Fedora OpenSSH Alarm: Nicht updaten auf 7.2p2-6 !

Achtung: openssh-server version 7.2p2-6 ist defekt

Das heute von Fedora verteilte Update von openssh „7.2p2-6“ ist defekt. Wer per ssh auf einen Server mit dieser Version einloggt, sieht aus wie root, aber man ist nicht root. Man hat keine Root-Capabilities mehr, was z.b. darin gipfelt, daß man nicht mehr in sein eigenes Homeverzeichis wechseln kann.

Wer in seinem dnf.rpm.log das findet:

Oct 19 14:03:16 INFO Upgraded: openssh-7.2p2-6.fc23.i686
Oct 19 14:03:20 INFO Upgraded: openssh-server-7.2p2-6.fc23.i686
Oct 19 14:03:20 INFO Upgraded: openssh-clients-7.2p2-6.fc23.i686
Oct 19 14:03:20 INFO Cleanup: openssh-clients-7.2p2-3.fc23.i686
Oct 19 14:03:20 INFO Cleanup: openssh-server-7.2p2-3.fc23.i686
Oct 19 14:03:25 INFO Cleanup: openssh-7.2p2-3.fc23.i686

ist betroffen.

Aufgrund des Fehler kann man den Fehler auch  nicht via SSH beheben. Ihr könnt natürlich auf das nächste Fedora Update warten, daß dann offentlich einen Bugfix enthält, aber bis dahin habt Ihr im Notfall ein Problem.

Bei RedHat ist bereits ein Bugticket offen und man arbeitet an einem Fix. Scheinbar ist SELinux, bzw. dessen Abwesenheit daran beteiligt.

Workaround: Downgrade auf 7.2p2-3

Über den Kojilink lädt man die drei Paket runter:

Koji :  http://koji.fedoraproject.org/koji/buildinfo?buildID=756836

dann loggt man sich via MONITOR KONSOLE ein und downgraded die Files mit :

rpm -U –force openssh*rpm

danach in /etc/dnf/dnf.conf einfügen:

exclude=openssh*

erst dann zieht das nächste Update nicht wieder die defekte Version auf den Server.

 

VeraCrypt 1.18 mit kritischen Sicherheitslücken

Wie heute bekannt wurde, ist VeraCrypt auditiert worden und dabei sind mehrere kritische Sicherheitslücken aufgedeckt worden.

Aufgrund der Schwere der Sicherheitslücken ist ein sofortiges Update auf VeraCrypt 1.19 erfolderlich.

Ob die schweren Lücken für Linux, Windows oder MacOs gelten, ging aus der Nachricht bei  den Hackernews nicht hervor.

Wer sich die Lücken genau ansehen will, dann das HIER tun. Hier das Bestof :

High: AES implementation susceptible to cache-timing attacks
High: Out-of-date inflate and deflate
High: XZip and XUnzip need to be completely re-written
High: Integer overflow when computing the number of iterations for PBKDF2 when PIM is used
High: GOST 28147-89 Must Be Removed from VeraCrypt

UEFI:
High: Keystrokes are not erased after authentication
High: Sensitive data is not correctly erased
High: Memory corruption can occur when the recovery disk is read

Meiner bescheidenen Meinung nach, ist die Datenträgerverschlüsselung trotz der Bugs sicher. Alle Angriffe beziehen sich nur auf den direkten aktiven Betrieb von VeraCrypt.

Die neue Version von VeraCrypt gibt es hier:  https://veracrypt.codeplex.com/

Dürfen IP Adressen gespeichert werden?

Liebe Mitblogger,

der EuGH hat in einer Anfrage zur Speicherung von IP-Adressen durch Webserver vom BGH entschieden, daß das TMG(Telemediengesetz) gegen europäisches Recht verstößt, weil es (stark vereinfacht) keine Abwägung zwischen berechtigten Interessen des Betreibers und den Rechten der Person an Ihren Daten enthält.

Damit ist das generelle Verbot der Speicherung von IP Adressen nicht länger rechtens, aber noch nicht vom Tisch. Der BGH muß diese Entscheidung des EuGH in seiner anstehenden Entscheidung berücksichtigen. Erst wenn der BGH entschieden hat und das Urteil rechtskräftig ist, steht es final fest. Wer jetzt in vorauseillendem Gehorsam die Logfiles wieder aktiviert, könnte noch gegen geltendes Recht verstoßen.

