Speziell an diesem Wochenende beobachten wir eine ungewöhnliche Häufung von Listings einiger unserer Hosts auf http://cbl.abuseat.org/. Die CBL ist keine Blacklist von Hosts, die wegen Spamming auffällig wären, sondern weil sie Malware hosten. Dass so etwas sporadisch mal passiert, bleibt nie ganz aus, aber die Häufung war schon sehr ungewöhnlich.

Speziell bei Shared Hosting ist das ein ziemliches Problem, denn wenn sich auf einem Host erstmal zig WordPress-, Joomla!- oder Drupal-Versionen befinden, die dutzendfach mit Themes und Plugins ausgestattet werden, ist es schon unwahrscheinlich genug, dass sich alle User ihrer Verantwortung bewusst sind, diese Systeme (die sie sich ja selbst installieren) auch aktuell zu halten, um jene möglichst frei von Einbrüchen zu halten.

Infos, wie die Versionen für den eigenen Account aktiviert werden können, finden sich im Wiki.

Die 5.3er-Serie ist mit 5.3.29 nebenbei offiziell end of life; wer die noch einsetzt, sollte sich schleunigst mal auf die Todo-Liste setzen, auf eine neuere Version zu migrieren. Auf neuen Hosts werden wir aller Voraussicht nach nur noch Versionen ab 5.4 aufwärts bereitstellen.

Wir experimentieren neuerdings mit fail2ban, um Bruteforce-Angriffe auf bestimmte Dienste abzufangen. Das Programm durchsucht Logs nach einem vorgegebenen Schema und kann, wenn dieses Schema mehr als x mal in Zeitraum y gefunden wurde, Aktionen durchführen, wie beispielsweise die IP-Adresse blockieren. Die Konfiguration ist auf allen unseren Hosts die gleiche, hier mal am Beispiel von crater:

[root@crater ~]# fail2ban-client status
Status
|- Number of jail:	6
`- Jail list:		apache-joomla-login, apache-wp-login, apache-auth, apache-friendica-load-prevention, ssh-iptables, wp-spam

Unsere Regeln

Das Prinzip ist immer das selbe. Da der Filter für die Wordpress-Loginmaske am meisten anschlägt, hier mal die dahinter liegende Konfiguration:

Ein frisches node.js ist auf allen Servern verteilt, weitere Informationen dazu wie gewohnt im Wiki

Die Symlinks unter /package/host/localhost sind angepasst:

nodejs -> nodejs-0
nodejs-0 -> nodejs-0.10
nodejs-0.10 -> nodejs-0.10.33

Wenn ihr also einen von den obigen Pfaden in eueren Scripten benutzt, reicht es, den Dienst einfach neu zu starten.

Schon den ganzen Tag gerüchtete es, dass im Laufe des 15. Oktober nach Heartbleed und Shellshock eine weitere Sicherheitslücke mit großem, Internet-weiten Ausmaß angekündigt wird. Inzwischen sind die Details dazu publik.

Wie bei vergangenen SSL-/TLS-bezogenen Angriffen (CRIME, BEAST, etc) hat dieser Angriffsvektor mit POODLE (Padding Oracle On Downgraded Legacy

Encryption) von Google ein durchaus aussprechbares und einprägsames Akronym als Namen erhalten - auch wenn POODLE sowohl ohne dedizierte Webseite als auch ohne ein dramatisches Logo auskommen musste.

Wir haben heute auf allen Host das python-3.4.1 verteilt. Weitere Informationen findet Ihr in unserem Wiki

Alle diese Versionen sind gegen die libxml Version 2.9.1 gelinkt da dieses hin und wieder im Support angefragt wurde. Wie diese PHP-Versionen nun zum Einsatz kommen können wird im Wiki sehr detailiert beschrieben.