Lücke, Status, Maßnahme.

Am 22. Oktober wurde eine Lücke im Linux-Kernel öffentlich, über die ein lokaler Nutzer Dateien verändern kann, die er eigentlich nur lesen darf, und darüber Root-Rechte (Die höchste Rechtestufe auf einem Linux-System. Wer sie hat, kontrolliert den gesamten Server.)Die höchste Rechtestufe auf einem Linux-System. Wer sie hat, kontrolliert den gesamten Server. erlangt. CloudLinux führt sie als Nachfolger von Dirty Frag. Einen Kernel-Fix gibt es noch nicht, ein Angriffsprogramm ist öffentlich. Wir haben die Lücke noch am 22. Oktober auf allen Servern entschärft, ohne Neustart.

Was ist passiert?

Für den Angriff werden mehrere Netzwerk-Funktionen des Kernels kombiniert, die normalerweise nur Administratoren nutzen. Ein Fehler beim Kopieren von Netzwerkdaten schreibt dabei in zwischengespeicherte Dateien, auf die der Angreifer keinen Schreibzugriff hat. Das funktioniert nur, wenn bestimmte Kernel-Module (Nachladbarer Teil des Linux-Kernels, etwa ein Treiber oder eine Netzwerkfunktion.)Nachladbarer Teil des Linux-Kernels, etwa ein Treiber oder eine Netzwerkfunktion. geladen werden können.

Was wir getan haben

Am 22. Oktober haben wir alle Server geprüft. Der größte Teil war bereits durch die Sperren gegen Dirty Frag und RtabRace geschützt, die wir im Mai und im August gesetzt hatten. Auf den übrigen Servern haben wir die benötigten Kernel-Module gesperrt, ohne Neustart und ohne Einfluss auf laufende Dienste. Als CloudLinux am 23. Oktober ein weiteres Modul als Voraussetzung nannte, haben wir auch das geprüft: Es war nirgends geladen, wo nötig haben wir es zusätzlich gesperrt. Mehrere am selben Tag gemeldete Lücken in anderen Kernel-Teilen betreffen uns nicht, die Komponenten sind bei uns nicht aktiv.

Was du tun musst

Nichts. Deine Websites und Dienste laufen unverändert. Wenn du einen eigenen Server außerhalb unserer Plattform betreibst, folge den Hinweisen von CloudLinux in den Quellen, bis ein Kernel-Fix verfügbar ist.

Die technischen Details stehen im CloudLinux-Beitrag unter diesem Eintrag.

Am 21. Oktober wurde unter dem Namen „Infinity Core“ eine Serie von Lücken im Kern des Linux-Kernels veröffentlicht. Wer bereits ein Konto auf einem Server hat, kann darüber Root-Rechte (Die höchste Rechtestufe auf einem Linux-System. Wer sie hat, kontrolliert den gesamten Server.)Die höchste Rechtestufe auf einem Linux-System. Wer sie hat, kontrolliert den gesamten Server. erlangen, ein Angriff von außen ist darüber allein nicht möglich. Exploits waren zu diesem Zeitpunkt bereits öffentlich. Wir haben unsere cPanel- und Plesk-Server noch am Abend des 21. Oktober mit einem neuen Kernel neu gestartet.

Was ist passiert?

Die Fehler stecken in Grundfunktionen des Kernels, etwa bei Zeitgebern von Prozessen und in der Verwaltung von Signalen. Ein normales Konto ohne besondere Rechte reicht, um sie auszunutzen. Eine Schutzeinstellung, die ohne neuen Kernel greift, gibt es nicht; auch das Abschalten einzelner Kernel-Module (Nachladbarer Teil des Linux-Kernels, etwa ein Treiber oder eine Netzwerkfunktion.)Nachladbarer Teil des Linux-Kernels, etwa ein Treiber oder eine Netzwerkfunktion. hilft hier nicht.

Was wir getan haben

Zwischen 21:50 und 23:40 Uhr haben wir die Server erst einzeln als Pilot, dann in Gruppen auf den neuen Kernel gebracht und neu gestartet. Nach jedem Neustart haben wir Kernel-Version, Panel, Webserver und Datenbank geprüft. Auf Servern mit CloudLinux war für das passende Kernel-Modul ein zweiter Neustart nötig. Die Websites waren je Server nur für die Dauer des Neustarts nicht erreichbar. Hinweise auf eine Ausnutzung haben wir nicht gefunden.

Was du tun musst

Nichts. Deine Websites, Datenbanken und Zugänge sind unverändert. Wenn du einen eigenen Server außerhalb unserer Plattform betreibst: Kernel-Update deines Herstellers einspielen und neu starten.

Welche Kernel-Versionen betroffen sind, steht im CloudLinux-Beitrag unter diesem Eintrag.

Das mailcow-Projekt hat am 21. Oktober ein Sicherheits-Release veröffentlicht. Es bringt das gepatchte PHP gegen die beiden kritischen PHP-Lücken vom selben Tag, eine neue nginx-Version mit mehreren Sicherheitskorrekturen und ein Update der Webmail-Oberfläche SOGo. Wir haben alle mailcow-Server noch am Abend des 21. Oktober aktualisiert.

Was ist passiert?

mailcow bündelt Mailserver, Webmail und Verwaltung in mehreren Containern, darunter eigene Versionen von PHP und nginx. Die PHP-Lücken vom 21. Oktober betreffen deshalb auch mailcow, unabhängig vom PHP auf anderen Servern. In nginx schließt das Release Fehler unter anderem in HTTP/3 und bei TLS-Sitzungen, in SOGo eine Lücke, über die ein angemeldeter Nutzer auf fremde Daten zugreifen konnte.

Was wir getan haben

Das Update lief am Abend des 21. Oktober zuerst auf einem Pilotsystem, danach auf allen übrigen mailcow-Servern, mit rund einer Minute Unterbrechung je Server. Anschließend haben wir auf jedem Server die Versionen von PHP, nginx und SOGo ausgelesen und geprüft, dass alle Container laufen und Webmail, Versand und Abruf funktionieren.

Was du tun musst

Nichts. Deine Postfächer, Weiterleitungen und Einstellungen sind unverändert. Wenn du einen eigenen mailcow-Server außerhalb unserer Plattform betreibst: auf das Release 2026-10 aktualisieren.

Die Änderungsliste des Releases steht in den Quellen unter diesem Eintrag.

Am 21. Oktober hat das PHP-Projekt zwei kritische Lücken im Kern von PHP geschlossen. Unter bestimmten Umständen lässt sich darüber ohne Anmeldung Code auf dem Server ausführen, unabhängig davon, ob dort WordPress, Shopware oder eine andere Anwendung läuft. Die Bewertung liegt bei CVSS (Common Vulnerability Scoring System: Skala von 0 bis 10 für die Schwere einer Sicherheitslücke.)Common Vulnerability Scoring System: Skala von 0 bis 10 für die Schwere einer Sicherheitslücke. 9.2, erste Angriffe wurden gemeldet. Wir haben noch am Vormittag eine Schutzeinstellung gesetzt und die Updates bis zum 22. Oktober eingespielt.

Was ist passiert?

Die erste Lücke entsteht, wenn PHP eine Anfrage wegen Speichermangels abbricht und halb vorbereitete Daten zurückbleiben. Bei der zweiten überleben Daten einer Anfrage im PHP-Prozess und werden von der nächsten Anfrage weiterverwendet; die Fortschrittsanzeige für Datei-Uploads ist einer der Wege dorthin. Der veröffentlichte Angriff funktioniert mit „mod_php“, das auf unseren Servern nicht läuft. PHP-FPM und LiteSpeed, die wir einsetzen, sind nur unter bestimmten Bedingungen angreifbar. Behoben sind die Fehler in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35.

Was wir getan haben

Am Vormittag des 21. Oktober haben wir auf allen Servern mit PHP die Fortschrittsanzeige für Uploads abgeschaltet. Damit war einer der bekannten Angriffswege zu, ohne Neustart und ohne Unterbrechung. Ab dem Nachmittag haben wir die Updates von cPanel, Plesk und DirectAdmin eingespielt, in der Nacht die Pakete von CloudLinux. CloudLinux baut den Fix in die vorhandene Version ein und zählt nur die Paketnummer hoch, PHP 8.3.35 kann also bereits gepatcht sein. Wir haben das je Server anhand des Änderungsprotokolls geprüft und PHP-Prozesse beendet, die noch mit der alten Version liefen.

Für die Managed-Nextcloud-Server gab es am Abend noch keine fertigen Pakete. Wir haben sie deshalb gegen 19 Uhr heruntergefahren und am 22. Oktober bis zum späten Vormittag in Gruppen wieder gestartet, jeden direkt mit gepatchtem PHP. Auch der Panel-Dienst von Plesk nutzt PHP; bis Plesk ihn in der Nacht aktualisiert hatte, war der Zugang zum Plesk-Panel auf unser Büro beschränkt und die automatische Einrichtung neuer Mailkonten abgeschaltet. Beides läuft wieder. Die Mailserver haben am Abend ein eigenes Update bekommen, siehe den Eintrag zu mailcow.

Was du tun musst

In der Regel nichts. Wenn deine Website noch mit PHP 8.1 oder älter läuft: Diese Versionen bekommen vom PHP-Projekt keine Updates mehr, die Backports der Hersteller sind eine Ausnahme. Stell auf PHP 8.3 oder 8.4 um, die Version wählst du in deinem Panel. Meldet ein Sicherheitsscanner wegen der Versionsnummer 8.3.35 einen Fehler, schreib uns, wir prüfen das Paket auf deinem Server.

Die technischen Details stehen in den Advisories des PHP-Projekts unter diesem Eintrag.

Mit dem WP Toolkit 6.11.5 hat der Hersteller am 14. Oktober eine Lücke geschlossen, über die ein angemeldeter Nutzer Code unter einem fremden Konto auf demselben Server ausführen konnte. Betroffen ist das WP Toolkit bis Version 6.11.4, unter Plesk wie unter cPanel. Root-Rechte gibt die Lücke nicht. Am 15. Oktober waren alle cPanel- und Plesk-Server auf 6.11.5.

Was ist passiert?

Das WP Toolkit verwaltet WordPress-Installationen im Panel. Durch einen Fehler konnte ein angemeldeter Kunde Dateien in einer Domain ablegen, die einem anderen Konto auf demselben Server gehört, und darüber Code in dessen Namen ausführen. Aus dem Internet ist die Lücke ohne Anmeldung nicht ausnutzbar. Zuerst stand die Korrektur nur im Änderungsprotokoll von Plesk, cPanel hat das Advisory am 21. Oktober mit denselben Versionsgrenzen nachgereicht.

Was wir getan haben

Das WP Toolkit aktualisiert sich nachts von selbst. Am 15. Oktober haben wir den Versionsstand aller cPanel- und Plesk-Server ausgelesen: Version 6.11.5 war fast überall bereits eingespielt. Auf zwei cPanel-Servern war der nächtliche Lauf an einer Paketquelle gescheitert, dort haben wir das Update noch am selben Tag nachgezogen und das WP Toolkit und WHM geprüft.

Was du tun musst

Nichts. Deine WordPress-Installationen und Zugänge sind unverändert. Wenn du einen eigenen Server mit Plesk oder cPanel außerhalb unserer Plattform betreibst: Das WP Toolkit muss auf 6.11.5 oder neuer stehen.

Die Änderungsliste von Plesk und das cPanel-Advisory stehen in den Quellen unter diesem Eintrag.

cPanel hat am 1. Oktober eine weitere Lücke im WP Toolkit gemeldet, der Erweiterung für WordPress-Installationen im Panel. Ein angemeldeter Kunde konnte darüber Code unter einem anderen Konto auf demselben Server ausführen. Root-Rechte gibt die Lücke nicht, aber die Trennung zwischen den Kunden eines Servers war an dieser Stelle gebrochen. Am 7. Oktober waren alle cPanel-Server auf der gepatchten Version 6.11.4.

Was ist passiert?

Ein Fehler in der Verarbeitung des WP Toolkit erlaubte es, Aktionen im Namen eines anderen Kontos anzustoßen, das auf demselben Server eine Domain besitzt. Voraussetzung ist ein bestehendes cPanel-Konto, aus dem Internet ist die Lücke ohne Anmeldung nicht ausnutzbar. Betroffen ist das WP Toolkit for cPanel bis Version 6.11.3, der Fix ist Version 6.11.4.

Was wir getan haben

Das WP Toolkit aktualisiert sich nachts von selbst. Am 7. Oktober haben wir den Versionsstand aller cPanel-Server ausgelesen: Das Update war fast überall bereits eingespielt. Auf einem Server war der nächtliche Lauf an einer Paketquelle gescheitert, dort haben wir die Version von Hand nachgezogen. Anschließend haben wir das WP Toolkit und WHM auf diesem Server geprüft. Auf unseren Plesk-Servern war die Version 6.11.4 ebenfalls eingespielt.

Was du tun musst

Nichts. Deine WordPress-Installationen und Zugänge sind unverändert. Wenn du einen eigenen cPanel-Server außerhalb unserer Plattform betreibst: In WHM muss das WP Toolkit auf 6.11.4 oder neuer stehen.

Die technischen Details stehen im cPanel-Advisory unter diesem Eintrag.

Ende September wurde mit „BTR“ eine neue Variante der Spectre-Lücken veröffentlicht. Ein Programm ohne besondere Rechte kann darüber sehr langsam Speicher des Kernels auslesen, Root-Rechte gibt die Lücke nicht. Der veröffentlichte Angriff funktioniert nur auf bestimmten aktuellen Intel-Prozessoren. Wir haben am 6. Oktober alle Server geprüft: Keiner nutzt eine dieser Prozessorgenerationen.

Was ist passiert?

Moderne Prozessoren raten voraus, wohin ein Programm als Nächstes springt, um schneller zu sein. Bei Spectre-Lücken (Spectre bezeichnet eine Familie von Prozessor-Lücken, bei denen das Vorausrechnen der CPU Spuren hinterlässt, die sich auslesen lassen.)Spectre bezeichnet eine Familie von Prozessor-Lücken, bei denen das Vorausrechnen der CPU Spuren hinterlässt, die sich auslesen lassen. hinterlässt dieses Raten Spuren, aus denen sich fremde Daten erschließen lassen. Bei BTR passiert das, wenn der Kernel Speicher für kleine Filterprogramme wiederverwendet: Der Prozessor merkt sich alte Sprungziele, und ein lokaler Angreifer kann darüber Kernel-Speicher lesen. Eine Schutzeinstellung, die sich ohne Kernel-Update setzen lässt, gibt es nicht.

Was wir getan haben

Am 6. Oktober haben wir auf allen Servern ausgelesen, welche Prozessoren im Einsatz sind. Die Generationen, auf denen der veröffentlichte Angriff funktioniert, sind bei uns nicht dabei. Der Kernel-Fix der Hersteller kommt mit den regulären Kernel-Updates.

Was du tun musst

Nichts. Wenn du eigene Server außerhalb unserer Plattform mit aktuellen Intel-Prozessoren betreibst, spiele den Kernel-Fix deines Herstellers ein, sobald er verfügbar ist.

Welche Prozessoren und Kernel betroffen sind, steht im CloudLinux-Beitrag unter diesem Eintrag.

BigBlueButton hat mit Version 3.0.38 ein Sicherheits-Release veröffentlicht. Die zwei schwersten Lücken stecken in der Telefon-Einwahl: Wer die Einwahl-Ports eines Servers aus dem Internet erreicht, konnte ohne Anmeldung Befehle ausführen oder unsichtbar in Meetings mithören. Dazu kommen sieben kleinere Fehler, die eine Anmeldung voraussetzen. Auf unseren Servern waren die Einwahl-Ports von außen gesperrt, die beiden schweren Lücken also nicht ausnutzbar. Trotzdem haben wir alle Managed-BBB-Server am 1. Oktober auf 3.0.38 aktualisiert.

Was ist passiert?

Für die Einwahl per Telefon nutzt BigBlueButton die Telefonie-Software FreeSWITCH. Eine Rufnummer wurde dort ungeprüft weiterverarbeitet, darüber ließen sich Befehle auf dem Server ausführen. Eine zweite Lücke erlaubte es, Meeting-Audio mitzuhören und einzuspeisen, ohne in der Teilnehmerliste aufzutauchen. Beides setzt voraus, dass die SIP-Ports (Netzwerk-Ports für Telefonie-Verbindungen nach dem SIP-Protokoll. Ein normales Browser-Meeting braucht sie nicht.)Netzwerk-Ports für Telefonie-Verbindungen nach dem SIP-Protokoll. Ein normales Browser-Meeting braucht sie nicht. aus dem Internet erreichbar sind. Die weiteren Fehler betrafen unter anderem Breakout-Räume, geteilte Notizen und den Export von Umfragen.

Was wir getan haben

Vor dem Update haben wir geprüft, ob die Einwahl-Ports unserer Server von außen erreichbar sind: Die Firewall mit dem BigBlueButton-Standardregelsatz war überall aktiv, die Ports also zu. Das Update lief am 1. Oktober in Wellen über alle Managed-BigBlueButton-Server, danach haben wir auf jedem Server den Versionsstand und alle Dienste geprüft.

Was du tun musst

Nichts. Deine Räume, Aufzeichnungen und Einstellungen sind unverändert. Wenn du einen eigenen BigBlueButton-Server außerhalb unserer Plattform betreibst: auf 3.0.38 oder neuer aktualisieren und die SIP-Ports per Firewall sperren.

Die Advisories zu den einzelnen Lücken stehen in den Quellen unter diesem Eintrag.

cPanel hat am 29. September eine Lücke in der Verwaltung der PHP-Versionen gemeldet. Ein angemeldeter Kunde konnte darüber Befehle mit Administrator-Rechten ausführen, ein Login ins Panel oder Code im eigenen Webspace genügte. Mit demselben Update hat cPanel zwei weitere Lücken in der Admin-Oberfläche WHM geschlossen. Bei unserer Prüfung am 30. September hatten unsere cPanel-Server das Update bereits, auf einigen älteren Servern haben wir die betroffene Funktion abgeschaltet.

Was ist passiert?

In cPanel stellt der „MultiPHP Manager“ die PHP-Version je Domain ein. Ein Hilfsprogramm dahinter prüfte seine Eingaben nicht sauber, und darüber ließen sich beliebige Befehle mit Root-Rechten (Die höchste Rechtestufe auf einem Linux-System. Wer sie hat, kontrolliert den gesamten Server.)Die höchste Rechtestufe auf einem Linux-System. Wer sie hat, kontrolliert den gesamten Server. ausführen. Voraussetzung ist ein bestehendes cPanel-Konto. Die Lücke gehört zur selben Klasse wie die vom 27. August und vom 8. September. Die beiden weiteren Lücken erlaubten es einem Konto, Skripte in Seiten von WHM zu hinterlegen, die dann in der Sitzung eines Administrators liefen.

Was wir getan haben

cPanel verteilt Sicherheits-Updates über einen eigenen automatischen Mechanismus. Am 30. September haben wir den Versionsstand aller cPanel-Server ausgelesen: Die gepatchten Versionen waren bereits eingespielt, ein Eingriff war nicht nötig. Auf den wenigen Servern, deren Betriebssystem zu alt für die aktuelle cPanel-Version ist, haben wir stattdessen den MultiPHP Manager im Kunden-Panel abgeschaltet, bis diese Server ausgetauscht sind. Die eingestellten PHP-Versionen laufen dort unverändert weiter.

Was du tun musst

Nichts. Deine Websites, Zugänge und PHP-Einstellungen sind unverändert. Solltest du in deinem cPanel den MultiPHP Manager vermissen, liegt dein Konto auf einem der älteren Server; die PHP-Version stellen wir dir dann gern per Ticket um.

Die technischen Details stehen in den cPanel-Advisories unter diesem Eintrag.

Plesk hat am 29. September für beide aktuellen Versionslinien ein Update veröffentlicht, das nach Angabe des Herstellers „ein kritisches Sicherheitsproblem” schließt und so schnell wie möglich eingespielt werden soll. Details nennt Plesk noch nicht. Bei den vorangegangenen Updates mit derselben Ankündigung ließen sich aus einem normalen Kundenkonto heraus Administrator-Rechte erlangen. Wir haben alle Plesk-Server noch am 29. September aktualisiert, dem Tag der Veröffentlichung.

Was ist passiert?

Was das Update genau schließt, hat Plesk bislang nicht veröffentlicht, eine CVE-Nummer gibt es noch nicht. Die Formulierung entspricht den Sicherheits-Updates der letzten Wochen, hinter denen jeweils eine Rechteausweitung zu Root (Die höchste Rechtestufe auf einem Linux-System. Wer sie hat, kontrolliert den gesamten Server.)Die höchste Rechtestufe auf einem Linux-System. Wer sie hat, kontrolliert den gesamten Server. stand. Deshalb behandeln wir es als akut. Das Update bringt außerdem nginx 1.30.5 mit und schließt damit eine bekannte Lücke im HTTP/3-Modul des Webservers, die auf Servern mit aktivem nginx und HTTP/3 relevant ist.

Was wir getan haben

Die nächtliche Wartung unserer Plesk-Server war zum Zeitpunkt der Veröffentlichung bereits gelaufen, das automatische Update wäre erst am Folgetag gekommen. Darauf haben wir nicht gewartet. Zuerst haben wir den Versionsstand aller Plesk-Server ausgelesen, dann das Update auf einem Testsystem mit aktivem nginx und HTTP/3 eingespielt und Panel, Webserver und Mail-Versand geprüft. Danach lief das Update in einer Welle auf allen übrigen Plesk-Servern, in weniger als zwanzig Minuten. Anschließend haben wir auf jedem Server den Versionsstand von Plesk und nginx ausgelesen und geprüft, dass Panel, Web-, Mail- und Datenbank-Dienste laufen und erreichbar sind. Eine Sperre des Panels war nicht nötig.

Was du tun musst

Nichts. Deine Zugänge, Websites, Postfächer und Einstellungen sind unverändert. Wenn du einen eigenen Plesk-Server außerhalb unserer Plattform betreibst: Auf der Kommandozeile muss plesk version jetzt 18.0.81 mit Update 2 zeigen, oder 18.0.80 mit Update 9.

Die Änderungslisten von Plesk und das nginx-Advisory stehen in den Quellen unter diesem Eintrag.

Plesk hat am 24. September die Erweiterung für die Zwei-Faktor-Anmeldung auf Version 1.3.3 gehoben. Der Änderungseintrag nennt nur „Security improvements”, eine Beschreibung der Lücke oder eine CVE-Nummer gibt es nicht. Wie schon beim Update dieser Erweiterung am 16. September behandeln wir das als Sicherheitslücke. Am 25. September haben wir auf jedem Plesk-Server geprüft, dass die Erweiterung auf 1.3.3 läuft.

Was ist passiert?

Was das Update genau schließt, hat Plesk nicht veröffentlicht. Die Erweiterung sichert die Anmeldung am Panel mit einem zweiten Faktor ab, deshalb nehmen wir jede Änderung daran ernst. Daneben behebt die Version einen Fehler bei der Anzeige des QR-Codes, der nur bei einer Einstellung auftritt, die wir nicht nutzen.

Was wir getan haben

Das Update kam in der Nacht auf den 25. September über die automatische Aktualisierung der Erweiterungen auf unsere Server. Wir haben am Morgen auf jedem Plesk-Server den Versionsstand der Erweiterung und des Panels ausgelesen und den gepatchten Stand bestätigt.

