Heute habe ich die Aktualisierung auf WordPress 2.0.3 gewagt und siehe da – der Blog funktioniert noch. Ich bedanke mich wie immer bei den Entwicklern für die hervorragende Arbeit und diese super Webapplikation, die mir sehr viel Spass macht, weiter so!
Weitere Informationen:
Also ich muss sagen, dass die Patch Mentalität vieler großer Unternehmen mich ebenfalls sehr stört. Für die Administratoren kommen riesige Berge von Arbeit und Behebung von Fehler, die die Patches verursachen.
Besonders Inkompatibilitäten durch Patches von Microsoft kommen immer wieder zu Tage, die durch die fehlende Modularität in diesem Betriebssystem immer sehr weitreichende Folgen auf andere Teile des Betriebssystems haben.
Allerdings finde ich die Pacht-Mentalität von Oracle noch verkehrter. Datenbanken sind die wichtigsten Träger von Daten in allen heutigen Unternehmen und Diese erfordern besonders hohen Schutz und müssen deswegen so sicher wie möglich sein!
Oracle stellt sich als Datenbank Spezialist dar, aber bringt nur vierteljährlich Patches für die Datenbank heraus. So sind die Adminstratoren bis zu 3 Monate den Sicherheitsfehlern ausgeliefert.
Allerdings wären die 3 Monate ja was, wenn wirkliche alle Fehler und Sicherheitspatches bis zum nächsten Termin behoben wären, was besonders bei Oracle nicht so genau genommen wird, wie es auf der Seite http://www.red-database-security.com/ berichtet wurde.
Ich bin der Meinung man sollte jede Aussage erst überdenken und dann laut aussprechen, vielleicht schießt man sich damit selber ins Bein 😉
Informationen zu Oracle:
Die Version 5.1.3 von PHP beseitigt die von mir erwähnten Lücken in den Funktionen wordwrap(), array_fill() und substr_compare(). Allen Administratoren wird dringen geraten auf die aktuelle Version zu wechseln.
Mein Beitrag: http://konstantin.filtschew.de/blog/?p=40
Die Download Seite: http://www.php.net/downloads.php
Die MySQL Entwickler stellen neue Pakete für alle Versionen des MySQL Servers 4.X und 5.X zur Verfügung. Die Vorgänger versionen enthalten 2 schwerwiegende Sicherheitsfehler.
Durch einen der Sicherheitsfehler wird es angemeldeten Benutzern möglich, Informationen aus dem Server auszulesen, auf die er kein Zugriff haben dürfte. Durch den selben Fehler ist es ebenfalls möglich einen Puffer Überlauf zu provozieren.
Das Problem wird erst durch z.B. fehlerhafte PHP-Skripts gravierend, da das Skript eine Verbindung zum MySQL Server aufbaut und ihm Informationen übergibt. Solche feherhafte Skripts können Angreifer ausnutzen und sehr großen Schaden verursachen.
Die aktualisierten Versionen(.0.27, 4.1.19, 5.0.21, 5.1.10) stehen auf der MySQL Download Seite zur Verfügung: http://dev.mysql.com/downloads/
Zur Zeit stehen noch keine Pakete von Distributoren zur Verfügung. Allen Server Administratoren wird dringend geraten auf aktuelle Versionen zu wechseln.
Microsoft Internet Explorer hat einen schwerwiegenden Fehler, der Angreifern ohne das Einwirken des Benutzers ermöglicht, vollen Zugriff auf das System zu bekommen.
Im Moment ist noch immer kein Patch für den Fehler vorhanden. Es existiert auch kein Work around, um das Problem zu umgehen. Da der Exploit noch nicht veröffentlicht wurde, sind noch keine Internet Seiten bekannt, die den Fehler ausnutzen.
Allen Benutzern wird geraten einen alternativen Browser zu verwenden.
Leider hat die aktuelle Version von Firefox ebenfalls einen offenen Sicherheitsfehler, der hoffentlich bald behoben ist. Im Moment scheint nur Opera als Browser für alle Betriebssysteme keine bekannten Sicherheitsfehler zu besitzen.
Wir warten gespannt auf neueste Updates!
Weitere Informationen:
In PHP wurden mehrere Sicherheitslücken in den Funktionen wordwrap(), array_fill() und substr_compare(). Alle Sicherheitslücken sind kritisch und erfordern eine Aktualisierung von PHP.
Da das PHP-Team aber auf die Kontaktversuche des Finders der Lücken nicht reagiert hat, wurden Diese veröffentlicht. Moment existiert noch immer kein Update für PHP Version. Dazu existiert das Problem in allen PHP Versionen und erfordert eine dringende Behebung.
Die Advisory ist unter folgender URL zu erreichen:
http://www.infigo.hr/en/in_focus/advisories/INFIGO-2006-04-02
Sobald Aktualisierungen verfügbar sind, werden Diese auf der PHP-Seite veröffentlicht werden: http://www.php.net/downloads.php
Nach FreeBSD hat jetzt auch NetBSD mehrere kritische Lücken beseitigt. Die Entwickler haben kritische Sicherheitslücken geschlossen, die es erlaubt haben unautorisierten Zugriff auf E-Mail-Daten zu erlangen, das System unter Umständen lahm zu legen und sogar beliebigen Schadcode über das Netz auszuführen.
Die Sendmail Lücke betrifft nicht nur NetBSD, sondern alle anderen Betriebssysteme, die Sendmail nutzen. Für weitere Informationen verweise ich auf die Seiten der Entwickler.
Weitere Informationen:
Im Horde Framework wurden mehrere kritische Sicherheitsfehler gefunden. Über die Hilfe Funktion lässt sich Code in das Framework einschleußen. Die Entwickler geben keine weiteren Informationen zu den Fehler raus.
Allen Nutzern wird drigend geraten auf eine aktuelle Version 3.1.1 oder 3.0.10 zu wechseln, da alle Horde 3 Versionen von dem Problem betroffen sind.
Horde ist ein Framework basierend auf PHP, dass für Webanwendungen genutzt wird. Es existieren sehr viele Erweiterungen und Tools, die auf Framework basieren.
Mein früherer Blog Eintrag zu dem Framework und den Plugins:
Weitere Informationen gibt es auf der Horde Seite:
Wie in mehreren Internet Medien berichtet, macht sich ein neuer Bot über die phpBB Foren her.
Im Moment ist die Absicht noch nicht ganz klar, da er sich mit dem Namen: FuntKlakow regisitriert und meistens inaktiv bleibt. In einigen Foren lässt er ein paar Sprüche zu einigen Beiträgen.
Allen phpBB Foren Betreibern wird empfohlen diesen Namen für die Anmeldung zu sperren. Weitere maßnahmen gegen automatische oder massen Registrierung sind in dem Heise Newsticker Beitrag aufgezählt.
Weitere Informationen unter:
Ein weiterer Trojaner Namens Troj/Zippo-A durchsucht den Computer nach Word Dokumenten und verschlüsselt Diese. Er hinterlässt eine Nachricht in der 300 Euro für das Passwort verlangt wird.
Dem Antivirus Spezialist Sophos ist es gelungen das Passwort zu disassemblieren.
Es lautet: C:\Program Files\Microsoft Visual Studio\VC98
Weitere Informationen: