GHOST Sicherheitslücke

In der auf Linux-Servern verwendeten Standard-C-Bibliothek glibc wurde in der Funktion gethostbyname() ein Fehler gefunden, der allerdings nur mit geeigneten Ranbedingungen ausgenutzt werden kann.

Die bei uns eingesetzte Software wie Postfix, sendmail, Dovecot, die Web-Server Apache und Nginx und SW-Pakete wie NodeJS, MySQL, OpenSSH, GnuPG und Samba sind von den Problem nicht betroffen.

Nichstdestotrotz ist auf allen von uns betreuten Systemen diese Sicherheitslücke seit 28.1.2015 geschlossen.

Weitere Informationen:

http://www.heise.de/security/meldung/Ghost-Uralte-Luecke-in-Glibc-bedroht-Linux-Server-2530159.html

http://blog.sucuri.net/2015/01/critical-ghost-vulnerability-released.html

WordPress 4.1

Kurz vor Weihnachten ist die nächste Version von WordPress veröffentlicht worden. Die neue Version bringt ein neues Standard-Theme sowie eine neue Editor-Ansicht mit. Danben gibt es eine Vielzahl kleinere Ergänzungen und Verbesserungen. Weitere Informationen z.B. unter:

http://www.heise.de/open/meldung/Wordpress-4-1-mit-neuem-Theme-2504093.html

Die meisten von uns betreuten WordPressinstallationen wurden bereits auf den neuesten Stand gebracht. Ebenso gibt es aktualisierte Versionen der bisherigen Standard-Themes, die ebenfalls installiert wurden.

Update WordPress: Revolution Slider

Eine Reihe von bekannten WordPress Themes verwendet das Plugin Revolution Slider für animierte Titelbilder, Bildergalerien und ähnliches und hat dieses Plugin als Lieferumfang eingebaut.

Anfang des Jahres wurde in dem Plugin eine Sicherheitslücke entdeckt, über die fremde Inhalte in ein WordPress Blog eingebaut werden können. Vom Hersteller wurde dieses Problem im Februar 2015 behoben, allerdings aktualisieren manche Themes dieses Plugin nicht.

Seit kurzem wird diese Sicherheitslücke im großen Stil durch einen Schädling namens SoakSoak ausgenutzt. s.a.

http://www.heise.de/newsticker/meldung/Schadcode-nutzt-Monate-alte-WordPress-Luecke-aus-2498327.html

Eine Überprüfung der von uns betreuten WordPress-Instanzen hat keine Installationen mit kritischen Versionen gezeigt, wir haben aber vorsichtshalber alle nicht aktuellen Plugin-Stände auf die neueste Version umgestellt.

Partieller Ausfall Internetdienste 16.12.2014, 11:50-13:50

Ab ca. 11:50 kam es zu einem partiellen Stromausfall auf einer 240V-Phase in unseren Gebäuden, bedingt durch momentan stattfindende Erdarbeiten zur Fernwärmeversorgung.

Dadurch waren während dieser Zeit leider ein Teil unserer Internetdienste nicht erreichbar. Wir bitten die dadurch entstandenen Unannehmlichkeiten zu entschuldigen.

Seit 13:50 ist die Stromversorgung wieder sichergestellt und unsere Dienste wieder komplett verfügbar.

Sicherheitsprobleme mit WP-DB-Backup

aufgrund einiger Sicherheitsprobleme im WordPress Plugin WP-DB-Backup haben wir dieses Plugin in allen betreuten WordPress-Instanzen deaktiviert. Angreifer können u.U. mit überschaubaren Aufwand Lage und Name von Datenbanksicherungen ermitteln und die Sicherungen dann herunterladen.

Sicherheitsprobleme bei bash Shell

Wie heute bekannt wurde, hat der bei vielen Linux und Unix-Systemen verwendete Kommandointerpreter bash ein Sicherheitsproblem, durch das evtl. auch Schadsoftware in ein System eingeschleust werden kann. Weitere Informationen s. z.B.

http://www.heise.de/newsticker/meldung/Standard-Unix-Shell-Bash-erlaubt-das-Ausfuehren-von-Schadcode-2403305.html

Auf allen von uns betreuten Linux-Server-Systemen sind bereits Updates installiert die diese Sicherheitslücke schließen.

WordPress 4.0

Die nächste WordPress Version 4.0 mit Codenamen „Benny“ wurde veröffentlicht. Die wichtigsten Neuerungen sind zum einen eine überarbeitete Medienverwaltung und zum Anderen neue Möglichkeiten zur Einbettung von Multimediainhalten. Ebenso wurde der Pluginbereich überarbeitet.

Weitere Informationen:

http://blog.wpde.org/2014/09/04/wordpress-4-0.html

Die komplette Übersicht:

https://codex.wordpress.org/Version_4.0

Die von uns betreuten WordPress-Installationen wurden bereits größtenteils aktualisiert, sofern keine Komponenten das Upgrade noch verhindern.

WordPress XML-RPC DOS-Attacken

Gestern beobachteten wir auf einigen WordPress-Installationen Attacken aus dem Internet, die über die XML-RPC Schnittstelle von WordPress durchgeführt wurden. Folge war eine extrem hohe Last auf den mySQL-Datenbanken und dementsprechend lange Antwortzeiten bei Content Management Systemen, die mySQL verwenden.

Als Vorsichtsmaßnahme haben wir die Pingback Schnittstelle auf allen WordPress-Installationen deaktiviert, über die diese Art von Angriffen ausgeführt wird.

WordPress 3.9.2/3.8.4

Für WordPress wurde ein Sicherheitsupdate veröffentlicht, welches primär eine Denial-of-Service Problem sowie einige Fehler behebt. Alle WordPress Sites unter einer 3.9.x Version wurden inzwischen auf die aktuelle Version 3.9.2 aktualisiert. Installationen die noch unter einer Version 3.8.x liefen wurden auf die Version 3.8.4 umgestellt.

Weiter Informationen zu dem Problem:

http://www.heise.de/newsticker/meldung/Drupal-und-WordPress-schliessen-gemeinsame-DoS-Luecke-2287767.html