Was du tun musst

Nichts. Deine Zwei-Faktor-Anmeldung funktioniert unverändert. Wenn du einen eigenen Plesk-Server außerhalb unserer Plattform betreibst: Unter „Erweiterungen” muss Multi-Factor Authentication auf 1.3.3 oder neuer stehen.

Der Änderungseintrag von Plesk steht in den Quellen unter diesem Eintrag.

Plesk hat am 23. September die Erweiterung Site Import aktualisiert, mit der Kunden Websites von einem anderen Server umziehen. Ein beim Import eingegebener Datenbankname wurde ungeprüft in einem Befehl verwendet, den Plesk mit Administrator-Rechten ausführt. Ein normales Hosting-Konto konnte darüber beliebige Befehle als Root absetzen. Das Update kam über Nacht per automatischer Aktualisierung auf unsere Server. Am 24. September haben wir auf jedem Plesk-Server geprüft, dass die Erweiterung auf dem gepatchten Stand läuft.

Was ist passiert?

Beim Umzug einer Website fragt Site Import nach dem Namen der Quell-Datenbank. Dieser Name wurde ohne Absicherung an ein Kommando durchgereicht, das mit Root-Rechten (Die höchste Rechtestufe auf einem Linux-System. Wer sie hat, kontrolliert den gesamten Server.)Die höchste Rechtestufe auf einem Linux-System. Wer sie hat, kontrolliert den gesamten Server. läuft. Wer in seinen Datenbanknamen Befehle einbaute, bekam sie damit auf dem Server ausgeführt. Voraussetzung ist ein bestehendes Plesk-Konto, aus dem Internet ist die Lücke ohne Anmeldung nicht ausnutzbar. Es ist die zweite Lücke dieser Art in Site Import innerhalb eines Monats, die erste hatten wir am 24. August geschlossen.

Was wir getan haben

Erweiterungen aktualisiert Plesk auf unseren Servern nachts von selbst. Wir haben am 24. September auf jedem Plesk-Server den Versionsstand ausgelesen: Überall, wo Site Import installiert ist, lief bereits Version 1.12.2. Auf den Servern mit der verwandten Erweiterung Plesk Migrator war in derselben Nacht auch deren aktuelle Version angekommen.

Was du tun musst

Nichts. Deine Websites, Datenbanken und Zugänge sind unverändert. Wenn du einen eigenen Plesk-Server außerhalb unserer Plattform betreibst: Unter „Erweiterungen” muss Site Import auf 1.12.2 oder neuer stehen.

Die Beschreibung der Lücke steht in den Quellen unter diesem Eintrag.

cPanel hat am 22. September zwei Lücken in der Kalender- und Adressbuch-Funktion gemeldet. Über die schwerere davon konnte ein angemeldeter Kunde Befehle mit Administrator-Rechten ausführen, über die zweite Kalender und Kontakte anderer Konten auf demselben Server lesen. Die gepatchten cPanel-Versionen kamen über Nacht per automatischem Update auf unsere Server. Am 23. September haben wir auf jedem cPanel-Server geprüft, dass die gepatchte Version läuft. Es war keine weitere Maßnahme nötig.

Was ist passiert?

cPanel stellt Kalender und Adressbücher über CalDAV und CardDAV (Standards, mit denen Mail-Programme und Smartphones Kalender und Kontakte mit dem Server abgleichen.)Standards, mit denen Mail-Programme und Smartphones Kalender und Kontakte mit dem Server abgleichen. bereit. Ein Fehler in dieser Funktion erlaubte es, aus einem normalen cPanel-Konto heraus Root-Rechte (Die höchste Rechtestufe auf einem Linux-System. Wer sie hat, kontrolliert den gesamten Server.)Die höchste Rechtestufe auf einem Linux-System. Wer sie hat, kontrolliert den gesamten Server. zu erlangen. Ein zweiter Fehler betraf die Dateirechte des Kalender-Speichers: Ein lokaler Nutzer konnte Kalender und Kontakte fremder Konten lesen, nicht verändern. Beide Lücken setzen ein bestehendes Konto voraus, aus dem Internet sind sie ohne Anmeldung nicht ausnutzbar. Betroffen ist cPanel ab Version 120, ältere Versionslinien enthalten den fehlerhaften Code nicht.

Was wir getan haben

Die gepatchten Versionen hat cPanel in der Nacht auf den 23. September über den eigenen Update-Mechanismus verteilt. Wir haben uns darauf nicht verlassen, sondern am Morgen den Versionsstand auf jedem cPanel-Server ausgelesen: Alle Server ab Version 120 liefen bereits auf einem gepatchten Stand, die übrigen Server nutzen ältere Versionslinien und sind von diesen Lücken nicht betroffen. Das Update korrigiert auch die Dateirechte bestehender Kalender.

Was du tun musst

Nichts. Deine Kalender, Kontakte und Zugänge sind unverändert. Wenn du einen eigenen cPanel-Server außerhalb unserer Plattform betreibst: Ab Version 120 muss cPanel auf 11.134.0.57, 11.136.0.41 oder 11.138.0.8 stehen.

Die technischen Details stehen in den cPanel-Advisories unter diesem Eintrag.

cPanel hat am 22. September eine Lücke im WP Toolkit gemeldet, der Erweiterung, mit der Kunden ihre WordPress-Installationen im Panel verwalten. Beim Anlegen einer Datenbank über das Toolkit konnte ein angemeldeter Kunde Datenbanken anderer Konten auf demselben Server verändern. Root-Rechte gibt die Lücke nicht, aber die Trennung zwischen den Kunden eines Servers war an dieser Stelle gebrochen. Wir haben das WP Toolkit noch am 22. September auf allen cPanel-Servern auf die gepatchte Version gebracht.

Was ist passiert?

Wer in cPanel über das WP Toolkit eine WordPress-Installation anlegt oder klont, bekommt dabei automatisch eine Datenbank erzeugt. Ein Fehler in dieser Verarbeitung erlaubte es, dabei Datenbanken anderer Kunden zu erreichen und zu verändern. Voraussetzung ist ein bestehendes cPanel-Konto, aus dem Internet ist die Lücke ohne Anmeldung nicht ausnutzbar. Betroffen ist das WP Toolkit for cPanel bis Version 6.11.2, der Fix ist Version 6.11.3. Für die Plesk-Variante des WP Toolkit hat der Hersteller keine Lücke gemeldet.

Was wir getan haben

Das WP Toolkit aktualisiert sich normalerweise nachts von selbst, allerdings gestaffelt über mehrere Tage. Darauf wollten wir nicht warten. Wir haben am 22. September zuerst den Versionsstand aller cPanel-Server ausgelesen und das Update dann aktiv ausgerollt: zuerst auf einer kleinen Gruppe von Servern über alle eingesetzten Betriebssysteme, danach in einer Welle auf allen übrigen. Anschließend haben wir auf jedem Server die neue Version geprüft und die Erreichbarkeit von WHM kontrolliert. Neustarts von Diensten waren nicht nötig.

Was du tun musst

Nichts. Deine WordPress-Installationen, Datenbanken und Zugänge sind unverändert. Wenn du einen eigenen cPanel-Server außerhalb unserer Plattform betreibst: In WHM muss das WP Toolkit auf 6.11.3 oder neuer stehen.

Die technischen Details stehen im cPanel-Advisory unter diesem Eintrag.

Plesk hat am 21. September für beide aktuellen Versionslinien ein Sicherheits-Update veröffentlicht, wie schon viermal seit Ende August zunächst ohne Angabe, worum es geht. Bei jedem der vorherigen Updates stellte sich später heraus, dass Kunden mit Panel- oder Shell-Zugang volle Administrator-Rechte auf dem Server erlangen konnten. Wir haben alle Plesk-Server noch am 21. September aktualisiert, dem Tag der Veröffentlichung.

Was ist passiert?

Am Tag der Veröffentlichung lautete die Ankündigung wie bei den vier vorherigen Updates nur „Security improvements”, deshalb haben wir es genauso behandelt: als Lücke, die im schlimmsten Fall aus einem normalen Hosting-Konto heraus ausnutzbar ist. Am 24. September hat Plesk die Lücke benannt: Ein angemeldeter Nutzer konnte über die REST-API-Erweiterung Root-Rechte auf dem Server erlangen. Betroffen sind Plesk 18.0.34 bis 18.0.80 Update 7 in Kombination mit der REST-API-Erweiterung 2.4.2 bis 2.4.6. Das Update gibt es für die bisherige Linie 18.0.80 als Update 8 und für die neue Linie 18.0.81 als Update 1; die REST-API-Erweiterung war auf unseren Servern bereits seit dem 16. September auf der korrigierten Version 2.4.7.

Was wir getan haben

Wir haben die Gelegenheit genutzt und alle Plesk-Server einheitlich auf die neue Linie 18.0.81 gehoben, statt auf der alten zu bleiben. Das Update lief zuerst auf einem Testsystem mit Funktionsprüfung von Panel, Mail-Versand und Mail-Abruf, danach in Wellen auf allen Plesk-Servern. Anschließend haben wir auf jedem Server den Versionsstand ausgelesen und geprüft, dass Panel, Web-, Mail- und Datenbank-Dienste laufen und erreichbar sind. Eine Sperre des Panels war nicht nötig.

Was du tun musst

Nichts. Deine Zugänge, Websites, Postfächer und Einstellungen sind unverändert. Wenn du einen eigenen Plesk-Server außerhalb unserer Plattform betreibst: Auf der Kommandozeile muss plesk version jetzt 18.0.81 mit Update 1 zeigen, oder 18.0.80 mit Update 8.

Das Advisory und die Änderungslisten von Plesk stehen in den Quellen unter diesem Eintrag.

Die US-Behörde CISA hat am 18. September zwei Lücken im Linux-Kernel in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen. Die schwerere, „Dirty ARP”, erlaubt es, aus einem Container heraus fremden Speicher des Servers zu überschreiben. Kernel-Updates dafür gibt es weder für CloudLinux und AlmaLinux noch für Ubuntu. Unsere Server sind seit dem 18. September dagegen abgesichert, im laufenden Betrieb und ohne Neustart.

Was ist passiert?

Dirty ARP steckt in einem Kernel-Modul, das Netzwerk-Pakete auf einer Bridge (Virtueller Netzwerk-Switch im Kernel, der mehrere Schnittstellen verbindet. Auf Webservern nur für Container-Netzwerke im Einsatz.)Virtueller Netzwerk-Switch im Kernel, der mehrere Schnittstellen verbindet. Auf Webservern nur für Container-Netzwerke im Einsatz. umschreiben kann. Beim Ändern einer Absender-Adresse schreibt es ohne Prüfung in den Paketspeicher und trifft dabei unter Umständen Speicher, der zu anderen Programmen gehört. Ausnutzen kann das nur, wer bereits Netzwerk-Regeln auf dem Server anlegen darf, typischerweise aus einem Container heraus. Aus dem Internet und aus einem normalen Hosting-Konto ist die Lücke nicht erreichbar. Die zweite Lücke betrifft die Krypto-Schnittstelle des Kernels: Zwei gleichzeitige Zugriffe auf denselben Kanal bringen deren Zustand durcheinander. Nach Einstufung von Red Hat ist sie von mittlerer Schwere, sie führt zum Absturz des Prozesses, aber weder zu Root-Rechten (Die höchste Rechtestufe auf einem Linux-System. Wer sie hat, kontrolliert den gesamten Server.)Die höchste Rechtestufe auf einem Linux-System. Wer sie hat, kontrolliert den gesamten Server. noch zu einem Zugriff aus dem Internet.

