Category Archives: Security

Programmerweiterung: Linux Presentation Day 2021.1 am 15.5.

Posted on by

Aus aktuellem Anlass gibt es eine Programmerweiterung für den LPD. Wir konnten Eximentwickler Heiko Schlittermann für ein Interview zur Lage der neuesten Sicherheitsfixe im Eximprojekt gewinnen, das ab 13 Uhr ausgestrahlt wird.

Linux Presentation Day 2021.1 am 15.5.

Der Beitrag von Linux am Dienstag zum LPD 2021.1 wird live aus Braunschweig gestreamt. Der Livestream ist ab Samstag auf der gleichnamingen Webseite https://linux-am-Dienstag.de erreichbar.

Unser Programm

13:00 Special-Event: 21Nails – Interview mit Eximentwickler Heiko Schlittermann
14:00 „Willkommen beim Pinguin“ – Der Einführungsevent
14:30 „Keine Angst vor Gnome“ – Einführung in Linux Desktops
15:30 „Daten sicher in der Cloud ablegen“ – Ein bisschen Linux Magie und es geht auf Kopfdruck.
16:00 „Wieso ich Linux möchte“ – Eine Reflektion der Sehnsucht
16:30 „Wieso Spamfilter schlecht sind?“ – Sind sie es wirklich?
17:00 „Wie tickt eigentlich mein Desktop“ – Technikbeitrag wie Programme gestartet werden.
17:30 „Ein Tag im Leben eines PinePhones“ – Das Linux Smartphone stellt sich vor.

Selbstverständlich sind wir am Samstag den 15.5. nun auch schon ab 13 Uhr im Live-Chat erreichbar.

 

Sicherheitslücke: WordPress < 5.7.1 updaten

Liebe Kollegen und Leser des OSBN,

sofern Sie WordPress einsetzen, achten Sie heute auf Updates des WordPresscores auf 5.7.1+ . Nicht alle WordPressinstallationen updaten sich auch wirklich immer zuverlässig, daher im Zweifel einfach mal nachschauen.

Das BSI hat heute vor einer aktuellen Lücke in WordPress < 5.7.1. gewarnt. Über die geschlossene Lücke können Angreifer Daten der WordPressinstallation erbeuten. Da nicht näher erklärt wird, was das für Daten sind, darf man ruhig annehmen, daß auch Zugangsdaten erbeutet werden können.

Bei WordPress heißt es dazu:

Security Updates

Two security issues affect WordPress versions between 4.7 and 5.7. If you haven’t yet updated to 5.7, all WordPress versions since 4.7 have also been updated to fix the following security issues:

  • Thank you SonarSource for reporting an XXE vulnerability within the media library affecting PHP 8.

  • Thanks Mikael Korpela for reporting a data exposure vulnerability within the REST API.

Ich rate jedem zu einem Update, falls es nicht automatisch geklappt hat. Selbst wenn man am Ende nicht an Zugangsdaten hätte kommen können, lieber einmal mehr Updaten, als einmal zu wenig.

PHP.net Userdatenbank geleakt?

Posted on by

Vor 2 Wochen ging die Meldung rum, daß in den PHP-Code zwei Hintertüren eingebaut wurden. Dazu gibt es jetzt ein Update.

PHP.net Userdatenbank geleakt?

PHP Maintainer Nikita Popov hat in einem Update zu dem Einfügen von Hintertüren in den Code von PHP ein kleines Update gepostet. Seiner Meinung nach hatten die Angreifer Zugriff auf die Userdatenbank des Projekts bekommen und dann einen vergessenen Zugang zum Repository genutzt, um an allen sonstigen Buildeinrichtungen vorbei, den Code direkt ins Repository zu bekommen: „git-http-backend behind Apache2 Digest authentication against the master.php.net user database“

Ein sinngemäßes Zitat: „Ich wußte gar nicht, daß das geht.“ . Tja 🙂

Als „unverdächtige“ Benutzer hatten sich die Angreifer ausgerechnet die Accounts vom Erfinder von PHP Rasmus Lerdorf und Nikita Popov selbst ausgesucht. Ich vermute ja mal, daß war eine Ansage und kein Versuch die Sache gut zu verschleiern. Zur Zeit meint man bei PHP, daß deren hauseigenes Gitolite System an sich nicht kompromittiert wurde. Um ganz sicher zu sein, wird trotzdem alle neu aufgesetzt.

Auch als Konsequenz wurden die Passwörter erst einmal auf BCrypt umgestellt, was nach einem weiteren Leak den Login ziemlich erschweren dürfte. Die richtigen Fragen scheint man sich jedenfalls zustellen, z.B. wieso HTTP-Passwortauths überhaupt zugelassen waren, da diese als eher leicht zu knacken angesehen werden, wohingegen Public-Key Authentifizierung deutlich sicherer ist.

https://www.theregister.com/2021/04/07/update_on_php_source_code/