Achtung!! PhP Sicherheitslücke.

[Dorena Verne]

Video Daniel Frevel, NDR, zur gravierenden Sicherheitslücke bei Millionen Webseiten 

Heftig,oder?

https://www.bsi.bund.de/SharedDocs/Cyber...onFile&v=3

[Leora Jacobus]

Betrifft das diese Seite?

und wenn ja, in welcher WEise?

[Dorena Verne]

Ob das die Ursache für den Ausfall von Gridtalk war, weiss ich nicht. Meine Server fürs Grid und andere Projekte habe ich bereits gestern gepatcht.

[Bogus Curry]

So unser kleiner Server ist nun sicher, hab alles gefixt ;D

Macht euch von den ganzen Meldungen nicht einschüchtern, ich hab mich von ChatGPT helfen lassen. Wobei man sollte trotzdem immer vorher doch schaun, ob man nicht sich mit dem ganzen sich besser befasst ;D Bin wohl ein "akter Hase" nur man wird mit dem Alter auch mal tüdelig und vergisst das eine oder andere. Daher ist immer gut, sachen aufuuschreiben.

Also am besten alles in aller Ruhe sich anschaun und was man genau machen muss.Dann ist man auf der sicheren seite. Und wenn man doch nicht weiterweiss, einen Fragenn, der sich damit auskennt ;D

Mein Hoster hat alle Hände zutun mit seinen Webspace und hat sein Support praktisch eingestellt, weil de Kunden ihnen wohl die Telefone heiss laufen liessen.

[Dorena Verne]

Der Patch ist schnell eingespielt, stundenlange Downtime nicht nötig, außer … : Die Behörden benutzen uralte PHP-Versionen und müssen vorher updaten. Oder und das von ihnen genutzte CMS funktioniert nicht unter neueren PHP-Versionen und muss erst angepasst werden. Beides setzt eine schon vorliegende Schlamperei voraus.

[Ezry Aldrin]

Huhu

Japp, es ist eine mittlere Katastrophe, ich hatte gestern eine schöne Fahrt bekommen.
Und nun stehe ich auf der A9 auf einem Parkplatz, nicht weit von Magdeburg und Halle entfernt. 

Das ist die Folge der Sicherheitslücke im PHP die seit Sommer bekannt ist
Die Plattform über die ich arbeite wurde auch, jetzt auf gleich, nicht vom Betreiber, sondern vom Hoster runtergefahren, heisst also, ich darf ohne Rückfahrt irgendwann gleich nachhause fahren. Denn die wissen nicht ob heute im Laufe des Tages, oder am Abend die Seite wieder online geht. Heisst für mich der Tag ist gelaufen.

Da sieht man mal wie sehr wir heute vom Netz abhängig sind. Alle meine Kunden die ich selber anrufen kann sind auch davon betroffen.

Hoffentlich dauert das jetzt nicht Tage bis alles wieder normal läuft, sind sicher noch ganz andere Bereiche betroffen. Zumindest das Wetter ist schön, ein kleiner Trost?

Lg
Ezry

[Jupiter Rowland]

Der Patch ist schnell eingespielt, stundenlange Downtime nicht nötig, außer … : Die Behörden benutzen uralte PHP-Versionen und müssen vorher updaten. Oder und das von ihnen genutzte CMS funktioniert nicht unter neueren PHP-Versionen und muss erst angepasst werden. Beides setzt eine schon vorliegende Schlamperei voraus.

Japp, Klassiker, vor allem unter Leuten, die bis vor kurzem noch in einer reinen Windows-Welt lebten.

Einmal aufsetzen und dann für immer so lassen. Never change a running system. Außerdem hatte man früher mal irgendwelche Schwierigkeiten mit Windows Update, oder man hat mal von jemandem gehört, der mit einem Update Probleme hatte.

Das, oder bei der Ausschreibung für die IT kam das billigste Angebot von irgendeinem Krauter, der die Installation derart verbastelt hat, daß jedes Upgrade ein Himmelfahrtskommando ist, weil alles ganz genau gegen die Versionen gebaut ist, die beim Aufsetzen installiert wurden.

Oder der billigste Anbieter existiert nicht mehr, hat schon ein paar Monate nach der Installation dichtgemacht, und jetzt kann ihnen keiner mehr ihren PHP4-Frickelkram aktualisieren (weil entweder irgendwie closed-source oder übelster anzunehmender Spaghetticode).

[Mareta Dagostino]

Wie Jupiter schon schrieb, Behörden oder große Firmen meistens. Die müssen jetzt erst mal Programmierer ran lassen (und ggf. noch finden), die die alte Software upgraden. Mitleid habe ich keins, man hat halt jahrelang am Personal gespart.