Was wir getan haben

Das Modul hinter Dirty ARP war auf keinem unserer Server geladen, unsere Server brauchen es nicht. Wir haben es deshalb am 18. September auf allen Servern gegen Laden gesperrt, vorab auf Testsystemen aus jeder Server-Gruppe geprüft, dann flächendeckend, und auf jedem Server anschließend kontrolliert, dass sich das Modul nicht mehr laden lässt. Die Krypto-Schnittstelle der zweiten Lücke ist fest in den Kernel eingebaut und lässt sich nicht abschalten. Wir haben geprüft, wo sie überhaupt genutzt wird, und warten dort auf die Kernel-Updates der Hersteller, die wir regulär einspielen, sobald sie erscheinen.

Was du tun musst

Nichts. Deine Anwendungen laufen unverändert weiter. Wer eigene Linux-Maschinen außerhalb unserer Plattform betreut: Wird dort kein ebtables-SNAT gebraucht, das Modul ebt_snat sperren, das schließt Dirty ARP ohne Kernel-Update.

Die technischen Details zu beiden Lücken stehen in den Quellen unter diesem Eintrag.

Plesk hat am 14. September zwei seiner Erweiterungen aktualisiert: Über das Node.js Toolkit und die Ruby-Erweiterung konnte ein Plesk-Kunde beliebige Befehle mit Administrator-Rechten ausführen. Am 16. September folgte ein Sicherheits-Update der Erweiterung für die Zwei-Faktor-Anmeldung, ohne nähere Angaben. Beide Updates sind auf allen Plesk-Servern eingespielt, das haben wir am 16. September auf jedem Server nachgeprüft.

Was ist passiert?

Plesk-Kunden, deren Tarif Node.js- oder Ruby-Anwendungen erlaubt, verwalten diese über eine Erweiterung im Panel. Durch einen Fehler darin ließen sich Befehle einschleusen, die Plesk mit Root-Rechten (Die höchste Rechtestufe auf einem Linux-System. Wer sie hat, kontrolliert den gesamten Server.)Die höchste Rechtestufe auf einem Linux-System. Wer sie hat, kontrolliert den gesamten Server. ausführt. Voraussetzung ist ein bestehendes Plesk-Konto, aus dem Internet ist die Lücke ohne Anmeldung nicht ausnutzbar. Was das Update der Zwei-Faktor-Erweiterung genau schließt, hat Plesk nicht veröffentlicht.

Was wir getan haben

Erweiterungen aktualisiert Plesk auf unseren Servern nachts von selbst. Wir haben uns darauf nicht verlassen, sondern am 16. September auf jedem Server den Versionsstand der drei Erweiterungen ausgelesen. Auf einem einzigen Server war das nächtliche Update ausgefallen, dort haben wir es von Hand nachgezogen und erneut geprüft. Die Ruby-Erweiterung ist auf unseren Servern nicht installiert.

Was du tun musst

Nichts. Deine Node.js-Anwendungen und deine Zwei-Faktor-Anmeldung funktionieren unverändert. Wenn du einen eigenen Plesk-Server außerhalb unserer Plattform betreibst: Unter „Erweiterungen” muss das Node.js Toolkit auf 2.5.0, Ruby auf 1.6.6 und Multi-Factor Authentication auf 1.3.2 oder neuer stehen.

Die Beschreibung der Lücke steht in den Quellen unter diesem Eintrag.

Am 14. September wurde eine kritische Lücke im LiteSpeed Web Server Enterprise gemeldet: Ein Kunde auf einem geteilten Hosting-Server konnte sich darüber volle Administrator-Rechte verschaffen und dabei die Abschottung zwischen den Konten umgehen. Betroffen sind alle Versionen vor 6.3.7. Wir haben alle Server mit LiteSpeed am 15. September auf 6.3.7 gebracht und die zwei Nachbesserungen des Herstellers am 16. und 17. September jeweils am selben Tag nachgezogen.

Was ist passiert?

LiteSpeed startet für jedes Hosting-Konto eigene PHP-Prozesse und schottet sie über CageFS (Virtuelles Dateisystem von CloudLinux, in dem jeder Hosting-Kunde nur seine eigenen Dateien und Prozesse sieht.)Virtuelles Dateisystem von CloudLinux, in dem jeder Hosting-Kunde nur seine eigenen Dateien und Prozesse sieht. voneinander ab. Über einen Fehler in der Komponente, die diese Prozesse anstößt, ließ sich der Abschottung entkommen und der Webserver zu Aktionen mit Root-Rechten (Die höchste Rechtestufe auf einem Linux-System. Wer sie hat, kontrolliert den gesamten Server.)Die höchste Rechtestufe auf einem Linux-System. Wer sie hat, kontrolliert den gesamten Server. bringen. Voraussetzung ist ein Hosting-Konto auf dem Server, etwa eine gehackte Website; aus dem Internet ist die Lücke ohne ein solches Konto nicht ausnutzbar. Eine CVE-Nummer hat der Hersteller bislang nicht vergeben.

Was wir getan haben

Wir haben am Morgen des 15. September den Versionsstand aller Server mit LiteSpeed ausgelesen und das Update zuerst auf Testsystemen aus jeder Server-Klasse eingespielt, danach in Wellen auf allen Servern. Der Webserver startet dabei neu, die Unterbrechung dauert wenige Sekunden pro Server. Anschließend haben wir auf jedem Server Version, Prozess und Erreichbarkeit der Websites geprüft. Am 15. und am 17. September hat LiteSpeed zwei weitere Härtungen derselben Lücke als Builds 1 und 2 nachgeschoben; beide haben wir am 16. und 17. September auf denselben Servern nachgezogen und erneut geprüft.

Was du tun musst

Nichts. Deine Websites, PHP-Einstellungen und Caches sind unverändert. Wenn du LiteSpeed Enterprise auf einem eigenen Server außerhalb unserer Plattform betreibst: auf 6.3.7 Build 2 aktualisieren. Die Versionsnummer allein reicht nicht, Version und Build müssen stimmen.

Die Hersteller-Meldung steht in der Quelle unter diesem Eintrag.

BigBlueButton hat am 10. September die Version 3.0.37 veröffentlicht, ein reines Sicherheits-Release mit fünf geschlossenen Lücken. Die schwerste erlaubte es, mit eingeschränkten Rechten die signierten Links zu manipulieren, über die Teilnehmer einer Konferenz beitreten. Vier weitere betrafen Zugriffe über Meeting-Grenzen hinweg: auf Audio, Präsentationen und Folien fremder Konferenzen. Wir haben alle Managed-BBB-Server am 11. September auf 3.0.37 aktualisiert.

Was ist passiert?

Wenn ein angebundenes System wie Greenlight oder Moodle einen Teilnehmer in eine Konferenz schickt, baut BigBlueButton dafür einen Link mit Prüfsumme (Prüfwert aus den Anfrage-Daten und dem geheimen API-Schlüssel des Servers. Nur wer den Schlüssel kennt, kann gültige Anfragen erzeugen.)Prüfwert aus den Anfrage-Daten und dem geheimen API-Schlüssel des Servers. Nur wer den Schlüssel kennt, kann gültige Anfragen erzeugen.. Beim Zusammensetzen dieses Links wurden Parameter nicht sauber kodiert, und die Schnittstelle akzeptierte mehrere Prüfsummen pro Anfrage. Wer Zugriff auf die Schnittstelle hatte, konnte so Beitritts-Links verändern. Die weiteren Fehler erlaubten es Teilnehmern eines Meetings, sich in den Ton, die Präsentation oder einzelne Folien eines anderen Meetings auf demselben Server einzuklinken.

Was wir getan haben

Das Update lief zuerst auf einem Testsystem, dort haben wir nachgestellt, dass eine Anfrage mit doppelter Prüfsumme jetzt abgewiesen wird. Danach in Wellen auf allen Managed-BigBlueButton-Servern; Server mit laufenden Meetings haben wir erst nach deren Ende aktualisiert. Anschließend haben wir auf jedem Server den Versionsstand ausgelesen und geprüft, dass alle Dienste laufen. Mit dem Update entfällt eine veraltete Audio-Schnittstelle, die der normale Konferenz-Client nicht nutzt.

Was du tun musst

Nichts. Deine Räume, Aufzeichnungen und Einstellungen sind unverändert. Wenn du einen eigenen BigBlueButton-Server außerhalb unserer Plattform betreibst: auf 3.0.37 oder neuer aktualisieren.

Die Advisories zu allen fünf Lücken stehen in den Quellen unter diesem Eintrag.

CloudLinux hat am 11. September eine Lücke im Linux-Kernel eingeordnet, deren Analyse seit Anfang August öffentlich ist. Wer auf einem betroffenen Server ein normales Benutzerkonto hat, kann sich darüber volle Administrator-Rechte verschaffen. Endgültige Kernel-Updates gibt es bislang nur als Vorabversion, für die meisten Systeme stehen sie noch aus. Unsere Server sind seit dem 11. September dagegen abgesichert, im laufenden Betrieb und ohne Neustart.

Was ist passiert?

Die Lücke steckt in dem Kernel-Modul, das mehrere Netzwerk-Schnittstellen zu einer Bridge (Virtueller Netzwerk-Switch im Kernel, der mehrere Schnittstellen verbindet. Auf Webservern nur für Container-Netzwerke im Einsatz.)Virtueller Netzwerk-Switch im Kernel, der mehrere Schnittstellen verbindet. Auf Webservern nur für Container-Netzwerke im Einsatz. verbindet. Beim Löschen einer solchen Bridge bleibt ein interner Zeitgeber aktiv und greift anschließend auf bereits freigegebenen Speicher zu. Daraus lässt sich Schritt für Schritt eine Übernahme von Root-Rechten (Die höchste Rechtestufe auf einem Linux-System. Wer sie hat, kontrolliert den gesamten Server.)Die höchste Rechtestufe auf einem Linux-System. Wer sie hat, kontrolliert den gesamten Server. bauen. Aus dem Internet ist die Lücke nicht direkt ausnutzbar. Auf einem Hosting-Server reicht aber jede gehackte Website, weil deren PHP-Prozess als lokaler Benutzer läuft. Angreifbar ist ein Server nur, wenn ein normaler Benutzer einen eigenen Benutzer-Namensraum (Abgeschotteter Bereich im Kernel, in dem ein Benutzer eigene, isolierte Netzwerk- und Rechte-Einstellungen anlegen darf.)Abgeschotteter Bereich im Kernel, in dem ein Benutzer eigene, isolierte Netzwerk- und Rechte-Einstellungen anlegen darf. anlegen und sich das Bridge-Modul laden lässt.

Was wir getan haben

Die geteilten Hosting-Server waren durch die Absicherung gegen RtabRace vom 18. August bereits geschützt, dort dürfen normale Benutzer keine eigenen Namensräume anlegen. Am 11. September haben wir das auf allen Servern nachgeprüft und die Absicherung in zwei Schritten ergänzt: Auf Servern, die keine Bridge brauchen, haben wir das Modul entladen und gegen erneutes Laden gesperrt. Auf Servern mit Container-Netzwerken, etwa Nextcloud und BigBlueButton, in denen das Modul in Betrieb ist, haben wir stattdessen die Benutzer-Namensräume abgeschaltet. Vorab auf Testsystemen aus jeder Server-Gruppe geprüft, dann flächendeckend, und auf jedem Server anschließend kontrolliert, dass der jeweilige Angriffsweg verschlossen ist. Sobald die Kernel-Updates der Hersteller da sind, spielen wir sie regulär ein.

Was du tun musst

Nichts. Deine Anwendungen laufen unverändert weiter. Wenn du auf einem Managed Server selbst Software betreibst, die Benutzer-Namensräume braucht, typischerweise Container-Werkzeuge ohne Administrator-Rechte, und dir seit dem 11. September etwas auffällt, melde dich kurz bei uns: +49 (0)2102 305 84 30. Wer eigene Linux-Maschinen außerhalb unserer Plattform betreut, findet die Mitigation im unten verlinkten CloudLinux-Beitrag.

