Beiträge von kk

  • LC3 and Sury repository

    The PHP packages for older versions provided by us (see here) also contain the patches against php2shell, so this would have been the most simple way to just install php-7.4-opt.

    How do the permissions for /etc/liveconfig/lua.d/ and the files therein look like? (please run ls -al /etc/liveconfig/lua.d).

  • CVE-2026-109618 und CVE-2026-109619

    Weil wir einige Rückfragen diesbezüglich hatten und haben, hier noch ein paar Informationen/Nachträge zu den Patches:

    • Unsere PHP-Pakete für PHP 5.6 bis 8.1 basieren auf den Security-Backports von Remi Collet (php-src-security).
    • Die php2shell-Patches sind dort "nur" für PHP 7.2 bis 8.1 vorhanden, für PHP 5.6/7.0/7.1 haben wir den Patch aus den Paketen von Ondřej Surý (deb.sury.org) integriert.
    • Am 22.10. gab es bei den Paketen von deb.sury.org noch mal ein Update; hier wurde aber "nur" ein Patch für GHSA-54hq-v5wp-fqgv integriert, der in dem Repository von Remi Collet bereits integriert war (deshalb betrifft das "unsere" Pakete nicht).
    • Es gibt zudem ein alternatives Patch-Set von Anton Barinov; eigenen Angaben nach sind diese etwas umfangreicher und führen zu keinem Fehler beim Upload-Progress-Bar bei einigen Anwendungen. Wir haben uns diese angesehen (schaut auf den ersten Blick alles plausibel aus), uns aber dafür entschieden beim "offiziellen" Minimal-Patch der PHP-Foundation zu bleiben - schlichtweg weil dieser Pfad vermutlich intensiver deployed/getestet ist. Wer Probleme beim Upload mit PHP 5.6-8.1 hat, möge doch bitte auf ein aktuelles PHP wechseln...

  • CVE-2026-109618 und CVE-2026-109619

    Vielen Dank für die vielen positiven Rückmeldungen!

    Ich gebe das Lob aber auch an das gesamte Team weiter, welches hier hinter den Kulissen mitgemacht hat (und u.a. auch den kompletten Build-Cluster pflegt... alleine 10 Server für die PHP-Builds).

    Besonderen Dank auch an Jörg (der uns als allererster am 20.10. auf das anstehende Update aufmerksam gemacht hatte, noch vor allen Mailinglisten) und an Anton (der uns gestern Pizza ins Büro schicken wollte). :)

    Nicht unerwähnt bleiben sollten aber auch Arnaud Le Blanc und Ilija Tovilo, welche den Patch für die beiden CVEs entwickelt und maßgeblich für viele PHP-Versionen angepasst haben, sowie natürlich Remi Collet und Ondřej Surý für das Backporting von Patches in alte Versionen!


    PHP 8.6 steckt ja auch schon in den Startlöchern (wir werden RC4 in Kürze bereitstellen). Wo wir uns aber vermutlich alle einig sind ist, dass das mit PHP so nicht weitergehen kann. Alleine gestern haben wir zwölf Versionen auf sechs Distributionen und meist zwei Architekturen aktualisiert - das waren sage und schreibe 110 Builds mit insgesamt 902 (!) Paketen.


    Wir werden in den nächsten Wochen Strategien entwickeln, wie Kunden "einfacher" zu einer Umstellung auf aktuellere PHP-Versionen überzeugt werden können. Einige Ideen bzw. Feature-Requests gibt es ja schon (z.B. in der Webserver-Verwaltung eine Massen-Umstellung von PHP-Versionen).

    Weitere Vorschläge bislang sind noch:

    - eine Funktion zur gezielten Benachrichtigung betroffener Kunden (mitsamt einer Liste der betroffenen Domains/Subdomains)

    - PHP-Feature pro Domain (durch Kunden) deaktivierbar (z.B. bei statischen Websites)


    Unserer Einschätzung nach dürfte es nur eine Frage der Zeit sein, bis ähnlich kritische Sicherheitslücken gefunden werden; durch KI erhöht sich die Taktung ja dramatisch. Um so wichtiger ist es, die Prozesse rechtzeitig anzupassen.


    Viele Grüße


    -Klaus Keppler

  • CVE-2026-109618 und CVE-2026-109619

    Die PHP-Versionen 5.6 bis 7.3 wurden nun auch aktualisiert - damit sind alle Pakete aller aktiven Distributionen (plus Debian 11 - aus Gnade) gepatched.


    Weitere Details dann morgen - heute war ein langer Tag. :)

  • CVE-2026-109618 und CVE-2026-109619

    Wir stehen bereits seit kurz nach Mitternacht in den Startlöchern. Das Source-Update ist für 16:00 MESZ angekündigt, die Builds werden pro Distribution und Architektur rund 30-35 Minuten dauern und dann sukzessive bereitgestellt.

    Für PHP < 8.2 wird aber voraussichtlich noch nicht mit sehr kurzfristigen Updates zu rechnen sein (wir haben hierfür die Security-Backports von Remi Collet im Auge), möglicherweise gibt es aber einen Workaround für zumindest einen von zwei Angriffspfaden (Details folgen in Kürze, wir recherchieren noch und bereiten einen separaten Beitrag dazu vor).


    Viele Grüße


    -Klaus Keppler

  • Zugang SSL-Anbieter funktioniert nicht

    Hallo,


    danke für den Hinweis. Hier gab es leider einen Fehler beim Datenbankschema - Upgrades waren nicht betroffen, aber frische Installationen haben hier ein falsches Attribut (NOT NULL) in der betroffenen Spalte. Wir haben das bereits korrigiert, Version 2.19.4 ist eben in der Pipeline und wird dann in den nächsten Stunden online gestellt.

