PHP-Sicherheitslücke

[Bavarian-Woodworker]

Moin Holzwurmgemeinde,

man hört ja seit gestern diese Schreckensmeldung, dass mal wieder was passieren kann.
Unser Provider arbeitet bereits daran...

Sicherheitswartung: Kurze Unterbrechungen bei PHP-basierten Diensten möglich

Was ist los? In PHP, einer Technologie, die weltweit von vielen Websites und Webanwendungen genutzt wird, wurde eine kritische Sicherheitslücke entdeckt. Die PHP-Entwickler und nationale Sicherheitsbehörden haben dringende Warnungen herausgegeben und empfehlen, das Sicherheitsupdate unverzüglich zu installieren, da innerhalb weniger Stunden mit Angriffen zu rechnen ist. Um Sie und Ihre Daten zu schützen, installieren wir das Sicherheitsupdate derzeit auf allen unseren Systemen. Wir gehen davon aus, dass wir innerhalb der nächsten 24 Stunden fertig sein werden. Was bedeutet das für Sie? Während wir unsere Systeme aktualisieren, kann es vorkommen, dass einige Websites und Dienste langsam oder kurzzeitig nicht erreichbar sind. Wir ergreifen diese Maßnahme, um Sie zu schützen. Wenn Sie eine selbstverwaltete Anwendung betreiben, beispielsweise auf einem VPS oder Bare-Metal-Server, installieren Sie bitte so schnell wie möglich das PHP-Sicherheitsupdate, um Ihre Systeme zu schützen. Weitere Informationen finden Sie hier: https://www.php.net/ Vielen Dank für Ihre Geduld und Ihr Verständnis.

Ich denke mal, dass uns das nicht wirklich betreffen wird..aber, sich kann man nie sein...

Servus, der Lothar

[Woswasi]

Hi, ich will ja den Teufel nicht an die Wand malen, aber phpBB ist verwundbar bei dieser Lücke. So lange PHP nicht gepachtet ist, kann ein Angreifer sehr leicht den Webserver übernehmen und damit Schindluder treiben.
Deswegen sind gestern viele PHP Webserver vorsorglich abgeschalten worden.

Leider ist der potentielle Angreifer nicht mehr eine menschliche Person oder Gruppe sondern Horden von automatisierten Bots.

Es sind auch viele andere Geräte oder SW Produkte betroffen die PHP als Unterbau verwenden. zB pfSense Firewall und Synology NAS Systeme

Hier ist eine Liste:
https://github.com/NCSC-NL/php2shell/bl ... _list_a.md

Bericht über Angriffe:
https://www.derstandard.at/story/300000 ... ogar-davor

Den Angreifer geht es nicht primär darum eure Daten zu klauen oder Daten hier aus dem Forum. Wenn sie die Systeme / Server übernehmen können sie diese dann für sich arbeiten lassen.

[Dikado]

Diese Sicherheitswarnung kam gestern auch auf unserem Dienstrechner, mit dem Ergebnis, dass sich die Kollegen alle nur dumm angeschaut und sich gefragt haben, was zum Teufel ist PHP und ob das was mit PCB zu tun hat. Also so richtig verstanden hab ich das auch nicht. Mir reicht es, wenn Word, Exel etc. pp. funktioniert, für mehr reichen meine Rechenkapazietäten nicht, ich muss mich ja auch ums Holz kümmern. Den Rest machen bei uns die IT Abteilungen, wobei ich fast bezweifle, dass die da mehr Ahnung davon haben, als unser einer.

[Woswasi]

Pc und Handy sind sicher, außer du hast manuell php installiert am PC

Viele kostenlose Web Services bauen auf php auf. WordPress, dieses Forum uvm. Diese sind gefährdet

ich habe daheim ein Synology und pfsense Firewall, die sind beide auf der Liste der gefährdeten Systeme.

Es kann also durchaus auch einen Heimanwender treffen

[Klaus]

Es kann also durchaus auch einen Heimanwender treffen

Ja, durchaus. Allerdings nur, wenn die entsprechenden Services auch von externen Netzen (z.B. Internet) aus erreichbar ist. Hab meine Familien-Webservices auch runter gefahren, bis der entsprechende Patch verfügbar war.