Die technische Analyse und der Stand der Kernel-Updates stehen in der Quelle unter diesem Eintrag.

Der Hersteller der ConfigServer Firewall hat am 11. September zwei weitere Lücken veröffentlicht, die er bereits mit der Version 16.30 geschlossen hatte. Eine steckt in der Verarbeitung extern bezogener Sperrlisten, die andere erneut im Messenger-Dienst (Optionale CSF-Funktion, die gesperrten Besuchern statt einer toten Verbindung eine Hinweis-Seite anzeigt.)Optionale CSF-Funktion, die gesperrten Besuchern statt einer toten Verbindung eine Hinweis-Seite anzeigt.. Beide führen im schlimmsten Fall zu Root-Rechten (Die höchste Rechtestufe auf einem Linux-System. Wer sie hat, kontrolliert den gesamten Server.)Die höchste Rechtestufe auf einem Linux-System. Wer sie hat, kontrolliert den gesamten Server.. Auf unseren Servern läuft seit dem 3. September Version 16.31, beide Lücken waren damit schon geschlossen, bevor sie bekannt wurden.

Was ist passiert?

CSF kann Sperr- und Freigabelisten von einer externen Adresse nachladen. Wer diese Adresse kontrolliert, konnte der Firewall über eine präparierte Liste Befehle unterschieben. Die zweite Lücke erlaubte Angreifern ohne Anmeldung, dem Messenger-Dienst Code unterzujubeln, allerdings nur, wenn der Dienst eingeschaltet und mit einem Captcha-Schlüssel versehen ist. Beides ist in einer Standard-Installation nicht der Fall.

Was wir getan haben

Wir haben am 11. September auf allen Servern den Versionsstand der Firewall ausgelesen: überall 16.31, seit dem Update vom 3. September. Zusätzlich haben wir geprüft, ob die verwundbaren Wege überhaupt offenstanden. Der Messenger-Dienst ist auf keinem Server aktiv. Die Sperrlisten, die unsere Firewalls nachladen, kommen ausschließlich von unseren eigenen Systemen, nicht von Dritten. Eine Maßnahme war nicht nötig.

Was du tun musst

Nichts. Deine Firewall-Freigaben, Ports und Sperrlisten bleiben unverändert. Wenn du CSF auf einem eigenen Server außerhalb unserer Plattform betreibst: auf 16.30 oder neuer aktualisieren, besonders wenn dort Sperrlisten von fremden Adressen nachgeladen werden.

Die Hersteller-Meldungen mit den betroffenen Fassungen stehen in den Quellen unter diesem Eintrag.

Plesk hat am 10. September das vierte als „kritisch” eingestufte Sicherheits-Update seit Ende August veröffentlicht, wieder zunächst ohne Angabe, worum es geht. Am 16. September folgten die Details: Zwei Fehler im Backup-Manager erlaubten es einem Kunden, beim Wiederherstellen eines Backups fremde Dateien zu übernehmen oder beliebige Dateien mit Administrator-Rechten zu schreiben. Wir haben alle Plesk-Server am 10. September aktualisiert, sechs Tage bevor Plesk die Lücken benannt hat.

Was ist passiert?

Jeder Plesk-Kunde kann Backups seines Abonnements anlegen, herunterladen, hochladen und wiederherstellen. In diesem Ablauf steckten zwei Fehler. Beim Wiederherstellen ließ sich Plesk über eine Race-Condition (Fehler, bei dem zwei gleichzeitige Vorgänge sich in die Quere kommen und einen unerwarteten Zustand hinterlassen.)Fehler, bei dem zwei gleichzeitige Vorgänge sich in die Quere kommen und einen unerwarteten Zustand hinterlassen. dazu bringen, fremde Dateien dem Kunden zuzuordnen. Und ein präpariertes Backup-Archiv konnte beim Einspielen Dateien außerhalb des Kundenverzeichnisses ablegen. Beides endet bei Root-Rechten (Die höchste Rechtestufe auf einem Linux-System. Wer sie hat, kontrolliert den gesamten Server.)Die höchste Rechtestufe auf einem Linux-System. Wer sie hat, kontrolliert den gesamten Server.. Voraussetzung ist ein bestehendes Plesk-Konto mit Panel- oder FTP-Zugang; aus dem Internet ist die Lücke ohne Anmeldung nicht ausnutzbar. Das Update hebt außerdem den Webmailer Roundcube auf die aktuelle Version 1.6.19.

Was wir getan haben

Wir haben das Update am 10. September wie bei den drei vorherigen behandelt: als Lücke, die im schlimmsten Fall aus einem normalen Hosting-Konto heraus ausnutzbar ist. Es lief zuerst auf einem Testsystem mit Funktionsprüfung von Panel, Mail-Versand und Mail-Abruf, danach in Wellen auf allen Plesk-Servern, noch am Vormittag desselben Tages. Anschließend haben wir auf jedem Server den Versionsstand von Plesk und Roundcube ausgelesen und die Erreichbarkeit des Panels geprüft. Eine Sperre des Panels war nicht nötig.

Was du tun musst

Nichts. Deine Zugänge, Websites, Postfächer und Backups sind unverändert. Wenn du einen eigenen Plesk-Server außerhalb unserer Plattform betreibst: Auf der Kommandozeile muss plesk version jetzt 18.0.80 mit Update 7 oder höher zeigen, auf der 18.0.79-Linie Update 11.

Die Beschreibung beider Lücken und die Änderungsliste stehen in den Quellen unter diesem Eintrag.

cPanel hat am 8. September eine Lücke in der Zustellverfolgung für E-Mails gemeldet, der Funktion „Track Delivery” im cPanel-Menü. Ein angemeldeter Kunde mit Mail-Rechten konnte darüber Dateien an beliebigen Stellen auf dem Server erzeugen und so Befehle mit Administrator-Rechten ausführen. Betroffen sind alle unterstützten cPanel-Versionen, einen Workaround nennt der Hersteller nicht. Wir haben alle cPanel-Server noch am 8. September auf die gepatchten Versionen gebracht.

Was ist passiert?

Mit „Track Delivery” prüft ein Kunde in cPanel, ob eine E-Mail zugestellt wurde. Durch einen Fehler in dieser Funktion ließen sich der Datenbank-Abfrage dahinter fremde Befehle unterschieben, und darüber Dateien schreiben, die dem Kunden nicht gehören. Am Ende stehen Root-Rechte (Die höchste Rechtestufe auf einem Linux-System. Wer sie hat, kontrolliert den gesamten Server.)Die höchste Rechtestufe auf einem Linux-System. Wer sie hat, kontrolliert den gesamten Server., also Zugriff auf alle Konten, Websites und Datenbanken auf demselben Server. Voraussetzung ist ein bestehendes cPanel-Konto, aus dem Internet ist die Lücke ohne Anmeldung nicht ausnutzbar. Die Lücke ist eng verwandt mit der vom 27. August, damals steckte der Fehler in der Domain-Verwaltung.

Was wir getan haben

Wir haben am 8. September zuerst den Versionsstand aller cPanel-Server ausgelesen. Ein Teil hatte das Update über den cPanel-eigenen Mechanismus bereits erhalten, den Rest haben wir in Wellen nachgezogen und anschließend jeden Server einzeln gegen die gepatchten Versionsnummern geprüft. Auf den wenigen Servern, deren Betriebssystem zu alt für die aktuelle cPanel-Version ist, haben wir stattdessen die Funktion „Track Delivery” abgeschaltet, bis diese Server ausgetauscht sind. Der Mailbetrieb dort läuft unverändert.

Was du tun musst

Nichts. Deine Postfächer, Websites und Zugänge sind unverändert. Solltest du in deinem cPanel den Menüpunkt „Track Delivery” vermissen, liegt dein Konto auf einem der älteren Server; der Umzug ist in Vorbereitung, bis dahin helfen wir bei Zustellfragen per Ticket weiter.

Die technischen Details stehen im cPanel-Advisory unter diesem Eintrag.

Seit dem 4. September werden Magento-Shops über eine Lücke angegriffen, für die es noch keinen Patch gibt. Sansec hat sie am 5. September unter dem Namen StyleSmuggler veröffentlicht, Adobe hat bislang weder Advisory noch CVE noch Fix nachgelegt. Betroffen sind alle aktuellen Versionen, auch vollständig gepatchte. Auf Accounts mit unserem 360°-Rundumschutz wurden die Angriffsversuche blockiert, bevor sie Magento erreicht haben. Für alle anderen Magento-Accounts empfehlen wir, den Schutz jetzt freischalten zu lassen.

Was ist passiert?

StyleSmuggler ist eine RCE-Lücke (Remote Code Execution: ein Angreifer bringt den Server dazu, fremden Code auszuführen, ohne selbst Zugang zu haben.)Remote Code Execution: ein Angreifer bringt den Server dazu, fremden Code auszuführen, ohne selbst Zugang zu haben. im Template-System von Magento. Der Angreifer braucht keinen Login. Er hinterlegt zuerst Schadcode in einer Datei, die Magento im normalen Betrieb selbst schreibt, und löst dann eine fehlgeschlagene Zahlung aus. Beim Erzeugen der Benachrichtigungs-Mail dazu führt Magento den Code aus. Der Angriff funktioniert auch, wenn die Mail nie ankommt. Danach läuft ein getarnter Hintergrundprozess, der auf Befehle von außen wartet.

Was wir getan haben

Der 360°-Rundumschutz hat die Angriffsmuster auf den geschützten Accounts abgefangen, und zwar schon vor der Veröffentlichung durch Sansec. Zusätzlich haben wir alle bekannten Angreifer-Adressen auf unseren Servern gesperrt. Das ist eine Momentaufnahme und kein Schutz, die Angreifer wechseln ihre Adressen laufend. Den Adobe-Patch, sobald er erscheint, und den Stand der Angriffe halten wir im Blick.

Was du tun musst

Wenn dein Magento-Account den Rundumschutz noch nicht hat: freischalten lassen, das geht ohne Änderung an deinem Shop. Prüfe außerdem, ob dein Shop bereits betroffen ist. Die Prüfbefehle, die Indikatoren und die möglichen Zwischenlösungen im Magento-Code stehen im Blog-Beitrag zu StyleSmuggler. Sobald Adobe einen offiziellen Patch liefert, gehört er in deinen Shop.

Die technische Analyse mit allen Indikatoren steht in der Sansec-Quelle unter diesem Eintrag.

Vier Wochen nach dem letzten Sicherheits-Update hat der Hersteller der ConfigServer Firewall eine weitere Lücke geschlossen, diesmal im Messenger-Dienst (Optionale CSF-Funktion, die gesperrten Besuchern statt einer toten Verbindung eine Hinweis-Seite anzeigt.)Optionale CSF-Funktion, die gesperrten Besuchern statt einer toten Verbindung eine Hinweis-Seite anzeigt.. Über ihn hätte ein Angreifer ohne Anmeldung Code ausführen und die höchste Rechtestufe auf dem Server erlangen können. Betroffen sind alle Fassungen bis einschließlich 16.30-1. Wir haben die Server am 3. September auf 16.31 gebracht. Der Messenger-Dienst war auf unseren Servern nie eingeschaltet, die Lücke war bei uns zu keinem Zeitpunkt ausnutzbar.

Was ist passiert?

Der Messenger-Dienst von CSF zeigt Besuchern, die von der Firewall gesperrt wurden, eine Hinweis-Seite statt einer toten Verbindung. Ein Fehler in dieser Komponente erlaubte es, ihr Befehle unterzuschieben, die mit den Rechten der Firewall ausgeführt werden, also mit Root-Rechten (Die höchste Rechtestufe auf einem Linux-System. Wer sie hat, kontrolliert den gesamten Server.)Die höchste Rechtestufe auf einem Linux-System. Wer sie hat, kontrolliert den gesamten Server.. Bei einer Standard-Installation ist der Dienst abgeschaltet; angreifbar sind nur Server, auf denen er bewusst aktiviert wurde.