  • Preview: LiveConfig 3.3.0

    Interessant... die Spalte PERMISSIONS.P_ID hat üblicherweise die "auto_increment"-Property.

    Wir haben eben mal ein Upgrade auf einem Debian 13 mit MySQL durchgetestet und hier keine Probleme feststellen können.

    Können Sie noch nachvollziehen, wie seinerzeit die Umstellung von SQLite auf MySQL erfolgt ist? Das mitgelieferte MySQL-Datenbank-Schema enthält auch auto_increment für die PERMISSIONS-Tabelle.

  • Preview: LiveConfig 3.3.0

    Hallo,


    nachdem in Version 3.2.4 hauptsächlich Bugfixes und Detailverbesserungen eingeflossen sind, werden mit der kommenden Version 3.3.0 einige neue Features erscheinen.

    Zu den wichtigsten Änderungen gehören:

    • Browser-basierter Datei-Upload ("Web-FTP"): über Webspace -> Dateien können nun Dateien und auch ganze Verzeichnisse per "drag and drop" per Browser auf den Webspace hochgeladen werden.
    • SSH Key Manager: wenn die SSH-Funktion für Accounts freigeschalten ist, können SSH-Keys nun über LiveConfig verwaltet werden (hinzufügen, entfernen, Einschränkungen bearbeiten). Somit kann eine (unsichere) Passwort-Anmeldung am sshd komplett deaktiviert werden.
    • ARI (ACME Renewal Information): LiveConfig hat das in RFC9773 spezifizierte ARI-Protokoll implementiert, somit entfallen bei Let's Encrypt eventuelle Begrenzungsraten. Weitere Features in dem Zusammenhang sind noch in Arbeit.
    • LAC-Container: die LiveConfig Account Container (LAC) nutzen nun auch seccomp und reduzieren die capabilities, die cGroup-Unterstützung wurde verbessert, die Filterung der Dateisysteme (á la chroot) optimiert, und vieles mehr. Zudem werden LAC-Container von uns nun standardmäßig bei jedem Release (also auf allen Plattformen) automatisiert mit durchgetestet.
    • OAuth 2: LiveConfig beherrscht nun das OAuth-Protokoll (2.0 bzw. 2.1), inklusive Dynamic Client Registration (DCR) und Client ID Metadata Documents (CIMD). Aktuell wird das nur für einen bestimmten Endpoint genutzt (siehe nächster Punkt), künftig werden weitere Endpoints folgen (z.B. als Option für API-Nutzung).
    • MCP Server: LiveConfig kann damit direkt an MCP-Clients (z.B. Claude, ChatGPT) angebunden und durch diese bedient werden. Statt nur "dumm" die REST-API auf MCP zu mappen, stellt LiveConfig einige spezialisierte sog. MCP-Tools bereit, die REST-Funktionen sind darüber (quasi als "Fallback") auch erreichbar. Die Authentifizierung erfolgt sicher über OAuth - jeder MCP-Client erhält also ein "eigenes", einschränkbares Token.

    Die 3.3.0-Preview wird in den nächsten Stunden im Preview-Repository bereitgestellt. Die MCP-Funktionen sind darin noch deaktiviert (hier fehlt noch die Möglichkeit dieses Feature als admin aktivieren/deaktivieren zu können).


    Da die Änderungen sehr umfangreich sind, empfehlen wir die 3.3.0-Preview vorerst nur auf Testsystemen zu nutzen.


    In etwa 4-6 Wochen wird die Preview nochmal aktualisiert, so dass wir voraussichtlich im Oktober das "Release" bereitstellen können.


    Viele Grüße


    -Klaus Keppler

  • Bugreport: Fehlende Spalte USERS.U_REJECTED_COUNT nach Upgrade 2.19.x → 3.2.4

    Die Spalte U_REJECTED_COUNT hat nichts mit der LiveConfig-Datenbank zu tun, sondern ausschließlich mit der lcpolicyd-Datenbank (/var/lib/liveconfig/lcpolicyd.db, SQLite)


    Und diese wird durchaus während eines Upgrades aktualisiert (hinzugefügt), und zwar beim (korrekten) Start vom lcpolicyd.


    Ich gehe davon aus, dass das Upgrade von LiveConfig 2.x auf 3.x nicht vollständig durchgelaufen ist (möglicherweise aufgrund eines anderen Fehlers?) und dadurch abgebrochen wurde.

    Gerne können Sie uns die entsprechenden Abschnitte aus /var/log/apt/term.log schicken, wo die Ausgaben des Upgrades noch stehen dürften.


    Insgesamt liegt also kein allgemeiner Fehler vor.

  • LiveConfig 3.2.4

    Hallo,


    ab sofort steht LiveConfig 3.2.4 zum Download bereit.


    Dieses Update behebt einige Fehler und verbessert die Stabilität, alle Details sind wie immer im Changelog zu finden.

    Unter Anderem wurde sehr viel Energie in die ACME-Unterstützung gesteckt, da das Thema TLS-Automatisierung immer mehr Beachtung findet.


    Größere Änderungen (neue Features) stecken zudem in der kommenden Version 3.3.0, welche in den nächsten Tagen als Preview bereitgestellt wird. Details dazu folgen dann separat.


    Viele Grüße


    -Klaus Keppler