PHP-Updates schützen vor Einschleusen von Schadcode

Gleich zwei Fehler in PHP-Modulen zur Anbindung von SQL-Datenbanken gestatten die Ausführung beliebigen Fremd-Codes. Deshalb sollten Admins von Shared-Hosting-Servern PHP zügig updaten. IT-Sicherheitsforscher Charles Fol fand gleich zwei Fehler in PHP-Datenbankmodulen, die er zur erfolgreichen Ausführung eigenen Codes benutzen konnte. Diese Schwachstellen stecken in allen PHP-Versionen der aktuell gepflegten Versionsbäumen bis einschließlich 7.4.29, 8.0.19 und 8.1.6. Bug #1: postgreSQL Die erste der Lücken (CVE-2022-31625) steckt in der Anbindung an postgreSQL-Datenbanken. Durch ein falsch initialisiertes Array zur Speicherung von Parametern einer Datenbankanfrage könnten Angreifer bei geschickter Kombination von bestimmten Datentypen den Heap korrumpieren und dann eigenen (Schad-)Code auf dem Zielsystem ausführen. Um diese Sicherheitslücke auszunutzen, müssten sie aber zusätzlich auch die Möglichkeit haben, eigenen PHP-Code auf dem Zielsystem auszuführen. Bug #2: MySQL Die zweite Sicherheitslücke steckt in der PHP-Anbindung an MySQL und bekam die CVE-ID CVE-2022-31626. Hier nutzte Fol einen Pufferüberlauf in der PHP-eigenen Implementation des MySQL-Protokolls aus, um den eingeschleusten Code dann auszuführen. Nötige Randbedingungen Aber auch hier ist eine Randbedingung zu erfüllen, um den Schadcode injizieren zu können: Der Zielserver muss dazu eine Verbindung zu einem speziell präparierten MySQL-Server aufbauen können, die außerdem noch ein besonders langes Passwort von über 4000 Zeichen benutzt. Der Sicherheitsdienstleister Tenable ordnete beiden Fehlern einen CVSS-Score von 9.8 (kritisch) zu und geht [...]

2022-06-11T11:16:12+02:00Juni 11th, 2022|Coding, MySQL, PHP, Sicherheit|Kommentare deaktiviert für PHP-Updates schützen vor Einschleusen von Schadcode
Weiterlesen

Sicherheitslücke in Confluence wird massiv ausgenutzt

Tausende Confluence-Server wurden immer noch nicht gepatcht. Das US-Cybercom warnt vor der Sicherheitslücke, die inzwischen schon massenhaft ausgenutzt wird. Die vor zwei Wochen gepatchte Sicherheitslücke in der Wiki-Software Confluence wird inzwischen massenhaft ausgenutzt, schreibt die US-Militärorganisation Cybercom in einer öffentlichen Warnung. Die Sicherheitslücke erlaube es, eigenen Code auf angegriffenen Servern auszuführen. "Die massenhafte Ausnutzung von Atlassian Confluence CVE-2021-26084 ist im Gange und wird voraussichtlich noch zunehmen. Bitte patchen Sie sofort, wenn Sie es noch nicht getan haben", teilte US Cybercom am Freitag vor dem Labor Day in einem Tweet mit. Der Confluence-Hersteller Atlassian hatte am 25. August einen Hinweis auf die Sicherheitslücke (CVE-2021-26084) veröffentlicht und sie mit den Versionen 6.13.23, 7.4.11, 7.11.6, 7.12.5 und 7.13.0 behoben. Betroffen sind nur die Nutzer von selbst gehosteten Confluence-Servern, nicht die der Cloud-Variante. Atlassian selbst nennt die Sicherheitslücke "kritisch". Das Problem steckte in der OGNL-Implementierung Bei der Schwachstelle handelt es sich um einen Fehler in der Object-Graph Navigation Language (OGNL), der dazu führt, dass letztlich beliebiger Code auf dem attackierten Server ausgeführt werden kann. Meist ist zur Ausnutzung der Lücke zwar eine Authentifizierung nötig, aber in Ausnahmefällen gibt es diese Einschränkung nicht. Deshalb hatten mehrere Sicherheitsforscher einen Proof-of-Concept-Code veröffentlicht, der zeigt, wie die Sicherheitslücke ausgenutzt werden kann. "Am 31. August identifizierte Censys 13.596 verwundbare Confluence-Instanzen, während diese Zahl [...]