Ein weiteres Problem wird erst die Zeit zeigen: Diverse Geräte haben Web-Interfaces, manche davon laufen mit PHP, und das Internet der Dinge läuft großteils bei Leuten, die nicht softwareaffin sind. Sie haben ein Auto, einen Kühlschrank, einen Staubsaugerroboter, eine Hausüberwachung oder ähnliches gekauft.

Edit: ...wo es lustige Apps für gibt, um von Ferne den Gerätezustand zu überwachen, weil das ach so modern ist...

[Bogus Curry]

Ich bin halt sehr froh, das ChatGPT mir geholfen hat, obwohl ich brauchte ja nur ein paar Commands ausführen und alles war gut. Nur ich mach das ja nicht jeden Tag und mit dem Alter wird man auch noch Vergesslich. Aber unser Server ist Save ;D


Kleiner FunFact, zur Zeit hat die braune Partei ja einige Probleme mit Hacker, da diese eine grossen batzen von Mails runtergeladen hat. Nun ist rausgekommen, welche Sicherheitslücke die Hacker benutzt haben, rate mal, wer da der Übeltäter war .. naaaa .. Wordpress, das Wollmilchsau unter den grossen Software, was ja auch als CMS bezeichnet wird. Was aber nicht ist, es ist ein Blogsystem, nicht mehr und nicht weniger. Und wenn diese nicht gepflegt wird, dann kann es halt zu sowas kommen. Ich mag Wordpress in ihrer Grundform ganz und gar nicht, da einige Plugins versteckte AboFallen sind.

Aber genug OT ;D

[Akira]

Huhu zusammen,

Im Rahmen des fixes zu PHP2Shell bin ich auf ein Feature gestossen das sehr interessant ist. Automatic Upgrades. Claude meint zu dem Thema ob das eine gute Sache sei:

Kurz gesagt: Für die meisten Server ja, wenn du es auf Sicherheitsupdates beschränkst. Das grössere Risiko ist meistens ein Server, der wochenlang ungepatcht bleibt, weil niemand daran denkt. Ein Update, das etwas kaputt macht, ist seltener.

Warum es sinnvoll ist
Bei Debian und Ubuntu installiert unattended-upgrades standardmässig nur Pakete aus den Security-Repositories. Diese Updates sind bewusst klein gehalten: Sie beheben Fehler und bringen keine neuen Features. Dadurch ist das Risiko von Regressionen relativ gering. Gleichzeitig werden bekannte Lücken oft sehr schnell aktiv ausgenutzt, besonders bei Diensten, die aus dem Internet erreichbar sind.

Wo die Haken liegen

• Neustarts: Kernel-Updates werden zwar installiert, aber erst nach einem Reboot aktiv. Du musst entscheiden, ob
  Unattended-Upgrade::Automatic-Reboot
  mit einer festen Uhrzeit laufen soll oder ob du selbst neu startest. Ohne Reboot läuft weiter der alte, verwundbare Kernel.
  
• Dienst-Neustarts: Wenn eine Bibliothek wie OpenSSL oder glibc aktualisiert wird, starten Dienste kurz neu. Auf Ubuntu übernimmt das
  needrestart
  . Das kann zu kurzen Unterbrechungen führen.
  
• Konfigurationsdateien: Wenn du eine Paket-Konfiguration angepasst hast, kann ein Update daran hängen bleiben oder deine Version behalten. Das sollte man im Blick haben.
  
• Fremd-Repositories: Wenn du zusätzlich normale Updates oder Drittquellen (Docker, PPAs, Datenbanken) automatisch aktualisieren lässt, steigt das Risiko deutlich. Eine Datenbank-Hauptversion sollte man nie unbeaufsichtigt aktualisieren.
  

Empfehlung für ein vernünftiges Setup

1. Nur die Security-Quelle aktivieren (Standard so lassen).
   
2. Kritische Pakete bei Bedarf über
   Package-Blacklist
   ausschliessen.
   
3. Mail-Benachrichtigung einrichten (
   Unattended-Upgrade::Mail
   ) oder die Logs unter
   /var/log/unattended-upgrades/
   überwachen, damit du merkst, wenn etwas schiefgeht.
   
4. Den Reboot bewusst regeln, entweder automatisch nachts oder manuell. Bei Ubuntu ist Livepatch eine Option, um Kernel-Reboots seltener nötig zu machen.
   
5. Backups oder Snapshots haben, damit du zurückkannst.
   

Wann ich eher vorsichtig wäre
Bei sehr kritischen Produktivsystemen mit strengen Wartungsfenstern oder bei Clustern, die du kontrolliert nacheinander aktualisieren willst, ist ein gesteuerter Prozess oft besser, zum Beispiel über Ansible oder zuerst auf einem Staging-System. Auch dann gilt: Irgendein verlässlicher Patch-Prozess muss existieren. Kein automatisches Update ist nur dann besser, wenn jemand die Updates wirklich regelmässig manuell einspielt.

Die beste Lösung hängt von deinem Setup ab.