Was wir getan haben

Wir haben zuerst auf jedem Server ausgelesen, ob der Messenger-Dienst aktiv ist. Er war es nirgends. Anschließend haben wir die Firewall am 3. September auf allen betroffenen Servern in Wellen auf 16.31 aktualisiert und den Stand erneut ausgelesen.

Was du tun musst

Nichts. Deine Firewall-Freigaben, Ports und Sperrlisten bleiben unverändert. Wenn du CSF auf einem eigenen Server außerhalb unserer Plattform betreibst und den Messenger-Dienst nutzt: sofort auf 16.31 aktualisieren oder den Dienst bis dahin abschalten.

Die Hersteller-Meldung mit den betroffenen Fassungen steht in der Quelle unter diesem Eintrag.

BigBlueButton hat am 2. September ein Advisory mit der höchsten Kritikalitätsstufe veröffentlicht: Über die Schnittstelle zum Beitreten von Konferenzen ließ sich die Zugangsprüfung umgehen. Ein Angreifer konnte damit ohne gültigen Zugang und an der Warteschleife für Gäste vorbei als Moderator in laufende Meetings gelangen. Der Fix steckt in der Version, die seit dem Update vom 24. August auf allen Managed-BBB-Servern läuft. Wir haben das am 2. September auf jedem Server nachgeprüft.

Was ist passiert?

Jeder Beitritt zu einer BigBlueButton-Konferenz wird über eine Prüfsumme (Prüfwert aus den Anfrage-Daten und dem geheimen API-Schlüssel des Servers. Nur wer den Schlüssel kennt, kann gültige Anfragen erzeugen.)Prüfwert aus den Anfrage-Daten und dem geheimen API-Schlüssel des Servers. Nur wer den Schlüssel kennt, kann gültige Anfragen erzeugen. abgesichert, die nur das angebundene Frontend erzeugen kann, etwa Greenlight oder Moodle. Durch einen Fehler in der Verarbeitung der Anfrage ließ sich diese Prüfung mit zusätzlichen Parametern aushebeln. Der Fehler wurde bereits im Juni mit Version 3.0.29 behoben, das Advisory dazu erschien erst jetzt. Einen Behelf gibt es nicht, nur das Update.

Was wir getan haben

Alle Managed-BigBlueButton-Server laufen seit dem Sicherheits-Update vom 24. August auf 3.0.35 und enthalten den Fix damit schon. Wir haben das am 2. September trotzdem auf jedem Server einzeln geprüft: Versionsstand ausgelesen und auf einem Testsystem nachgestellt, dass die präparierte Anfrage nicht mehr als Beitritt verarbeitet wird.

Was du tun musst

Nichts. Deine Räume, Aufzeichnungen und Einstellungen sind unverändert. Wenn du einen eigenen BigBlueButton-Server außerhalb unserer Plattform betreibst: auf 3.0.29 oder neuer aktualisieren, es gibt keinen anderen Schutz.

Die technischen Details stehen im BigBlueButton-Advisory unter diesem Eintrag.

Plesk hat am 2. September das dritte als „kritisch” eingestufte Sicherheits-Update innerhalb von zehn Tagen veröffentlicht, wie schon bei den beiden vorherigen zunächst ohne Angabe, worum es geht. Bei den Updates vom 24. und 27. August stellte sich später heraus, dass Kunden mit Shell-Zugang volle Administrator-Rechte auf dem Server erlangen konnten. Wir haben alle Plesk-Server am 2. September aktualisiert, rund anderthalb Stunden nachdem das Update verfügbar war.

Was ist passiert?

Was das Update genau schließt, hat Plesk bislang nicht veröffentlicht. Die Ankündigung ist wortgleich mit den beiden vorherigen kritischen Updates, deshalb behandeln wir es genauso: als Lücke, die im schlimmsten Fall aus einem normalen Hosting-Konto heraus ausnutzbar ist. Neben dem Panel selbst erneuert das Update auch die von Plesk mitgelieferten Mail-Dienste Postfix und Dovecot.

Was wir getan haben

Das Update lief zuerst auf einem Testsystem mit Funktionsprüfung von Panel, Mail-Versand und Mail-Abruf, danach in Wellen auf allen Plesk-Servern. Anschließend haben wir auf jedem Server den Versionsstand ausgelesen und die Erreichbarkeit des Panels geprüft. Eine vorsorgliche Sperre des Panels wie am 27. August war diesmal nicht nötig, weil das Update schnell genug flächendeckend eingespielt war.

Was du tun musst

Nichts. Deine Zugänge, Websites, Postfächer und Einstellungen sind unverändert. Wenn du einen eigenen Plesk-Server außerhalb unserer Plattform betreibst: Die Plesk-Oberfläche zeigt solche Zwischen-Updates nicht als eigene Version an. Ob es eingespielt ist, siehst du auf der Kommandozeile mit plesk version, das Ergebnis muss 18.0.80 mit Update 6 oder höher sein.

Die Änderungsliste von Plesk steht in der Quelle unter diesem Eintrag.

Ubuntu hat am 1. September ein Update für libevent veröffentlicht, eine Bibliothek, mit der Server-Dienste Netzwerkverbindungen abwickeln. Fünf Lücken werden damit geschlossen. Die schwerste erlaubt es, einen betroffenen Dienst aus dem Internet zum Absturz zu bringen oder im ungünstigsten Fall fremden Code auszuführen. Wir haben das Update am 2. September auf allen Ubuntu-Servern eingespielt und die betroffenen Dienste ohne Neustart der Server durchgestartet.

Was ist passiert?

Betroffen ist nicht jeder Dienst, sondern nur Software, die libevent tatsächlich einbindet. Bei uns sind das vor allem der TURN-Dienst (Vermittelt Audio- und Videoströme zwischen Teilnehmern, wenn keine direkte Verbindung möglich ist, etwa hinter Firmen-Firewalls.)Vermittelt Audio- und Videoströme zwischen Teilnehmern, wenn keine direkte Verbindung möglich ist, etwa hinter Firmen-Firewalls. für Videokonferenzen auf den BigBlueButton- und Nextcloud-Servern, der aus dem Internet erreichbar ist, und die MySQL-Datenbank der Nextcloud-Server, die nur lokal angesprochen wird. Neben dem Absturz-Szenario lassen sich über die Lücken HTTP-Anfragen so präparieren, dass ein Dienst sie anders liest als vorgesehen und Sicherheitsprüfungen umgeht.

Was wir getan haben

Wie beim OpenSSL-Update Ende August reicht das Paket allein nicht: Ein laufender Dienst arbeitet weiter mit der alten Bibliothek im Speicher, bis er neu gestartet wird. Wir haben deshalb am 2. September auf allen Ubuntu-Servern das Paket aktualisiert und jeden Dienst durchgestartet, der die alte Version noch geladen hatte, zuerst auf einem Testsystem, dann auf den Managed-BigBlueButton-Servern, danach auf den Managed-Nextcloud- und übrigen Servern. Auf jedem Server haben wir anschließend geprüft, dass kein Prozess mehr mit der alten Bibliothek läuft.

Was du tun musst

Nichts. Der Neustart des TURN-Dienstes dauerte Sekunden; Teilnehmer in laufenden Konferenzen wurden dabei kurz neu verbunden. Wenn du eigene Ubuntu-Maschinen außerhalb unserer Plattform betreust: Nach dem libevent-Update die Dienste neu starten, die die Bibliothek nutzen, nicht nur das Paket aktualisieren.

Welche Lücke was genau betrifft, steht in der Ubuntu-Meldung unter diesem Eintrag.

Anfang August wurde eine Lücke im Linux-Kernel veröffentlicht, die seit 2007 in praktisch jedem Kernel steckt. Wer auf einem betroffenen Server ein normales Benutzerkonto hat, kann sich darüber volle Administrator-Rechte verschaffen. Ein fertiger Exploit ist seit dem 7. August öffentlich. Kernel-Updates der Hersteller liegen noch nicht für alle Systeme vor. Unsere betroffenen Server sind seit dem 1. September dagegen abgesichert, im laufenden Betrieb und ohne Unterbrechung.

Was ist passiert?

Die Lücke steckt im Kernel-Modul für SCTP (Netzwerk-Protokoll neben TCP und UDP, vor allem in Telefonie- und Signalisierungs-Systemen im Einsatz. Auf Webservern praktisch ungenutzt.)Netzwerk-Protokoll neben TCP und UDP, vor allem in Telefonie- und Signalisierungs-Systemen im Einsatz. Auf Webservern praktisch ungenutzt., einem Netzwerk-Protokoll, das auf Webservern so gut wie nie gebraucht wird. Beim Entfernen einer Adresse aus einer bestehenden Verbindung gibt der Kernel Speicher frei, den er anschließend weiter benutzt. Daraus lässt sich Schritt für Schritt eine Übernahme von Root-Rechten (Die höchste Rechtestufe auf einem Linux-System. Wer sie hat, kontrolliert den gesamten Server.)Die höchste Rechtestufe auf einem Linux-System. Wer sie hat, kontrolliert den gesamten Server. bauen. Aus dem Internet ist die Lücke nicht direkt ausnutzbar. Auf einem Hosting-Server reicht aber jede gehackte Website, weil deren PHP-Prozess als lokaler Benutzer läuft. Angreifbar ist ein Server nur, wenn sich das SCTP-Modul laden lässt.

Was wir getan haben

Unsere Server brauchen SCTP nicht. Wir haben deshalb am 1. September auf allen betroffenen Servern das Modul entladen und gegen erneutes Laden gesperrt, vorab auf Testsystemen aus jeder Server-Gruppe geprüft, dann flächendeckend. Auf jedem Server haben wir anschließend kontrolliert, dass sich das Modul nicht mehr laden lässt und ein Verbindungsaufbau über SCTP als normaler Benutzer fehlschlägt. Sobald die Kernel-Updates der Hersteller da sind, spielen wir sie regulär ein.

Was du tun musst

Nichts. Deine Anwendungen laufen unverändert weiter. Wenn du eigene Linux-Maschinen außerhalb unserer Plattform betreust: Wird dort kein SCTP gebraucht, das Modul sperren, wie im CloudLinux-Beitrag beschrieben. Die Einstellung, die SCTP-Adressänderungen abschaltet, schützt nicht, der Exploit aktiviert sie selbst wieder.

Wie die Lücke technisch funktioniert und welche Systeme betroffen sind, steht in der Quelle unter diesem Eintrag.

cPanel hat am 27. August eine Lücke in der Domain-Verwaltung gemeldet: Ein angemeldeter Kunde, der Parked- oder Addon-Domains anlegen darf, konnte darüber beliebige Dateien auf dem Server erzeugen und so Befehle mit Administrator-Rechten ausführen. Betroffen sind alle unterstützten cPanel-Versionen, einen Workaround nennt der Hersteller nicht. Wir haben alle cPanel-Server am 27. August auf die gepatchten Versionen gebracht.

Was ist passiert?

Das Anlegen zusätzlicher Domains gehört zu den Standardfunktionen jedes cPanel-Kontos. Durch einen Fehler in dieser Funktion konnte ein Kunde Dateien an Stellen ablegen, die ihm nicht gehören, und darüber Root-Rechte (Die höchste Rechtestufe auf einem Linux-System. Wer sie hat, kontrolliert den gesamten Server.)Die höchste Rechtestufe auf einem Linux-System. Wer sie hat, kontrolliert den gesamten Server. erlangen: Zugriff auf den gesamten Server samt aller anderen Konten, Websites und Datenbanken darauf. Voraussetzung ist ein bestehendes cPanel-Konto; aus dem Internet ist die Lücke ohne Anmeldung nicht ausnutzbar.