2021-09-07T08:18:02+02:00September 7th, 2021|Coding, Sicherheit, Webwerkzeuge|Kommentare deaktiviert für Sicherheitslücke in Confluence wird massiv ausgenutzt
Weiterlesen

Ende der Mail-App von GMX und Web.de

Die beiden Email-Provider GMX und Web.de (beide gehören zu United Intnernet) stellen zum 31. März 2020 ihre Mail-App für Windows 10 wegen stark zurückgegangener Nutzerzahlen ein. An diesem Tag werden die Server abgeschaltet und alle mit dem Programm gespeicherte Entwürfe und Signaturen dauerhaft gelöscht. Beide Anbieter empfehlen in einer gleichlautenden Meldung, noch benötigte Dateien bis Ende März zu sichern. Als Alternative gäbe es Web.de- oder GMX Mailcheck. Diese Tools für den Browser oder für Windows 10 informieren über eingehende Mails und gestatten auch das Lesen und Schreiben von E-Mails außerhalb des eigentlichen Webclients. Allerdings sind die wenigen Nutzer, die dieses Produkt im Microsoft Store schon ausprobiert haben, anscheinend damit nicht sehr zufrieden. Es gibt sogar eine Begründung für die Abschaltung der Mail App im Microsoft Store: Das Programm sei einfach nicht sehr beliebt gewesen, sagen die Provider. "Nur wenige Nutzer haben die GMX Mail App für Windows-Smartphones, PC und Laptop aktuell noch im Einsatz. Die überwiegende Mehrheit verwaltet auf diesen Geräten das eigene E-Mail-Postfach heute direkt über den Webmail-Client im Browser", liest man dort. Zusammenhang mit dem Ende von Windows 10 Mobile Ursprünglich hatten GMX und Web.de die App ja für Windows 10 Mobile entwickelt, und dieses Microsoft-Betriebssystem für Smartphones wird wie auch Windows 7 seit dem 14. [...]

2020-01-29T12:01:05+02:00Januar 29th, 2020|Browser, Webwerkzeuge|Kommentare deaktiviert für Ende der Mail-App von GMX und Web.de
Weiterlesen

Cloudflares neue DNS-Server sind online

Ab sofort können die DNS-Server beziehungsweise Resolver des US-Unternehmens Cloudflare unter den öffentlichen IP-Adressen 1.1.1.1 und 1.0.0.1 genutzt werden. Das kündigt das Unternehmen in einem Blogeintrag an. Die beiden Server sind für rekursive Domainauflösung ausgelegt, wie es im Internet normalerweise Standard ist. Außerdem unterstützen beide Server DNS-over-HTTPS und DNS-over-TLS, wodurch die DNS-Abfragen selbst verschlüsselt werden können. Cloudflare weist besonders auf die schnellen Reaktionszeiten und auf die Sicherheit dieses DNS-Systemes hin. Die Server haben sehr geringe Latenzzeiten Das Unternehmen hat den DNS-Dienst im März 2018 auf 31 Rechenzentren weltweit verteilt. Ein Großteil der Standorte befindet sich in Europa, in China und in den USA, deshalb sind kurze Latenzzeiten zumindest für diese Kontinente und Länder nicht erstaunlich. Erste Tests zeigen gute Resultate. Nykolas Z vom Medium-Blog hat auch die Leistung verglichen. Danach kann keiner der dabei getesteten DNS-Dienste einen großen Geschwindigkeitsvorsprung erreichen, aber Cloudflare ist immer an erster Stelle dabei. Verglichen wurde die Cloudflare-DNS mit den Servern von Google (8.8.8.8), von Quad9 (9.9.9.9 ) und von OpenDNS (208.67.222.222). Eine Frage der Datensicherheit Für die dauerhafte Nutzung stellt sich die Frage, ob man als Nutzer seine über das Internet gesendeten Daten an ein unreguliertes Unternehmen, insbesondere aus Staaten wie den USA, übertragen sollte. Denn DNS-Server speichern zum Beispiel aufgerufene Domains [...]

