soeben lese ich, daß es zwei schwerwiegende Sicherheitslücken in PHP gibt, auf dem viele beliebe Content-Management-Systeme, Blogs, Webshops und Webseiten laufen. Meldungen gibt es beim BSI [1], bei Heise [2] und die CVEs finden sich hier [3] und hier [4].
Die Sache liest sich wirklich übel, anscheinend kann ein Remote-Angreifer beliebigen Code auf dem Webserver im Kontext des PHP-Prozesses ausführen. Außerdem sind anscheinend viele PHP-Versionen ab Version 5 betroffen.
Die Empfehlung ist, die Systeme so schnell wie möglich offline zu nehmen, bis die Patches eingespielt sind.
Hallo,
soeben lese ich, daß es zwei schwerwiegende Sicherheitslücken in PHP
gibt, auf dem viele beliebe Content-Management-Systeme, Blogs, Webshops
und Webseiten laufen. Meldungen gibt es beim BSI [1], bei Heise [2] und
die CVEs finden sich hier [3] und hier [4].
ÖR und Privat-TV haben die Warnung auch schon verbreitet, es scheint also wirklich wichtig zu sein.
ÖR und Privat-TV haben die Warnung auch schon verbreitet, es scheint
also wirklich wichtig zu sein.
Satire?
Im allgemeinen verbreiten sich IT-Sicherheitswarnungen über diese Nachrichtenportale nicht so adhoc, wie ein Stolpern eines US-Präsidenten oder ein Papsthüsteln.
Im allgemeinen verbreiten sich IT-Sicherheitswarnungen über diese
Nachrichtenportale nicht so adhoc, wie ein Stolpern eines US-Präsidenten
oder ein Papsthüsteln.
"Chregu" wollte uns nur mal wieder mitteilen, dass er ein Schwurbler ist und den "Mainstream-Medien" misstraut. Stattdessen vertraut er lieber den Telegram-Kanälen von St. Petersburger "Influencern".
Hallo,
soeben lese ich, daß es zwei schwerwiegende Sicherheitslücken in PHP
gibt, auf dem viele beliebe Content-Management-Systeme, Blogs, Webshops
und Webseiten laufen. Meldungen gibt es beim BSI [1], bei Heise [2] und
die CVEs finden sich hier [3] und hier [4].
ÖR und Privat-TV haben die Warnung auch schon verbreitet, es scheint
also wirklich wichtig zu sein.
Wer mich häufiger liest, dürfte wissen, daß ich solche Threads nicht für Pipifax starte.
Im allgemeinen verbreiten sich IT-Sicherheitswarnungen über diese
Nachrichtenportale nicht so adhoc, wie ein Stolpern eines US-Präsidenten
oder ein Papsthüsteln.
"Chregu" wollte uns nur mal wieder mitteilen, dass er ein Schwurbler ist
und den "Mainstream-Medien" misstraut. Stattdessen vertraut er lieber
den Telegram-Kanälen von St. Petersburger "Influencern".
Ach, der "Chregu". Niemand schafft es so oft, keine Erwartungen zu unterbieten.
Wer mich häufiger liest, dürfte wissen, daß ich solche Threads nicht für
Pipifax starte.
Du bist allerdings mit der Meldung viele Stunden zu spät dran…
Für dieses Forum? Kann sein, kann auch nicht sein. Aber in diesem Fall ist es vermutlich besser, die Meldung mehrmals zu sehen, als sie einmal zu verpassen.
Heute Morgen kam die Meldung, heute um 16:00 wurde die entscheidenden Details der Lücke veröffentlicht. Bis dahin hatte man Zeit, seine Server upzudaten oder vom Netz zu nehmen (was sehr viele getan haben). Wers um 18:12 noch nicht gewusst hat, hat’s verpennt.
Heute Morgen kam die Meldung, heute um 16:00 wurde die entscheidenden
Details der Lücke veröffentlicht. Bis dahin hatte man Zeit, seine Server
upzudaten oder vom Netz zu nehmen (was sehr viele getan haben).
Nein, um 16:00 (bzw. ein paar Minuten vorher) wurde das Update veröffentlicht.
Heute Morgen kam die Meldung, heute um 16:00 wurde die entscheidenden
Details der Lücke veröffentlicht. Bis dahin hatte man Zeit, seine Server
upzudaten oder vom Netz zu nehmen (was sehr viele getan haben).
Auch die gepatchten Versionen wurden erst gegen 16:00 Uhr veröffentlicht. Du hättest was schreiben können, als es bei Dir angekommen ist. Hast Du aber nicht. Oh.
Was willst Du eigentlich von mir? Wenn Du jemanden suchst, dem Du ans Bein pinkeln kannst, bist Du bei mir an der flashcen Adresse: Segler sind wasserdicht.
Kann man sowas nicht gleich von Anfang an wasserdicht
programmieren?
Du hast da also null Ahnung.
Keine Ahnung, wo man da anfangen sollte, Dir etwas zu erklären.
Hast Du in Deinem Leben schon einmal wahrgenommen, dass Dir ein Fehler unterlaufen ist?
Gestolpert, etwas runtergefallen, ein Wort falsch geschrieben oder Zeichen falsch gesetzt/unterlassen?
Kann man sowas nicht gleich von Anfang an wasserdicht
programmieren?
Du hast da also null Ahnung.
Keine Ahnung, wo man da anfangen sollte, Dir etwas zu erklären.
Hast Du in Deinem Leben schon einmal wahrgenommen, dass Dir ein Fehler
unterlaufen ist?
Gestolpert, etwas runtergefallen, ein Wort falsch geschrieben oder
Zeichen falsch gesetzt/unterlassen?
Es wurden doch im Lauf der Jahre sicherlich schon Erkenntnisse gesammelt,
wie solche Angriffe erfolgen.
Wird die Software vorher nicht getestet?
Kann man sowas nicht gleich von Anfang an wasserdicht programmieren?
Schwierig bis unmöglich. Je nach Komplexität.
Allerdings muss man konstatieren, das PatchHackPatch die wohl mit großem Abstand schlimmst mögliche Sicherheitskatastrophe ist. Was aber nicht bedeutet, dass man sie nicht in einem oder zwei Jahrhunderten in etwas zumindest halbwegs Akzeptables verwandeln könnte. Na ja zugestanden, das sind Träumereien. Passiert jedem mal.
nodejs hat übrigens zeitgleich auch eine üble remote code exec Lücke, plus noch weiterer Lücken, plus dem Zertifikate-Krampf mit eMudhra der auch gleich gefixed wird.
