Beiträge von kk

  • WICHTIG: "ShellShock"-Exploit! Gefährlicher als Heartbleed!

    Hallo,


    vielleicht haben Sie bereits von der Sicherheitslücke in der Bourne Again Shell (kurz bash) gehört. Diese Lücke ist absolut kritisch. Wir haben in ersten Tests erfolgreich auch über PHP-Scripte, die via suPHP ausgeführt werden und die shell_exec-Funktion (bzw. Backticks) aufrufen, in eigene Testsysteme "einsteigen" können. Der eigentliche "Exploit" besteht quasi nur aus einem einzigen, spziell präparierten HTTP-Aufruf!


    Im Gegensatz zu Heartbleed, welches ein mittel-/langfristiges Ausspähen verschlüsselter Daten ermöglichte, gibt es mit ShellShock einen sofortigen, unmittelbaren Serverzugriff! Potenziell verwundbare PHP-Scripte lassen sich mittels Suchmaschinen schnell finden.


    Für PHP Wheezy wurde am 25.09. gegen 01:00 ein erstes Patch bereitgestellt; mit dem nun vorliegenden zweiten Patch (23:18) sollte die Lücke vollständig geschlossen sein. Für Debian Squeeze dürfte via LTS in Kürze auch ein weiteres Update erfolgen.


    Für ältere Linux-Systeme gibt es nur zwei Möglichkeiten: manuell bash neu compilieren, oder mittels LD_PRELOAD-Trick einen Workaround installieren. Eine ausführliche Beschreibung haben wir in unserer Wissensdatenbank bereitgestellt: http://www.liveconfig.com/de/kb/23


    Bitte nehmen Sie diese Sicherheitslücke sehr ernst! Aktualisieren Sie umgehend Ihre Server, oder installieren Sie das in KB#23 beschriebene Workaround. Nach Medienberichten existieren bereits die ersten automatisch verbreitenden Würmer.


    Viele Grüße


    -Klaus Keppler

  • LiveConfig v1.7.4 freigegeben

    Eben wurde Version 1.7.4-r3086 mit folgenden Änderungen freigegeben:


    • Fehler mit doppelten Schrägstrichen bei Apache-Weiterleitung beseitigt
    • Fehler beim gleichzeitigen Hinzufügen meherere IPs zu einer Web-IP-Gruppe beseitigt
    • Fehler 500 beseitigt, wenn man einen eigenen Vertrag ("Mein Hosting") aus den Top-10-Berichten angeklickt hat
    • Übersetzungen aktualisiert
    • konfigurierbares Präfix für SPAM-verdächtige Mails (LCDEFAULTS: mail.spam.prefix)
    • Schnellsuche berücksichtigt nun auch Vertragsnamen in "Mein Hosting"


    Vielen Dank für die Rückmeldungen!


    Bezüglich der Auswahl der PHP-Versionen für NGINX: das ist etwas komplizierter: da NGINX ja nicht selbst die notwendigen FastCGI-Instanzen starten kann, haben wir hierfür ein Helfer-Script (/etc/init.d/nginx-php-fcgi). Dieses liest aus den NGINX-vHost-Konfigurationen jeweils aus, was für PHP-Instanzen gestartet werden sollen. Dort unterstützen wir derzeit nur eine PHP-Instanz pro Vertrag in NGINX.
    Wir erweitern aktuell dieses Starter-Script sowie die notwendigen Anweisungen in den NGINX-vHosts, in Kürze* sollten also auch verschiedene PHP-Interpreter mit NGINX möglich sein.


    *) voraussichtlich bis Ende kommender Woche

  • PREVIEW: LiveConfig v1.7.4

    Eben wurde Version 1.7.4-r3086 mit folgenden Änderungen freigegeben:

    • Fehler mit doppelten Schrägstrichen bei Apache-Weiterleitung beseitigt
    • Fehler beim gleichzeitigen Hinzufügen meherere IPs zu einer Web-IP-Gruppe beseitigt
    • Fehler 500 beseitigt, wenn man einen eigenen Vertrag ("Mein Hosting") aus den Top-10-Berichten angeklickt hat
    • Übersetzungen aktualisiert
    • konfigurierbares Präfix für SPAM-verdächtige Mails (LCDEFAULTS: mail.spam.prefix)
    • Schnellsuche berücksichtigt nun auch Vertragsnamen in "Mein Hosting"


    Vielen Dank für die Rückmeldungen!

  • Postfix & DKIM

    Kurze Vorab-Info: DKIM wird ab der nächsten LC-Version (1.8.0) direkt unterstützt. Dabei bietet LC dann die Möglichkeit, Keys selbst zu erzeugen oder zu importieren, erstellt ggf. die dazugehörigen DNS-Records und konfiguriert OpenDKIM entsprechend.
    Eine erste Vorab-Version dürfte in ca. 2 Wochen bereit stehen.

  • LiveConfig v1.7.4 freigegeben

    Hmm, Fehler gefunden: wenn in den LCDEFAULTS bei den ".enabled"-Feldern eine "1" gesetzt ist, dann wird diese Option auch aktiviert wenn die Checkbox nicht angehakt ist (ist ein unerwünschtes Verhalten unserer Formularklasse: wird eine Checkbox nicht gesetzt, wird diese natürlich auch nicht im HTTP-Request an den Server gesendet - uns hier fügt die neue LCDefaults-Funktion eben dann den Wert aus der Datenbank ein :( Merkwürdig, dass uns das nicht auch schon aufgefallen ist.


    Ich empfehle daher, vorerst die .enabled-Werte in der LCDEFAULTS auf "0" stehen zu lassen. Die Fehlerbehebung ist recht einfach und dürfte morgen früh schnell erledigt sind.


    Viele Grüße


    -Klaus Keppler

  • LiveConfig v1.7.4 freigegeben

    Ach ja, zur nachträglichen Aktivierung (=Massen-Update aller Postfächer) ist auch schon eine Lösung in Arbeit - Details dazu dann auch bis Ende der Woche. Ein einfacher Eingriff in die DB genügt jedenfalls nicht, da die gewünschten Änderungen aktiv angetriggert werden müssen, damit der LC-Client-Prozess diese übernimmt.

  • LiveConfig v1.7.4 freigegeben

    Die Werte aus LCDEFAULTS werden nur beim Programmstart eingelesen - d.h. starten Sie LC bitte neu, dann sollten auch die neuen Werte gelten.


    (Die Doku für LCDEFAULTS kommt noch bis Ende dieser Woche ins Handbuch ;))

  • LiveConfig v1.7.4 freigegeben

    Eben wurde eine weitere Aktualisierung bereitgestellt (v1.7.4-r3079): nach Aktivierung vom SpamAssassin musste LiveConfig bislang neu gestartet werden, da es sonst die Spam-Einstellungen nicht in /etc/postfix/spamassassin angelegt hatte. Dieser Fehler (eine Zeile in Lua...) ist damit beseitigt.

  • PREVIEW: LiveConfig v1.7.4

    Hallo,


    es sieht so aus als ob die Spam-Einstellungen erst nach einem LiveConfig-Neustart in /etc/postfix/spamassassin geschrieben werden. Wer also das selbe Problem hat, einfach LiveConfig mal neu starten. Wir suchen bereits nach der Ursache...