2018-04-03T16:14:08+02:00April 3rd, 2018|Webwerkzeuge|Kommentare deaktiviert für Cloudflares neue DNS-Server sind online
Weiterlesen

Samba-Lücke auf Linux-Servern

Nicht etwa in der Client-Software, sondern in der Datei- und Druckserver-Software Samba auf den Linux-Servern erzeugte eine Änderung an der Version 3.5.0 schon vor 7 Jahren! eine Sicherheitslücke (CVE-2017-7494) auf, die es wirklich in sich hat. Durch diese Lücke können Angreifer aus der Ferne beliebigen Programmcode auf dem Linux-Server ausführen. Unter Ausnutzung der Lücke könnte man sogar einen Wurm wie  WannaCry, der in den letzten zwei Wochen mehr als 200.000 Rechner lahmgelegt hat, programmieren, der sich dann anstatt von Windows-PC zu Windows-PC von Linux-Rechner zu Linux-Rechner  weiterverbreiten könnte. Ein passender Exploit zu diesem Zweck ist schon im Umlauf. Die meistverbreiteten Linux-Distributionen von Debian, Red Hat, Suse und Ubuntu  haben inzwischen schon Sicherheitsupdates für Samba bereitgestellt, die diese Lücke dicht machen. Admins sollten die Updates auch umgehend installieren. Die Sicherheitslücke steckt nicht nur in den Versionen des alten Samba-Zweigs 3.x, sondern auch in der neueren Hauptversion Samba 4.

2017-05-26T08:20:49+02:00Mai 26th, 2017|Allgemein, Webwerkzeuge|Kommentare deaktiviert für Samba-Lücke auf Linux-Servern
Weiterlesen

Günstige SSD Samsung 750 Evo beschleunigt Client und Server

Für den Arbeitsplatzrechner hat es sich schon herumgesprochen, aber auch Internetserver können durch den Einsatz von Halbleiter-Festplatten um mehr als eine Größenordnung beschleunigt werden. Gerade wenn man auf dem Internetserver Anwendungen fährt, die häufig auf die Festplatte zugreifen müssen (typischerweise Datenbank-Anwendungen), ist die SSD schon länger das Mittel der Wahl, die Auslieferung der Seiten zu beschleunigen. Dem kommt auch die neue Einstiegsserie SSD 750 Evo von Samsung, die die teureren 850 Evo und 850 Pro ersetzt. Die 2,5-Zoll-Laufwerke der 750-Evo-Reihe sollen bald in Kapazitäten von 120, 250 und 500 GByte zu kaufen sein. Die Anbindung ans System erfolgt per 6-GBit/s-SATA-Schnittstelle. Als Cache dienen 256 MByte DRAM. Die unverbindlichen Preisempfehlungen liegen für das 120-GByte-Modell bei 65 Euro, für die 250-GByte-Version bei 89 Euro und bei 159 Euro für die 500-GByte-Version. Online ist die mittlere Variante schon ab rund 70 Euro erhältlich.

2016-05-27T08:00:19+02:00Mai 27th, 2016|Allgemein|Kommentare deaktiviert für Günstige SSD Samsung 750 Evo beschleunigt Client und Server
Weiterlesen

Zend Server beherrscht jetzt PHP 7

Nach der Übernahme von Zend im Oktober 2015 hat Rogue Wave jetzt das erste große Zend Server Release bekannt gegeben. Die Version 9 des Applikationsservers kann mit dem im Dezember 2015 veröffentlichten PHP 7 umgehen, was die Anwendungen merklich schneller machen soll. Weitere Neuerungen sind Möglichkeiten zum Code Tracing und Black Box Recording, die bei der Entwicklung und im Betrieb helfen können, Fehlerquellen schneller zu finden. Mit diesem Update stellt Rogue Wave außerdem Zend Server Professional Plus und Zend Server Enterprise Edition vor. Abonnenten dieser beiden Dienste können sich nicht nur bei Fragen zu Zend Server selbst an den Support des Unternehmens wenden, sondern sie haben auch Zugriff auf Experten zu weiteren Themen wie beispielsweise CentOS, Apache, MySQL und PHP. Damit will Rogue Wave Hilfe beim Umgang mit dem Open-Source-Stack unter auf Zend Server gehosteten PHP-Anwendungen bieten.

2016-05-13T15:15:14+02:00Mai 13th, 2016|Allgemein, Webwerkzeuge|Kommentare deaktiviert für Zend Server beherrscht jetzt PHP 7
Weiterlesen

Update: SSH-Client PuTTY 0.66

Der SSH-Client PuTTY ist unter Windows ziemlich beliebt, zum Beispiels für SSH-Verbindungen mit einem Server im Internet. Die neue Version 0.66 schließt insbesondere eine seit Version 0.54 vorhandene Sicherheitslücke im Terminal-Emulator. Die Version 0.66, die der Entwickler Simon Tatham soeben veröffentlicht hat, ist aber kein reiner Sicherheitsupdate - sie bringt auch ein paar kleinere Bugfixes beispielsweise für das neue Microsoft-Betriebssystem Windows 10 und Funktionserweiterungen wie zusätzliche Kommandozeilenoptionen mit.

