Linux am Dienstag: Programm für den 14. 12. 2021

Ein Feuer durchzieht den OpenSource-Dschungel, eine Lücke in einem „Hobby“-Projekt ringt ganze Firmen nieder.

Linux am Dienstag: Programm für den 14. 12. 2021

Ab 19 Uhr reden wir wieder über IT-News, OpenSource und Linux :

Java – Remote-Code-Lücke in Log4J , ein Frontbericht von Marius
Sprachassistent – Updates der Config machen neue Sachen für Carola möglich
WordPress – 16 Millionen WP Installation unter Feuer

Wie jede Woche per Videokonferenz auf https://meet.cloud-foo.de/Linux .

Kleine Anmerkung: Die bisherigen Vorträge findet man jetzt unter https://linux-am-dienstag.de/archiv/ .

Sicherheitslücke: WordPress < 5.7.1 updaten

Liebe Kollegen und Leser des OSBN,

sofern Sie WordPress einsetzen, achten Sie heute auf Updates des WordPresscores auf 5.7.1+ . Nicht alle WordPressinstallationen updaten sich auch wirklich immer zuverlässig, daher im Zweifel einfach mal nachschauen.

Das BSI hat heute vor einer aktuellen Lücke in WordPress < 5.7.1. gewarnt. Über die geschlossene Lücke können Angreifer Daten der WordPressinstallation erbeuten. Da nicht näher erklärt wird, was das für Daten sind, darf man ruhig annehmen, daß auch Zugangsdaten erbeutet werden können.

Bei WordPress heißt es dazu:

Security Updates

Two security issues affect WordPress versions between 4.7 and 5.7. If you haven’t yet updated to 5.7, all WordPress versions since 4.7 have also been updated to fix the following security issues:

  • Thank you SonarSource for reporting an XXE vulnerability within the media library affecting PHP 8.

  • Thanks Mikael Korpela for reporting a data exposure vulnerability within the REST API.

Ich rate jedem zu einem Update, falls es nicht automatisch geklappt hat. Selbst wenn man am Ende nicht an Zugangsdaten hätte kommen können, lieber einmal mehr Updaten, als einmal zu wenig.

WordPress: über vergessene Defaults

Entschuldigt bitte die Störung mit nicht OSS relevanten Beiträgen. Die Ursache, wieso das immer wieder passiert wurde gefunden.

WordPress: über vergessene Defaults

Wer viel für eine Kategorie seines Blogs schreibt, der kann sich einiges sparen, aber wenn man das mal vergißt und für eine andere Kategorie schreibt, dann landet es ggf. bei der falschen Zielgruppe.

Daher hier der Hinweis, wie man das in WordPress abstellt:

Die Standard-Beitragskategorie muß lediglich auf etwas „anderes“ gestellt werden.

Apropos WordPress

Wer noch nicht auf 5.5.3 aktualisiert hat, der sollte das schnellsten machen:

Das BSI informiert über mehrere Sicherheitslücken in WordPress < 5.5.2 vom 1.11.2020 :

https://www.bsi-fuer-buerger.de/SharedDocs/Warnmeldungen/DE/TW/2020/11/warnmeldung_tw-t20-0188.html

Zusammenfassung:

Ein entfernter, anonymer Angreifer (Jeder) kann mehrere Schwachstellen in WordPress ausnutzen, um Cross-Site-Scripting und Cross-Site Request Forgery (CSRF) Angriffe durchzuführen, Sicherheitsvorkehrungen zu umgehen, Informationen offenzulegen und Code zur Ausführung zu bringen.

https://wordpress.org/news/2020/10/wordpress-5-5-2-security-and-maintenance-release/

Beim Durchsehen unserer Blogs habe ich dann tatsächlich eine Installation gefunden, die es per utoupdate nicht auf 5.5.3 geschafft hatte. Es gilt: „Vertrauen ist gut, Kontrolle ist besser.“