Damit Euch das nicht passiert, hier Euer Schlupfloch:

am 31.01.2013 hat das Landgericht Berlin verkündet:

„Die Beklagte wird verurteilt, es zu unterlassen, die Internetprotokolladresse (IP-Adresse)
des zugreifenden Hostsystems des Klägers, die im Zusammenhang mit der Nutzung
öffentlich zugänglicher Telemedien der Beklagten im Internet – mit Ausnahme des
Internetportals “http://www.XXXXXXXXXXXX.de” – übertragen wird, in Verbindung mit dem Zeitpunkt
des jeweiligen Nutzungsvorganges über das Ende des jeweiligen Nutzungsvorganges
hinaus zu speichern oder durch Dritte speichern zu lassen,
– sofern der Kläger während eines Nutzungsvorganges selbst seine Personalien, auch in
Form einer die Personalien des Klägers ausweisenden E-Mail-Anschrift, angibt und
soweit die Speicherung nicht im Störungsfall zur Wiederherstellung der Verfügbarkeit des
Telemediums erforderlich ist.“

Zitat aus: LG Berlin 57 S 87/08  – 2 C 6/08 Amtsgericht Mitte / Tiergarten

Das meint, daß wenn Ihr Schutzmaßnahmen implemtiert haben müßt, um den Webserver vor Angreifern zu schützen,
und das sollte jeder WordPressbenutzer machen, wenn er einen reibungslosen Betrieb gewährleisten will, die Speicherung über den Zeitpunkt der Benutzung hinaus erlaubt ist.

Zu beachten ist, daß dieser Zeitraum nicht unendlich ist und konkret beziffert werden muß. Außerdem seid Ihr auch dafür verantwortlich, wielange der Hoster die Daten speichert. Fragt daher bei Eurem Hoster an, wie lange die Webserverlogs gespeichert bleiben und was der Hoster als Schutzmaßnahme für den Webserver betreibt.

WordPress ist täglich Ziel von vielfältigen Angriffen

wp-login.php per Bruteforceattacke,
auf die xmlrpc.php um Forenspam zu senden
Exploits von Themes und Plugins.

Um diese Angriffe abzuwehren, müssen zwangsweise IP’s gespeichert werden um automatisch zu überprüfen, ob ein BruteForceangriff vorliegt und um konkrete Gegenmaßnahmen, in Form von IP-Sperren, einzuleiten.

Aus der Praxis als Webhoster einiger bekannter WP-Blogs, kann ich Euch versichern, daß einige Angreifer mehr als 500.000 mal am Tag auf ein Blog zugreifen um es zu stören, zu hacken, oder zu missbrauchen. Ohne Serversicherungsmaßnahmen incl. IP Speicherung könnten wir diese Angriffe nicht abwehren.

Darüberhinaus könnte eine Änderung der Speicherpraxis auch damit begründet werden, daß ein Webservicebetreiber mit den IPs nicht direkt einen Besucher namentlich identifizieren kann. Der EuGH sieht zwar den Rechtsweg in Form einer Strafanzeige als möglichen Weg, um an die Personendaten zu gelangen, aber meiner Meinung nach ( die dafür nicht zählt ), ist das für Webseitenbetreiber ohne Juraabteilung nur in echten Strafverfahren möglich, was bedeutet, es gibt einen konkreten Grund, welchen Kriminalbeamte, Staatsanwälte und Richter vorher prüfen. (Arbeitsüberlastungen von kölner Gerichten sei mal nicht das Thema.) Es ist daher eher unrealistisch dies als gangbaren Weg anzuerkennen, zumal das BDSG auch zum Zwecke der Strafverfolgung eine Ausnahme erlaubt. Demnach dürfen auch Daten, die dem Datenschutz unterliegen, den Strafverfolgungsbehörden übermittelt werden. (Damit man das kann, müßte man sie vorher speichern.)

Fazit

Das Urteil des BGH in der Sache steht noch aus, aber es gibt jetzt schon Ausnahmen, die eine Speicherung der IP’s erlauben.
Es dürfte eine Wende in der Rechtssprechung in Deutschland geben.

Die Pressemitteilung des EuGH zu dem anstehenden Urteil könnt Ihr hier selbst lesen:

http://curia.europa.eu/jcms/upload/docs/application/pdf/2016-10/cp160112de.pdf

Alte Entscheidungen:

Landgericht Berlin 2013: http://www.jurpc.de/jurpc/show?id=20130179