2015-11-08T20:03:51+02:00November 8th, 2015|Allgemein|Kommentare deaktiviert für Update: SSH-Client PuTTY 0.66
Weiterlesen

Sicherheitslücken im PHP File Manager

Das Programm PHP File Manager kann man für nur 5 Dollar kaufen. Man installiert es dann auf seinem Internetserver und kann danach beliebige Dateien zwischen seinem PC und dem Server einfach mit dem Browser austauschen. Dummerweise können das alle anderen auch – vom Programmierer bis zum Hacker! Weil es so bequem ist, nutzen offensichtlich auch viele große Unternehmen das Tool zum Dateitransfer. Dazu gehören beispielsweise Eneco, Nintendo, Danone, Nestle, Loreal, EON, Siemens, Vattenfall, Oracle, Oxford, Hilton, T-Mobile, CBS, UPC und 3M (und vermutlich noch viele andere), von deren Internetservern seitdem jedermann vertrauliche Dateien ohne Probleme herunterladen kann. Denn in dem PHP-Skript PHP File Manager schlummern seit mindestens fünf Jahren mehrere kritische Sicherheitslücken, die der Hersteller kennt, aber einfach nicht schließt. Darauf macht Security-Berater Sijmen Ruwhof in seinem Blog jetzt aufmerksam. So soll es zum Beispiel durch zwei Lücken möglich sein, über das Skript ohne Authentifizierung Code auf den Server zu laden und auch auszuführen. Das Schärfste daran ist aber ein speziell versteckter Superuser mit dem Namen  ****__DO_NOT_REMOVE_THIS_ENTRY__****,  der in allen Installationen des File Managers dasselbe Passwort nutzt. Um es Hackern einfach zu machen, ist dies Passwort auch gleich als MD5-Hash im Script. Hersteller Revivedwire hat den PHP File Manager inzwischen auf verschämte Art und Weise auf seinem Vertriebsserver gesperrt. Man liest dort ein unverfängliches „Wir konnten die aufgerufene Seite leider [...]

2015-07-28T10:31:10+02:00Juli 28th, 2015|Allgemein, Webwerkzeuge|Kommentare deaktiviert für Sicherheitslücken im PHP File Manager
Weiterlesen

SSH-Client PuTTY 0.65 beseitigt Fehler

Der SSH-Client PuTTY wird unter Windows gern beutzt, zum Beispiel für SSH-Verbindungen mit einem Server im Internet. Die neue Version 0.65, die ihr Entwickler Simon Tatham gerade veröffentlicht hat, korrigiert mehrere Fehler, einen davon sogar schon zum zweiten Mal. PuTTY 0.65 behebt mehrere Fehler mit der Konfigurationsoberfläche, von denen einer schon behoben und dann in Version 0.64 wieder aufgetaucht war. Ein zweiter behobener Fehler konnte die Ursache dafür sein, dass die Oberfläche unter Windows Vista gar nicht erst erschien. Außerdem behebt die aktuelle Version Programmabstürze bei SSH-Verbindungen mit Connect-Sharing und auch einen Fehler des SFTP-Clients PSFTP, der sich jetzt automatisch selbst beendet, wenn ein Befehl in einer Batch-Datei scheitert. Alle behobenen Fehler sind auf tartarus.org gelistet. Zu den wenigen Neuheiten in PuTTY 0.65 gehören Verbesserungen der Ablaufgeschwindigkeit unter Unix (64-Bit) und die Erweiterung der Log-Funktion: Putty schreibt nun auch die Quelle eingehender Verbindungen bei lokalen und dynamisch weitergeleiteten Ports sowie die Prozess-Kennung bei Downstream-Verbindungen im Connection-Sharing-Modus mit ins Log. Sie können die Putty-Version 0.65 von der Downloadseite herunterladen. Weiteren Neuerungen von Crypto-Algorithmen wie Elliptischen Kurven und ChaCha20, werden zurzeit noch bearbeitet, so dass man sie nur in den Entwicklerversionen testen könne, erklärt dazu Entwickler Tatham.

2015-07-27T16:53:55+02:00Juli 27th, 2015|Allgemein|Kommentare deaktiviert für SSH-Client PuTTY 0.65 beseitigt Fehler
Weiterlesen
Nach oben