Was wir getan haben

Wir haben am 27. August den Versionsstand aller cPanel-Server erhoben, statt uns auf die automatische Aktualisierung zu verlassen. Der größte Teil hatte das Update über den cPanel-eigenen Mechanismus bereits bekommen, den Rest haben wir nachgezogen und anschließend jeden Server einzeln gegen die gepatchten Versionsnummern geprüft. Auf einzelnen Servern, deren Betriebssystem zu alt für die aktuelle cPanel-Version ist, haben wir stattdessen das Anlegen neuer Parked- und Addon-Domains abgeschaltet, bis diese Server ausgetauscht sind; bestehende Domains laufen dort unverändert.

Was du tun musst

Nichts. Deine Websites, Domains und Zugänge sind unverändert. Solltest du auf einem der genannten älteren Server keine neue Domain anlegen können, melde dich beim Support, wir kümmern uns darum.

Die technischen Details stehen im cPanel-Advisory unter diesem Eintrag.

Zum zweiten Mal innerhalb weniger Tage hat Plesk ein als „kritisch” eingestuftes Update veröffentlicht, diesmal am Morgen des 27. August, wieder zunächst ohne Details. Am Nachmittag folgte die Erklärung: Ein Kunde oder Reseller mit Shell-Zugang konnte sich volle Administrator-Rechte auf dem Server verschaffen. Wir haben alle Plesk-Server am 27. August aktualisiert, noch bevor die Details öffentlich waren.

Was ist passiert?

Wer in Plesk für sein Hosting-Konto Shell-Zugang (Zugang zur Kommandozeile des Servers, etwa per SSH. In Plesk pro Konto ein- oder ausschaltbar.)Zugang zur Kommandozeile des Servers, etwa per SSH. In Plesk pro Konto ein- oder ausschaltbar. hat oder ihn sich als Reseller selbst einräumen darf, konnte über einen Fehler in Plesk aus diesem eingeschränkten Zugang Root-Rechte (Die höchste Rechtestufe auf einem Linux-System. Wer sie hat, kontrolliert den gesamten Server.)Die höchste Rechtestufe auf einem Linux-System. Wer sie hat, kontrolliert den gesamten Server. machen. Betroffen sind fast alle Plesk-Versionen der letzten Jahre auf Linux. Aus dem Internet ist die Lücke ohne ein bestehendes Plesk-Konto nicht ausnutzbar.

Was wir getan haben

Weil Plesk das Update als kritisch ankündigte, ohne zu sagen, worum es geht, haben wir am Morgen des 27. August vorsorglich den Zugang zum Plesk-Panel für die Dauer des Updates eingeschränkt. In dieser Zeit war die Anmeldung am Panel und der Sprung aus dem Kundencenter ins Panel nicht möglich; Websites, E-Mail und Datenbanken liefen unverändert weiter. Das Update haben wir anschließend in Wellen auf allen Plesk-Servern eingespielt, den Versionsstand auf jedem Server geprüft und den Panel-Zugang noch am selben Tag wieder freigegeben.

Was du tun musst

Nichts. Falls du am 27. August vormittags nicht ins Plesk-Panel gekommen bist: Das war unsere vorsorgliche Sperre, kein Fehler an deinem Konto. Deine Zugänge und Einstellungen sind unverändert.

Die technischen Details stehen im Plesk-Advisory unter diesem Eintrag.

Ubuntu hat ein Sammel-Update für OpenSSL veröffentlicht, die Bibliothek, mit der praktisch jeder Dienst auf einem Linux-Server seine Verbindungen verschlüsselt. Zehn Lücken werden damit geschlossen, zwei davon wiegen schwer: Ein Angreifer könnte aus dem Internet einen Dienst zum Absturz bringen oder im ungünstigsten Fall die Prüfung verschlüsselter Daten aushebeln. Wir haben das Update am 26. August auf allen Ubuntu-Servern eingespielt und die betroffenen Dienste ohne Neustart der Server durchgestartet.

Was ist passiert?

OpenSSL steckt in Webservern, Mailservern, Datenbanken und Verwaltungsoberflächen. Die meisten der zehn Lücken erlauben es, einen Dienst mit präparierten Anfragen lahmzulegen. Zwei gehen weiter: Eine erlaubt das Überschreiben von Speicher beim Entpacken verschlüsselter Schlüssel, eine andere lässt sich nutzen, um die Integritätsprüfung (Prüfsumme, mit der der Empfänger erkennt, ob verschlüsselte Daten unterwegs verändert wurden.)Prüfsumme, mit der der Empfänger erkennt, ob verschlüsselte Daten unterwegs verändert wurden. bestimmter Verschlüsselungsverfahren zu umgehen. Beide sind aus dem Internet erreichbar, sobald ein Dienst mit der alten Bibliothek verschlüsselte Verbindungen annimmt.

Was wir getan haben

Bei einer Bibliothek wie OpenSSL reicht das Paket-Update allein nicht: Ein laufender Dienst arbeitet weiter mit der alten Version im Speicher, bis er neu gestartet wird. Genau das war auf einem Teil der Server der Fall, weil die automatischen Ubuntu-Updates das Paket zwar eingespielt, aber nicht alle Dienste neu gestartet hatten. Wir haben deshalb am 26. August auf allen Ubuntu-Servern gezielt jeden Dienst durchgestartet, der noch die alte Bibliothek geladen hatte, ohne die Server selbst neu zu starten. Danach haben wir auf jedem Server geprüft, dass kein Prozess mehr mit der alten Version läuft. Das betrifft unter anderem die Managed-Nextcloud-, OpenSearch-, BigBlueButton- und Mailserver.

Was du tun musst

Nichts. Die Neustarts der Dienste dauerten jeweils nur Sekunden; laufende Verbindungen wurden dabei neu aufgebaut, ohne dass Daten verloren gingen. Wenn du eigene Ubuntu-Maschinen außerhalb unserer Plattform betreust: Nach dem OpenSSL-Update alle Dienste neu starten, die verschlüsselte Verbindungen annehmen, nicht nur das Paket aktualisieren.

Welche Lücke welches Verfahren betrifft, steht in der Ubuntu-Meldung unter diesem Eintrag.

CloudLinux hat am 24. August eine Lücke in AccelerateWP offengelegt, dem WordPress-Beschleuniger auf CloudLinux-Servern. Beim Einschalten einer bestimmten Cache-Funktion legte das Werkzeug eine Kopie der wp-config.php offen im Webverzeichnis ab, samt Datenbank-Zugangsdaten. Behoben ist das seit Dezember 2025, die Veröffentlichung folgte erst jetzt. Unsere Server waren zu keinem Zeitpunkt betroffen.

Was ist passiert?

Die wp-config.php ist die zentrale Konfigurationsdatei einer WordPress-Installation. Sie enthält die Zugangsdaten zur Datenbank und die Schlüssel, mit denen WordPress Anmeldungen absichert. AccelerateWP legte beim Aktivieren des Object-Cache eine Sicherungskopie dieser Datei unter dem Namen wp-config.php.backup ab, und zwar im öffentlich erreichbaren Teil der Website. Wer den Dateinamen kannte, konnte sie ohne Anmeldung herunterladen.

Was wir getan haben

Wir haben am 24. August alle CloudLinux-Server geprüft. Ergebnis: AccelerateWP ist überall auf einem Stand, der die Lücke nicht mehr hat, nirgends liegt eine solche Sicherungskopie, und die betroffene Cache-Funktion war bei uns nie für Kunden freigeschaltet. Damit gab es auch in der Vergangenheit keinen Zeitraum, in dem eine solche Datei hätte abgerufen werden können. Ein Wechsel von Datenbank-Passwörtern ist deshalb nicht nötig.

Was du tun musst

Nichts. Wenn du WordPress auf einem Server außerhalb unserer Plattform betreibst, auf dem AccelerateWP läuft, prüfe dort, ob eine wp-config.php.backup im Webverzeichnis liegt. Falls ja: Datei löschen, Datenbank-Passwort und die Sicherheitsschlüssel in der wp-config.php neu setzen.

Die Details zur Lücke stehen im verlinkten CloudLinux-Beitrag unter diesem Eintrag.

BigBlueButton hat eine Sicherheitslücke in der Komponente für geteilte Notizen veröffentlicht, die mit der höchsten Kritikalitätsstufe bewertet ist: Ohne Anmeldung ließen sich darüber beliebige Dateien vom Server lesen. Das Advisory vom 13. August war über die üblichen Kanäle zunächst nicht sichtbar und hat uns erst am 24. August erreicht. Wir haben alle BigBlueButton-Server noch am selben Tag auf die gepatchte Version gebracht.

Was ist passiert?

Die geteilten Notizen in einer BigBlueButton-Konferenz laufen über ein eingebautes Etherpad. Durch einen Fehler in dessen Anbindung an den Webserver konnte jeder, der die Adresse des Servers kannte, über einen präparierten Aufruf Dateien außerhalb des vorgesehenen Verzeichnisses abrufen, darunter auch Konfigurationsdateien mit dem API-Secret (Geheimer Schlüssel, mit dem Frontends wie Greenlight oder Moodle Konferenzen auf dem BBB-Server anlegen dürfen.)Geheimer Schlüssel, mit dem Frontends wie Greenlight oder Moodle Konferenzen auf dem BBB-Server anlegen dürfen. des Servers. Eine Anmeldung oder ein laufendes Meeting war dafür nicht nötig.

Was wir getan haben

Wir haben das Update zuerst auf zwei Testsystemen durchgespielt, einem älteren und einem frisch aufgesetzten, und danach am 24. August auf allen Managed-BigBlueButton-Servern eingespielt. Die Aktualisierung lief in Gruppen, damit nicht alle Server gleichzeitig kurz nicht erreichbar sind. Nach dem Update haben wir den Versionsstand und die Dienste jedes Servers einzeln geprüft.

Was du tun musst

Nichts. Deine Räume, Aufzeichnungen und Einstellungen sind unverändert. Wenn du einen eigenen BigBlueButton-Server außerhalb unserer Plattform betreibst: auf 3.0.35 aktualisieren und anschließend das API-Secret neu setzen, wie im Advisory beschrieben.

Die technischen Details stehen im verlinkten BigBlueButton-Advisory unter diesem Eintrag.

Plesk hat am 24. August ein Sicherheitsupdate veröffentlicht, das zunächst nur als „kritisch” angekündigt war. Die Details kamen einen Tag später: drei Lücken, über die ein Kunde mit Plesk-Zugang Dateien vom Server lesen, auf fremde Datenbanken zugreifen oder sich volle Administrator-Rechte verschaffen konnte. Wir haben alle Plesk-Server am 24. August aktualisiert, die betroffenen Extensions folgten automatisch bis zum 26. August.

Was ist passiert?

Die erste Lücke steckt in der DNS-Verwaltung: Wer die DNS-Einträge seiner Domain in Plesk bearbeiten darf, konnte darüber beliebige Dateien vom Server lesen, darunter auch die Zugangsdaten des Panels selbst. Die zweite betrifft das Datenbank-Management, wo ein angemeldeter Nutzer Lese- und Schreibzugriff auf Datenbanken anderer Kunden auf demselben Server bekommen konnte. Die dritte liegt in den Extensions „Site Import” und „Plesk Migrator”, mit denen sich Websites umziehen lassen: Ein normales Hosting-Konto konnte darüber Befehle mit Root-Rechten (Die höchste Rechtestufe auf einem Linux-System. Wer sie hat, kontrolliert den gesamten Server.)Die höchste Rechtestufe auf einem Linux-System. Wer sie hat, kontrolliert den gesamten Server. ausführen.