Gruss, Klaus

[Bavarian-Woodworker]

Servus zusammen,

ich sags mal so - ist halt wieder eine neue Sau, die durchs alte Dorf getrieben wird.
PHP war, ist und bleibt halt mal ein Sicherheitsrisiko, wie alles, was mit Internt und Programmierung zu tun hat.

Ich pflege jetzt seit nunmehr 10 Jahren uneren Holzwurmtreff. Jeden Tag lösche ich, kommt drauf an, wie aktiv die Bots unterwegs sind, zwischen 10 und an "guten" Tagen bis zu 100 Fake-Anmeldungen. Und das trotz unserer wirklich Holzwurmbezogenen-Sicherheitsfragen, die jeder, der sich anmelden will, richtig beantworten musss. Eigentlich...

Seit es das phpBB-Forum gibt, schaffen es die Programmierer von dem Teil nicht, dieses Sicherheitmanko abzustellen, trotz laufender Updates.
Die Angreifer schaffen es, scheinbar mühelos, an unseren Sicherheitsabfragen vorbeizukommen. Woran die tatsächliche Anmeldung dann scheitert, liegt daran, dass ich beim Durchsehen der Anmeldeversuche sofort an 99% der Mailadressen erkennen kann, dass es sich um Fakes handelt und ich diese sofort ins ewige Nirvana des Internet verbanne. Wenn wirklich mal einer so "wiff" ist und eine Mailadresse passend zum Nuzternamen wählt und somit trotzdem als Werbebot usw. durchrutscht, denn killt dann meist der Micha in kürzester Zeit.

Einige von euch hatten den "Ausfall" unseres Forums vor ein paar Monaten ja live mitbekommen. Laut 1&1-Support handelte es sich damals "lediglich" um eine schlampig programmierte Fake-Anmelde-Schadware, die die Datenbank, bzw. den Forencode beschädigt hatte...

Manchmal liegt es aber auch nur an der Faulheit mancher Server-Admins - die, mehr aus Unwissenheit, oder mit voller Absicht, nicht gewillt, oder in der Lage sind, Ihre Systeme abzusichern. Und ich rede hier nicht von einem Foren- oder Blogbetreiber, der einen "eigenen" Webserver bei 1&1 gemietet hat, sondern von Universitäten, staatlichen Einrichtungen und Großunternehmen - an denen NUR die Server-Admins wissen, was in ihren Server-Racks so abgeht - 24/7 - da wir dann plötzlich der Uni-Server zur Datenbank für Raubkopien von aktuellen Kinofilmen oder Apps aller Art.

Ob unbemerkt, oder gegen ein "kleines" Entgeld geduldet, lassen wir mal dahingestellt (und glaubt mir, ich spreche da aus reichlich Erfahrung)

Die größere Gefahr, dass Dein Home-Office-Rechner zur unbemerkten SPAM-Schleuder wird, liegt doch eher an dem, der VOR der Tastatur hockt und ohne zu überlegen, auf jeden Link in seinen Mails klickt, der ihn dazu auffordert. Oh..das schaut aber nach meiner Hausbank usw. aus....was wollen die?...ahhh..meine Daten aktualiesieren----schnell mal klicken. Du musst dieser Tage keinen Mailanhang mehr runterladen oder öffnen, um deinen Rechner zur SPAM-Schleuder zu machen. ÖFFNEN REICHT VOLLKOMMEN. Und trennt euch mal von dem Gedanken, dass diese Bots eure Rechner töten - warum sollten sie das machen? Was hätten sie davon? VIel mehr sorgen manche Schadprogramme dafür, DASS euer Rechner erstmal für ihre Zwecke FITT gemacht wir - um ihn dann so effektiv wie möglich als SPAM-Schleuder einsetzen zu können.

Also, nicht gleich in Panik verfallen - zuerst müssen mal die großen Provieder ihre Severfarmen "aktualisieren", um dann mit den selben Sicherheitslücken wie vorher (nur kannte der Otto-Normal-Nutzer) die nicht, wieder genauso weiter zu machen.

Manchen "Situationen" steht man in der heutigen Zeit einfach machtlos visavis, oder wie das heist...

Servus, der Lothar (der jeden Tag morgen um 5:30 Uhr froh ist, wenn ihm unser Holzwurm wieder entgegenlächelt)

[Fred]

Vielen lieben Dank für Deine offenbar immer noch ausreichend notwendige Tätigkeit zum Weiterleben dieses interessanten Forums...