung zu einem speziell präparierten MySQL-Server aufbauen können, die außerdem noch ein besonders langes Passwort von über 4000 Zeichen benutzt. Der Sicherheitsdienstleister Tenable ordnete beiden Fehlern einen CVSS-Score von 9.8 (kritisch) zu und geht [...]

2022-06-11T11:16:12+02:00Juni 11th, 2022|Coding, MySQL, PHP, Sicherheit|Kommentare deaktiviert für PHP-Updates schützen vor Einschleusen von Schadcode
Weiterlesen

Die Common Table Expressions in MySQL 8.0

Vor zwei Monaten erschien die Version 8.0 der relationalen Datenbank MySQL von Oracle. Zu den fehlenden Eigenschaften, die das Konkurrenzprodukt PostgreSQL schon seit der Version 8.4 aus dem Jahr 2009 beherrscht, gehören die Common Table Expressions (CTEs). Diese Konstrukte in der Datenbank-Abfragesprache SQL gestatten es, komplexe Querys in überschaubare Chunks aufzuteilen, die danach ähnlich den bekannten Views über ihren Namen benutzt werden können, und das anders als bei einfachen Subquerys auch mehrfach. Beispiel für die Nutzung von CTEs In dem kurzen SQL-Listing im Artikelbild sehen Sie, dass die CTEs vor der Haupt-Query zunächst mit WITH definiert werden müssen. In meinem Beispiel werden in der ersten CTE die Online-Verkäufe aus einer imaginären Sales-Tabelle ausgewählt und dann in der zweiten CTE nach Monaten aggregiert. Die Hauptabfrage berechnet den Anteil eines einzelnen Online-Verkaufs am Monatsumsatz. Common Table Expressions reduzieren dabei nicht nur Redundanzen, sondern verringern auch die Fehleranfälligkeit. Wettbewerber MariaDB hat die CTEs schon seit der Version 10.1 implementiert - seit Version 10.2 vom Mai 2017 kann MariaDB das sogar auch rekursiv…

2018-06-29T08:39:05+02:00Juni 29th, 2018|Coding, MySQL, Webwerkzeuge|Kommentare deaktiviert für Die Common Table Expressions in MySQL 8.0
Weiterlesen

Netbeans 8.2 unterstützt ECMAScript 6/7 und PHP 7

Gute Nachricht für Entwickler: Gerade ist die Open-Source-Entwicklungsumgebung (IDE) NetBeans in Version 8.2 freigegeben worden. In der neuen Version unterstützt NetBeans 8.2 jetzt mit ECMAScript 6 und PHP 7 die zurzeit aktuellen Ausgaben dieser beiden Skriptsprachen. Mit dem erst noch kommenden ECMAScript 7 können Entwickler zumindest schon einmal auf experimenteller Basis arbeiten. Darüber hinaus wird von einer besseren Unterstützung des serverseitigen JavaScript-Frameworks Node.js und von Oracle JET (JavaScript Extension Toolkit) geredet. Mit der IDE NetBeans 8.2 können Entwickler auch mit Docker-Containern kommunizieren. Zugriff und die Verwaltung von Container-Images sind direkt aus der IDE heraus möglich. Außerdem ist ein Profiling-Modus für SQL-Abfrage in die IDE gekommen. Auch bei der Unterstützung von C/C++ gibt es neue Erweiterungen.

2016-10-04T10:48:22+02:00Oktober 4th, 2016|Allgemein, Javascript, MySQL, PHP|Kommentare deaktiviert für Netbeans 8.2 unterstützt ECMAScript 6/7 und PHP 7
Weiterlesen

Sicherheitsupdates für Ruby on Rails

Das Entwickler-Team von Rails hat jetzt Sicherheitsupdates für die letzten drei Hauptserien veröffentlicht. Die Updates mit den Versionsnummern 5.0.0.1, 4.2.7.1 und 3.2.22.3 des Webframeworks beheben eine Schwachstelle in Action View. Über diese Sicherheitslücke waren Angriffe möglich, weil Text, der als html_safe deklariert ist, keine Escape-Sequenzen für Anführungszeichen erhält. Das wird immer dann zum Problem, wenn Programme Benutzereingaben ohne weitere Überprüfung übernehmen wie bei dem nach folgendem Beispiel aus dem Bericht zu der als CVE-2016-6316 (Common Vulnerabilities and Exposures) markierten Schwachstelle: content_tag(:div, "hi", title: user_input.html_safe) Der Bericht weist auch darauf hin, dass einige der Helper-Funktionen wie beispielsweise sanitize Strings bei der Weitergabe als html_safe markieren und dadurch auch betroffen sind. Neben dieser Schwachstelle, die in allen Hauptversionen von 3 bis 5 zu finden sind, gibt es noch ein weiteres Problem, das nur die 4.2.x-Serie betrifft. Das ist zwar weniger kritisch, erlaubt aber das Ausführen einerIS NULL-Abfrage durch das Einfügen eines [nil]-Wertes innerhalb eines Requests. Der CVE-2016-6317-Bericht weist darauf hin, dass Angreifer so keine beliebigen Werte in SQL-Abfragen einfügen, sondere nur nach NULL-Werten suchen oder WHERE-Bedingungen entfernen wollen und können. Deshalb raten die Entwickler dringend zur Aktualisierung von Ruby on Rails. Weiterführende Informationen und die Checksummen der Updates finden Sie in der offiziellen Bekanntmachung.

2016-08-12T11:22:09+02:00August 12th, 2016|Allgemein|Kommentare deaktiviert für Sicherheitsupdates für Ruby on Rails
Weiterlesen

Microsofts SQL Server 2016 ist verfügbar

Microsoft hat seine Datenbanklösung SQL Server 2016 wie angekündigt allgemein verfügbar gemacht. Mehr als ein Jahr lang war sie schon als öffentliche Vorschauversion nutzbar gewesen. Die elfte Auflage der Microsoft-Datenbank bringt das wohl umfassendste Update in der Geschichte dieser Software. In SQL-Server 2016 gibt es unter anderem neue Funktionen im Bereich relationaler Datenspeicherung, Business Intelligence und Information Management. Erstmals wurden auch komplexere Analytics-Funktionen direkt in die Datenbank integriert. Auf diese Weise gleicht Microsoft auch den Funktionsumfang wieder an den des Cloud-Ablegers Azure SQL Database an. Mit Stretch Database besteht jetzt sogar die Möglichkeit, lokale SQL-Server-Datenbanken mit solchen in Azure zu einer Hybridlösung zusammenzuführen. Weitere Details zu Microsofts SQL Server 2016 finden Sie auch bei ZDNet.

2016-06-02T09:45:23+02:00Juni 2nd, 2016|Allgemein, Webwerkzeuge|Kommentare deaktiviert für Microsofts SQL Server 2016 ist verfügbar
Weiterlesen

SQL-Injection-Lücke in xt:Commerce

Die Shop-Software xt:Commerce weist eine Sicherheitslücke auf, die sich zum Einschleusen von SQL-Befehlen ausnutzen lässt, schreiben die Entwickler in ihrem Blog. Es soll angeblich noch keine Hinweise  darauf geben, dass die Lücke schon aktiv von Kriminellen genutzt wurde. Die inzwischen von den xt:Commerce-Entwicklern bereitgestellten fehlerbereinigten Versionen  4.2.00, 4.1.10 und 4.1.00 beseitigen das Problem. Wer also Online-Shops mit xt:Commerce betreibt oder verwaltet, sollte möglichst umgehend auf eine dieser aktuellen Versionen umsteigen. Denn jetzt können kriminelle Angreifer ja durch Vergleich einer verwundbaren und einer abgesicherten Version der in PHP geschriebenen Software für ihre kriminellen Zwecke wertvolle Einzelheiten über die SQL-Injection-Lücke herausfinden…

2015-05-27T10:51:24+02:00Mai 27th, 2015|Allgemein, MySQL, PHP|Kommentare deaktiviert für SQL-Injection-Lücke in xt:Commerce
Weiterlesen

Sicherheitslücke im CMS Drupal geschlossen

Das Drupal Security Team hat jetzt ein Update bereitgestellt, das eine kritische Sicherheitslücke schließt. Bisher konnten Angreifer darüber ohne Authentifizierung mit einem einzelnen POST-Request beliebige SQL-Befehle ausführen und auf diese Weise die Internetseite komplett übernehmen. Das CMS Drupal wird von mehreren bekannten Internetseiten benutzt, darunter die des Weißen Hauses und Musiker-Webseiten wie etwa die von Bob Dylan. Wer Drupal 7 installiert hat, sollte jetzt auch so schnell wie möglich das Core-Update einspielen. Wer den Core seines Drupal-Systems nicht kurzfristig austauschen kann, sollte wenigstens den Patch anwenden, der die problematische  Codezeile mit der Sicherheitslücke entschärft. Die ältere Version des CMS Drupal 6 ist von dem Problem nicht betroffen. Die Lücke steckt im  Datenbank-Layer, der erst mit Drupal 7 eingeführt wurde.

2014-10-16T23:52:23+02:00Oktober 16th, 2014|CSS, HTML, PHP|Kommentare deaktiviert für Sicherheitslücke im CMS Drupal geschlossen
Weiterlesen
Nach oben