Category Archives: Allgemein

Redhat patcht 6 Monate nach Fedora

Posted on by

Wer heute die Patchnotes der CERTs verfolgt hat, wird dort eine Warnung für BASH finden, die vom Redhat Security Team stammt.

Betroffene Software:

  Bash
  

Betroffene Plattformen:

  Red Hat Enterprise Linux Desktop 6
  Red Hat Enterprise Linux HPC Node 6
  Red Hat Enterprise Linux Server 6
  Red Hat Enterprise Linux Workstation 6
  
Mehrere Schwachstellen in GNU Bash ermöglichen einem lokalen, nicht
authentisierten Angreifer die Ausführung beliebigen Programmcodes, auch mit
Administratorrechten, sowie das Umgehen von Sicherheitsvorkehrungen u.a. mit
der Folge eines Denial-of-Service (DoS)-Zustandes.

Red Hat stellt für die Red Hat Enterprise Linux 6 Produkte Server, Desktop,
Workstation und HPC Node Sicherheitsupdates bereit.

Patch:

  Red Hat Security Advisory RHSA-2017:0725

  <http://rhn.redhat.com/errata/RHSA-2017-0725.html>

Da es sich hier um eine aus meiner Sicht problematische Sicherheitslücke handelt, ist es unverständlich, wieso RedHat 6 Monate gewartet hat. Fedora, daß ja im Prinzip vom selben Team mit betreut wird, hatte den Patch bereits im September 2016 eingepflegt:

* Fr Sep 30 2016 Siteshwar Vashisht <svashisht@redhat.com> - 4.3.42-7
- CVE-2016-7543: Fix for arbitrary code execution via SHELLOPTS+PS4 variables
  Resolves: #1379634

* Mi Sep 21 2016 David Kaspar [Dee'Kej] <dkaspar@redhat.com> - 4.3.42-6
- CVE-2016-0634 - Fix for arbitrary code execution via malicious hostname
  Resolves: #1377614

Für mich erschreckend daran, daß die Lücke auch nur als Moderate geführt wird, obwohl man mit Hilfe eines DHCP Servers Code auf einem Computer ausführen kann. Einen Rouge DHCP Server in ein Netz zu bringen ist nachdem man einen Computer übernommen hat, nicht mehr so schwer. Da die meisten Netze via DHCP gemanaged werden, reagieren natürlich auch praktische alle Rechner im Netz auf so einen Angriff. Um so mehr ist es unverständlich, wie es sechs Monate gedauert hat, bis der Patch endlich erstellt wurde.

Und dabei hatte ich vor, die Linux Distributionen für Ihre zügigen Updates zu loben, was zumindest bei Fedora stimmt.

Neulich in der Welt … ;)

Posted on by

Als sie im November 2015 bei Uber anfing zu arbeiten, habe der Frauenanteil bei 25 Prozent gelegen. Als sie das Unternehmen verließ, seien gerade mal sechs Prozent der Mitarbeiterinnen weiblich gewesen. Fowler wechselte Anfang des Jahres von Uber zum Bezahldienst Stripe.

Quelle: Welt.de am 20.2.2017

Backups in der Post Locky Era

Posted on by

Wie macht man normalerweise ein automatisches Backup ?

Ganz grob gesagt, packt man mit einem Archivprogramm wie TAR seine Dateien zusammen und speichert sie auf eine andere Festplatte. Der Speicherort könnte auch ein anderer Server sein, weil dann die Gefahr, daß wenn dem lokalen Rechner was passiert, die Daten weg sind, gebannt ist.

Jetzt die schlechte Nachricht: das Konzept ist so leider überholt.

Spielverderber: Ransomware

Seit Locky’s Linux Verwandte unterwegs sind, reicht so eine Backupstrategie nicht mehr aus, denn sie hat einen gravierenden Nachteil und der ist nicht mal auf Linux beschränkt:

Malware wie Locky verschlüsselt die Dateien, verzögert aber die Meldung, das die Daten verschlüsselt wurden, um gerne mal vier Wochen und mehr.

Die Folge

Auf dem oben beschriebenen Backupweg sichert man die verschlüsselten Dateien, löscht irgendwann die alten Backups aus Platzmangel und vermutlich erst danach kommt (zufällig) die Ransomwaremeldung.

Für den backupenden Rechner war das nicht erkenntlich, weil die Malware das verhindert, indem sie wochenlang den Zugriff auf die Dateien durchleitet (on-the-fly Entschlüsselung).

Außerdem könnte die Malware nach genau so einer Backuplösung suchen, das Ziellaufwerk einhängen und dann einfach die Backups auch verschlüsseln.

Fazit: Backup gemacht, Daten trotzdem weg.

Eine Lösung

Ein autarker Backupserver mounted den zusichernden Rechner bei sich,
prüft bestimmte Dateien, ob die noch den richtigen Type und Namen haben,
macht dann erst das inkrementelle Backup und lagert die Daten bei sich ein.

Statt Daten aktiv zu senden, werden diese gepollt.

Auf dem Weg kann eine Infektion gefunden werden, wenn ein Cryptotrojaner bereits am Werk ist. Mit etwas Glück sind die Dateien noch für ein händisches Inhaltsbackup verfügbar, aber auf jeden Fall sind die alten Backups sicher vor Überschreibung. Damit erleidet man maximal nur einen partiellen Verlust.

Natürlich hat das andere Ansprüche an die heimische Infrastruktur, also eine „Ich sichere auf die lokale NAS“ Lösung.
Beide Computer müssen an und im Netz verfügbar sein, damit das überhaupt klappen kann.

Ob das von privaten Anwendern so angenommen wird, ist fraglich, weil die Bequemlichkeit oft über Sicherheit stellen. Siehe : Facebook, kein TLS im Emailprogramm, WhatsApp, Google+, LinkedIn und wie der ganze Überwachungskram so heißt.