Beiträge von kk

  • CVE-2026-109618 und CVE-2026-109619

    Vielen Dank für die vielen positiven Rückmeldungen!

    Ich gebe das Lob aber auch an das gesamte Team weiter, welches hier hinter den Kulissen mitgemacht hat (und u.a. auch den kompletten Build-Cluster pflegt... alleine 10 Server für die PHP-Builds).

    Besonderen Dank auch an Jörg (der uns als allererster am 20.10. auf das anstehende Update aufmerksam gemacht hatte, noch vor allen Mailinglisten) und an Anton (der uns gestern Pizza ins Büro schicken wollte). :)

    Nicht unerwähnt bleiben sollten aber auch Arnaud Le Blanc und Ilija Tovilo, welche den Patch für die beiden CVEs entwickelt und maßgeblich für viele PHP-Versionen angepasst haben, sowie natürlich Remi Collet und Ondřej Surý für das Backporting von Patches in alte Versionen!


    PHP 8.6 steckt ja auch schon in den Startlöchern (wir werden RC4 in Kürze bereitstellen). Wo wir uns aber vermutlich alle einig sind ist, dass das mit PHP so nicht weitergehen kann. Alleine gestern haben wir zwölf Versionen auf sechs Distributionen und meist zwei Architekturen aktualisiert - das waren sage und schreibe 110 Builds mit insgesamt 902 (!) Paketen.


    Wir werden in den nächsten Wochen Strategien entwickeln, wie Kunden "einfacher" zu einer Umstellung auf aktuellere PHP-Versionen überzeugt werden können. Einige Ideen bzw. Feature-Requests gibt es ja schon (z.B. in der Webserver-Verwaltung eine Massen-Umstellung von PHP-Versionen).

    Weitere Vorschläge bislang sind noch:

    - eine Funktion zur gezielten Benachrichtigung betroffener Kunden (mitsamt einer Liste der betroffenen Domains/Subdomains)

    - PHP-Feature pro Domain (durch Kunden) deaktivierbar (z.B. bei statischen Websites)


    Unserer Einschätzung nach dürfte es nur eine Frage der Zeit sein, bis ähnlich kritische Sicherheitslücken gefunden werden; durch KI erhöht sich die Taktung ja dramatisch. Um so wichtiger ist es, die Prozesse rechtzeitig anzupassen.


    Viele Grüße


    -Klaus Keppler

  • CVE-2026-109618 und CVE-2026-109619

    Wir stehen bereits seit kurz nach Mitternacht in den Startlöchern. Das Source-Update ist für 16:00 MESZ angekündigt, die Builds werden pro Distribution und Architektur rund 30-35 Minuten dauern und dann sukzessive bereitgestellt.

    Für PHP < 8.2 wird aber voraussichtlich noch nicht mit sehr kurzfristigen Updates zu rechnen sein (wir haben hierfür die Security-Backports von Remi Collet im Auge), möglicherweise gibt es aber einen Workaround für zumindest einen von zwei Angriffspfaden (Details folgen in Kürze, wir recherchieren noch und bereiten einen separaten Beitrag dazu vor).


    Viele Grüße


    -Klaus Keppler

  • Zugang SSL-Anbieter funktioniert nicht

    Hallo,


    danke für den Hinweis. Hier gab es leider einen Fehler beim Datenbankschema - Upgrades waren nicht betroffen, aber frische Installationen haben hier ein falsches Attribut (NOT NULL) in der betroffenen Spalte. Wir haben das bereits korrigiert, Version 2.19.4 ist eben in der Pipeline und wird dann in den nächsten Stunden online gestellt.

  • Preview: LiveConfig 3.3.0

    Interessant... die Spalte PERMISSIONS.P_ID hat üblicherweise die "auto_increment"-Property.

    Wir haben eben mal ein Upgrade auf einem Debian 13 mit MySQL durchgetestet und hier keine Probleme feststellen können.

    Können Sie noch nachvollziehen, wie seinerzeit die Umstellung von SQLite auf MySQL erfolgt ist? Das mitgelieferte MySQL-Datenbank-Schema enthält auch auto_increment für die PERMISSIONS-Tabelle.

  • Preview: LiveConfig 3.3.0

    Hallo,


    nachdem in Version 3.2.4 hauptsächlich Bugfixes und Detailverbesserungen eingeflossen sind, werden mit der kommenden Version 3.3.0 einige neue Features erscheinen.

    Zu den wichtigsten Änderungen gehören:

    • Browser-basierter Datei-Upload ("Web-FTP"): über Webspace -> Dateien können nun Dateien und auch ganze Verzeichnisse per "drag and drop" per Browser auf den Webspace hochgeladen werden.
    • SSH Key Manager: wenn die SSH-Funktion für Accounts freigeschalten ist, können SSH-Keys nun über LiveConfig verwaltet werden (hinzufügen, entfernen, Einschränkungen bearbeiten). Somit kann eine (unsichere) Passwort-Anmeldung am sshd komplett deaktiviert werden.
    • ARI (ACME Renewal Information): LiveConfig hat das in RFC9773 spezifizierte ARI-Protokoll implementiert, somit entfallen bei Let's Encrypt eventuelle Begrenzungsraten. Weitere Features in dem Zusammenhang sind noch in Arbeit.
    • LAC-Container: die LiveConfig Account Container (LAC) nutzen nun auch seccomp und reduzieren die capabilities, die cGroup-Unterstützung wurde verbessert, die Filterung der Dateisysteme (á la chroot) optimiert, und vieles mehr. Zudem werden LAC-Container von uns nun standardmäßig bei jedem Release (also auf allen Plattformen) automatisiert mit durchgetestet.
    • OAuth 2: LiveConfig beherrscht nun das OAuth-Protokoll (2.0 bzw. 2.1), inklusive Dynamic Client Registration (DCR) und Client ID Metadata Documents (CIMD). Aktuell wird das nur für einen bestimmten Endpoint genutzt (siehe nächster Punkt), künftig werden weitere Endpoints folgen (z.B. als Option für API-Nutzung).
    • MCP Server: LiveConfig kann damit direkt an MCP-Clients (z.B. Claude, ChatGPT) angebunden und durch diese bedient werden. Statt nur "dumm" die REST-API auf MCP zu mappen, stellt LiveConfig einige spezialisierte sog. MCP-Tools bereit, die REST-Funktionen sind darüber (quasi als "Fallback") auch erreichbar. Die Authentifizierung erfolgt sicher über OAuth - jeder MCP-Client erhält also ein "eigenes", einschränkbares Token.

    Die 3.3.0-Preview wird in den nächsten Stunden im Preview-Repository bereitgestellt. Die MCP-Funktionen sind darin noch deaktiviert (hier fehlt noch die Möglichkeit dieses Feature als admin aktivieren/deaktivieren zu können).


    Da die Änderungen sehr umfangreich sind, empfehlen wir die 3.3.0-Preview vorerst nur auf Testsystemen zu nutzen.


    In etwa 4-6 Wochen wird die Preview nochmal aktualisiert, so dass wir voraussichtlich im Oktober das "Release" bereitstellen können.


    Viele Grüße


    -Klaus Keppler

  • Bugreport: Fehlende Spalte USERS.U_REJECTED_COUNT nach Upgrade 2.19.x → 3.2.4

    Die Spalte U_REJECTED_COUNT hat nichts mit der LiveConfig-Datenbank zu tun, sondern ausschließlich mit der lcpolicyd-Datenbank (/var/lib/liveconfig/lcpolicyd.db, SQLite)


    Und diese wird durchaus während eines Upgrades aktualisiert (hinzugefügt), und zwar beim (korrekten) Start vom lcpolicyd.


    Ich gehe davon aus, dass das Upgrade von LiveConfig 2.x auf 3.x nicht vollständig durchgelaufen ist (möglicherweise aufgrund eines anderen Fehlers?) und dadurch abgebrochen wurde.

    Gerne können Sie uns die entsprechenden Abschnitte aus /var/log/apt/term.log schicken, wo die Ausgaben des Upgrades noch stehen dürften.


    Insgesamt liegt also kein allgemeiner Fehler vor.

  • LiveConfig 3.2.4

    Hallo,


    ab sofort steht LiveConfig 3.2.4 zum Download bereit.


    Dieses Update behebt einige Fehler und verbessert die Stabilität, alle Details sind wie immer im Changelog zu finden.

    Unter Anderem wurde sehr viel Energie in die ACME-Unterstützung gesteckt, da das Thema TLS-Automatisierung immer mehr Beachtung findet.


    Größere Änderungen (neue Features) stecken zudem in der kommenden Version 3.3.0, welche in den nächsten Tagen als Preview bereitgestellt wird. Details dazu folgen dann separat.


    Viele Grüße


    -Klaus Keppler

  • PHP-Updates 8.5-7.4

    Hallo,


    wir haben eben die PHP-Pakete 8.5/8.4/8.3/8.2/8.1/8.0/7.4 aktualisiert. Updates für 7.3-5.6 folgen vermutlich auch noch in Kürze.

    Es gibt mindestens zwei kritische Probleme (einmal in gd, einmal bei phar) welche mit diesen Updates behoben werden.


    Insgesamt haben wir eben 581 (!) aktualisierte .deb-Pakete bereitgestellt.


    Viele Grüße


    -Klaus Keppler

  • Autodiscover unter LC3

    Autodiscover (für Outlook) ist inzwischen irrelevant - Outlook unterstützt das nicht mehr für "fremde" Server (seit Outlook 2019).

    AutoConfig (für Thunderbird und vmtl auch K9-Mail) wird tatsächlich derzeit vereinfacht - hier wird keine separate IP mehr erforderlich sein.

  • Updates für *alle* PHP-Pakete (5.6-8.5)

    Hallo,


    ab sofort stehen Updates für die von uns erstellten PHP-Pakete der Versionen 5.6 bis 8.5 (für Debian und Ubuntu) in den Repositories zum Download bereit.

    (5.6/7.0/7.1/7.2/7.3/7.4/8.0/8.1/8.2/8.3/8.4/8.5, Debian 11/12/13, Ubuntu 22/24/26, AMD64/ARM64)


    Es wurde u.a. ein Fehler im Zusammenhang mit openssl_encrypt behoben - offenbar so kritisch, dass Remi Collet den entsprechenden Patch gleich bis zur v5.6 zurückportiert hat.


    Viele Grüße


    -Klaus Keppler