Es gab mal wieder ein kleines Update für phpMyAdmin, also haben wir soeben Version 4.1.14.6 verteilt. Das Update beseitigt zwei mögliche Einfalltore für Cross-Site-Scripting-Attacken. Warum wir nicht die aktuelle ‘stable’-Version von phpMyAdmin nutzen, nämlich den 4.2-Zweig, ist auch ganz schnell erklärt: Wir setzen auf unseren Hosts aktuell MySQL 5.0 (CentOS 5) sowie 5.1 (CentOS 6) ein. Leider hat phpMyAdmin den Support für Versionen <5.5 aber mit dem 4.2.3-Release eingestellt. phpMyAdmin erhält aber auch in Version 4.

Wir haben mal wieder einen Schwung PHP-Updates verteilt und hätten damit nun auf allen Hosts: 5.6.3 (Default für neue Uberspaces) 5.5.19 5.4.35 Infos, wie die Versionen für den eigenen Account aktiviert werden können, finden sich im Wiki. Die 5.3er-Serie ist mit 5.3.29 nebenbei offiziell end of life; wer die noch einsetzt, sollte sich schleunigst mal auf die Todo-Liste setzen, auf eine neuere Version zu migrieren. Auf neuen Hosts werden wir aller Voraussicht nach nur noch Versionen ab 5.

Gestern wurden wir erst per Mail von einem User und schließlich über einen (inzwischen gelöschten und daher nicht mehr verlinkbaren) Tweet eines anderen Users darauf hingewiesen, bei Uberspace.de würde “Pädocontent” gehostet, garniert mit dem Hashtag #würg - ein Vorwurf, den wir so keinesfalls stehenlassen wollen. Um das direkt klarzustellen: Gäbe es irgendwo bei uns Content, der Kindesmissbrauch dokumentiert oder gar bebildert, wäre der Account kurz nach der Abuse-Meldung dicht. Solche Dinge sind illegal, und wir sind mit Sicherheit kein Offshore-Hoster, dem vollkommen scheißegal ist, was seine User so publizieren.

Wie, was, fail2ban? Wir experimentieren neuerdings mit fail2ban, um Bruteforce-Angriffe auf bestimmte Dienste abzufangen. Das Programm durchsucht Logs nach einem vorgegebenen Schema und kann, wenn dieses Schema mehr als x mal in Zeitraum y gefunden wurde, Aktionen durchführen, wie beispielsweise die IP-Adresse blockieren. Die Konfiguration ist auf allen unseren Hosts die gleiche, hier mal am Beispiel von crater: [root@crater ~]# fail2ban-client status Status |- Number of jail: 6 `- Jail list: apache-joomla-login, apache-wp-login, apache-auth, apache-friendica-load-prevention, ssh-iptables, wp-spam Unsere Regeln Das Prinzip ist immer das selbe.

Ein frisches node.js ist auf allen Servern verteilt, weitere Informationen dazu wie gewohnt im Wiki Die Symlinks unter /package/host/localhost sind angepasst: nodejs -> nodejs-0 nodejs-0 -> nodejs-0.10 nodejs-0.10 -> nodejs-0.10.33 Wenn ihr also einen von den obigen Pfaden in eueren Scripten benutzt, reicht es, den Dienst einfach neu zu starten.

Schon den ganzen Tag gerüchtete es, dass im Laufe des 15. Oktober nach Heartbleed und Shellshock eine weitere Sicherheitslücke mit großem, Internet-weiten Ausmaß angekündigt wird. Inzwischen sind die Details dazu publik. Wie bei vergangenen SSL-/TLS-bezogenen Angriffen (CRIME, BEAST, etc) hat dieser Angriffsvektor mit POODLE (Padding Oracle On Downgraded Legacy Encryption) von Google ein durchaus aussprechbares und einprägsames Akronym als Namen erhalten - auch wenn POODLE sowohl ohne dedizierte Webseite als auch ohne ein dramatisches Logo auskommen musste.

Wir haben heute auf allen Host das python-3.4.1 verteilt. Weitere Informationen findet Ihr in unserem Wiki

Wir haben heute auf allen Host neue PHP-Versionen verteilt. Im Detail wären das dann die folgenden: 5.3.29 5.4.33 5.5.17 5.6.1 Alle diese Versionen sind gegen die libxml Version 2.9.1 gelinkt da dieses hin und wieder im Support angefragt wurde. Wie diese PHP-Versionen nun zum Einsatz kommen können wird im Wiki sehr detailiert beschrieben.

Wir haben heute Nachmittag kurz und schmerzlos Updates für phpMyAdmin (4.1.14.5) und Roundcube (1.0.3) auf allen Hosts verteilt. Warum wir nicht die aktuelle ‘stable’-Version von phpMyAdmin nutzen, nämlich den 4.2-Zweig, ist auch ganz schnell erklärt: Wir setzen auf unseren Hosts aktuell MySQL 5.0 (CentOS 5) sowie 5.1 (CentOS 6) ein. Leider hat phpMyAdmin den Support für Versionen <5.5 aber mit dem 4.2.3-Release eingestellt. phpMyAdmin erhält aber auch in Version 4.1 noch regelmäßig Sicherheitsupdates.

Aus der Münchner Abendzeitung im Mai dieses Jahres: Dieser Spaß ging nach hinten los: In einer Überweisung an einen Freund trug ein Münchner im Januar als Verwendungszweck unter anderem „bin laden“ ein – und geriet so ins Fadenkreuz der Ermittler. Sein Name steht nun zehn Jahre auf der schwarzen Liste der Bundesbank, wegen des nicht begründeten Verdachts der versuchten Terrorfinanzierung. Der Titel des Artikels bezeichnet den fraglichen Verwendungszweck als “schlechten Witz”, aber das, was hier ein noch viel schlechterer Witz ist, ist ja wohl die völlig wahnsinnige Folge einer simplen Überweisung, deren Zusammenhang mit tatsächlicher Terrorfinanzierung man ja nun wirklich arg in Zweifel ziehen kann.