Alle drei Lücken setzen einen bestehenden Plesk-Zugang voraus. Aus dem Internet sind sie ohne einen solchen Zugang nicht ausnutzbar.

Was wir getan haben

Wir haben am 24. August alle Plesk-Server auf die gepatchte Version gebracht und dabei auch die Systempakete auf den aktuellen Stand gezogen. Die beiden Extensions aktualisiert Plesk über seinen eigenen Mechanismus; das war in der Nacht zum 26. August auf allen Servern abgeschlossen. Am 26. August haben wir den Versionsstand von Panel und Extensions auf jedem Server einzeln kontrolliert.

Was du tun musst

Nichts. Deine Websites, Datenbanken und DNS-Einträge laufen unverändert weiter, an deinen Zugängen ändert sich nichts.

Die technischen Details stehen in den drei Plesk-Advisories unter diesem Eintrag.

Mitte August wurde eine weitere Sicherheitslücke in neueren Linux-Kerneln bekannt. Wer auf einem betroffenen Server ein normales Benutzerkonto hat, könnte sich darüber volle Administrator-Rechte verschaffen. Die Lücke braucht allerdings das Zusammenspiel zweier Kernel-Funktionen, von denen eine auf Webservern praktisch nie genutzt wird. Die endgültigen Kernel-Updates der Hersteller liegen noch nicht für alle Systeme vor. Unsere betroffenen Server sind seit dem 20. August dagegen abgesichert.

Was ist passiert?

Die Lücke steckt in dem Teil des Kernels, über den virtuelle Maschinen mit dem darunterliegenden Server Daten austauschen. Durch einen Fehler im Zusammenspiel mit einer schnellen Ein-/Ausgabe-Schnittstelle greift der Kernel auf bereits freigegebenen Speicher zu — ein bekannter Ausgangspunkt für die Übernahme von Root-Rechten (Die höchste Rechtestufe auf einem Linux-System. Wer sie hat, kontrolliert den gesamten Server.)Die höchste Rechtestufe auf einem Linux-System. Wer sie hat, kontrolliert den gesamten Server.. Angreifbar ist ein Server nur, wenn beide Funktionen zur Verfügung stehen. CloudLinux und AlmaLinux 9 und 10 haben die Ein-/Ausgabe-Schnittstelle ab Werk abgeschaltet und sind damit nicht betroffen. Unmittelbar betroffen waren Systeme mit Ubuntu 24.04 und Debian 13.

Was wir getan haben

Unsere Server brauchen den Datenaustausch mit virtuellen Maschinen nicht. Wir haben das zuständige Kernel-Modul (Nachladbarer Baustein des Linux-Kernels, der eine bestimmte Funktion bereitstellt — lässt sich einzeln deaktivieren.)Nachladbarer Baustein des Linux-Kernels, der eine bestimmte Funktion bereitstellt — lässt sich einzeln deaktivieren. samt seiner Transport-Varianten deshalb am 20. August auf allen Servern mit einem neueren Kernel entladen und gegen erneutes Laden gesperrt — vorsorglich auch auf den AlmaLinux-10-Systemen, die nach der Analyse ohnehin nicht angreifbar wären. Das geschah im laufenden Betrieb, ohne Neustart und ohne Unterbrechung. Jeden Server haben wir danach einzeln kontrolliert.

Was du tun musst

Nichts. Deine Anwendungen laufen unverändert weiter, es gab keine Unterbrechung. Wenn du eigene Linux-Maschinen mit Ubuntu 24.04, Debian 13 oder einem anderen Kernel ab Version 6.5 außerhalb unserer Plattform betreust und dort keine virtuellen Maschinen betreibst, steht die Abschaltung als Ein-Zeilen-Lösung im unten verlinkten CloudLinux-Beitrag. Wo der Datenaustausch mit virtuellen Maschinen gebraucht wird, hilft nur das Kernel-Update des jeweiligen Herstellers.

Wie die Lücke technisch funktioniert und welche Systeme betroffen sind, steht in der Quelle unter diesem Eintrag.

Mailcow, die Software hinter unseren Mailservern, hat ein zweites Sicherheits-Release in Folge veröffentlicht. Es benennt keine einzelne Lücke, sondern hebt gleich drei mitgelieferte Bausteine auf neue Fassungen, die nach Angaben der jeweiligen Projekte mehrere Sicherheitsprobleme beheben, und härtet obendrein die Web-Oberfläche. Mailserver stehen offen im Internet, deshalb spielen wir solche Updates mit Vorrang ein. Alle unsere Mailserver-Instanzen sind seit dem 19. August auf dem neuen Stand.

Was ist passiert?

Das Release erneuert den Zwischenspeicher, den Viren-Scanner und die Groupware-Komponente, über die Kalender und Kontakte laufen — alle drei mit dem ausdrücklichen Hinweis auf behobene Sicherheitsprobleme. Dazu kommen Härtungen an der Web-Oberfläche und an der Konfiguration des Webservers sowie aktualisierte Regeln, mit denen der Mailserver unerwünschte einliefernde Gegenstellen abweist. Die Lücke im Webserver selbst, die das vorherige Release geschlossen hatte, war auf unseren Instanzen bereits am 5. August eingespielt.

Was wir getan haben

Wir haben alle Mailcow-Instanzen am 19. August auf die neue Fassung aktualisiert und danach jede einzelne kontrolliert, ob alle Dienste sauber laufen. Versand und Empfang liefen während des Updates weiter.

Was du tun musst

Nichts. Postfächer, Weiterleitungen und Filter sind unverändert, deine Mail-Programme müssen nicht neu eingerichtet werden.

Welche Bestandteile das Release im Einzelnen erneuert, steht in der Quelle unter diesem Eintrag.

Nextcloud hat eine Sicherheitslücke in der Rechteprüfung von Freigabe-Links gemeldet. In bestimmten Konstellationen bekamen Empfänger eines Links volle Schreibrechte, obwohl die Freigabe eigentlich nur zum Lesen gedacht war. Betroffen sind drei eng begrenzte Versionsstände der aktuellen Nextcloud-Linien. Die von uns betriebenen Nextcloud-Instanzen laufen auf Versionen, in denen der Fehler bereits behoben ist.

Was ist passiert?

Der Fehler betrifft Freigabe-Links auf Inhalte, die nicht im persönlichen Speicher eines Benutzers liegen, sondern zum Beispiel in Gruppenordnern (Gemeinsame Ordner für Teams oder Abteilungen, die Administratoren zentral anlegen und berechtigen.)Gemeinsame Ordner für Teams oder Abteilungen, die Administratoren zentral anlegen und berechtigen. oder auf eingebundenem externem Speicher. Für solche Links wurden die am Share eingestellten Berechtigungen ignoriert: Wer den Link hatte, konnte Dateien ändern oder löschen, auch wenn die Freigabe nur lesend sein sollte. Ein Angreifer braucht dafür lediglich einen gültigen Link. Nextcloud hat die Lücke Anfang August veröffentlicht und mit den Versionen 32.0.12, 33.0.6 und 34.0.1 geschlossen.

Was wir getan haben

Wir haben am 19. August die Versionsstände aller Managed-Nextcloud-Instanzen geprüft. Keine davon läuft auf einem der betroffenen Versionsstände — die eingesetzten Versionen liegen bereits auf dem korrigierten Stand. Eine Maßnahme war deshalb nicht nötig.

Was du tun musst

Nichts, wenn deine Nextcloud bei uns läuft. Betreibst du eine eigene Nextcloud außerhalb unserer Plattform, prüfe die Version: Liegt sie bei 32.0.10, 32.0.11, 33.0.4, 33.0.5 oder 34.0.0, spiele das Update ein. Bis dahin lohnt ein Blick auf bestehende Freigabe-Links aus Gruppenordnern oder externem Speicher — sie könnten mehr erlauben, als eingestellt ist.

Die genauen Versionsangaben und die Einschätzung des Herstellers stehen in der Quelle unter diesem Eintrag.

Mitte August wurde eine Sicherheitslücke in neueren Linux-Kerneln bekannt, für die bereits eine fertige Angriffs-Anleitung kursiert. Wer auf einem betroffenen Server ein normales Benutzerkonto hat, könnte sich darüber volle Administrator-Rechte verschaffen — auch aus einem Container heraus. Anders als bei vielen Kernel-Lücken der letzten Wochen gibt es diesmal keinen Behelf im laufenden Betrieb: Nur ein neuer Kernel schließt sie, und der braucht einen Neustart. Alle betroffenen Server laufen seit dem 20. August auf dem gepatchten Kernel.

Was ist passiert?

Die Lücke steckt in der Speicherverwaltung des Kernels, genauer in dem Teil, der nicht mehr benötigte Verbindungen zwischen Programmen aufräumt. Durch einen Fehler dort lässt sich der Kernel dazu bringen, auf bereits freigegebenen Speicher zuzugreifen — ein klassischer Ausgangspunkt, um Root-Rechte (Die höchste Rechtestufe auf einem Linux-System. Wer sie hat, kontrolliert den gesamten Server.)Die höchste Rechtestufe auf einem Linux-System. Wer sie hat, kontrolliert den gesamten Server. zu übernehmen. Betroffen sind nur vergleichsweise neue Kernel-Linien, also etwa CloudLinux 10, AlmaLinux 10 und Debian 13. Die älteren 8er- und 9er-Linien sind nicht betroffen. Aus dem Internet ist die Lücke ohne ein lokales Benutzerkonto nicht ausnutzbar.

Was wir getan haben

Den gepatchten Kernel haben wir am 18. August zuerst auf den geteilten Hosting-Servern eingespielt und diese neu gestartet — dort ist das Risiko am höchsten, weil viele Kunden nebeneinander auf demselben System arbeiten. Die übrigen betroffenen Systeme folgten am 20. August in mehreren Neustart-Wellen. Ein Livepatch, der den Neustart erspart hätte, stand für diese Lücke nicht rechtzeitig zur Verfügung; die Neustarts waren deshalb notwendig und sind abgeschlossen.

Was du tun musst

Nichts. Deine Anwendungen laufen auf dem gepatchten Kernel weiter; der Neustart deines Servers war kurz und ist vorbei. Wenn du eigene Linux-Maschinen mit einem Kernel ab Version 6.9 außerhalb unserer Plattform betreust, spiele dort das Kernel-Update ein und starte neu — einen anderen Weg gibt es bei dieser Lücke nicht.

Welche Kernel-Versionen die Lücke schließen, steht in der Quelle unter diesem Eintrag.

Am 18. August hat CloudLinux eine Sicherheitslücke im Linux-Kernel veröffentlicht, über die ein gewöhnliches Benutzerkonto den ganzen Server zum Absturz bringen kann. Auf geteilten Hosting-Servern hieße das: Eine einzelne gehackte Website könnte alle anderen Websites auf demselben System mit in den Ausfall reißen. Die endgültigen Kernel-Updates sind für einen Teil der Systeme noch in Arbeit. Unsere Server sind seit dem 18. August dagegen abgesichert.

Was ist passiert?

Die Lücke steckt in dem Kernel-Bereich, der Netzwerkverkehr auf einem Server priorisiert und begrenzt. Über eine Race-Condition (Fehler, bei dem zwei gleichzeitige Vorgänge sich in die Quere kommen und einen unerwarteten Zustand hinterlassen.)Fehler, bei dem zwei gleichzeitige Vorgänge sich in die Quere kommen und einen unerwarteten Zustand hinterlassen. lässt sich dort Speicher doppelt freigeben, was den Kernel beschädigt und das System zum Stillstand bringt. Voraussetzung ist, dass ein normaler Benutzer einen eigenen Benutzer-Namensraum (Abgeschotteter Bereich im Kernel, in dem ein Benutzer eigene, isolierte Netzwerk- und Rechte-Einstellungen anlegen darf.)Abgeschotteter Bereich im Kernel, in dem ein Benutzer eigene, isolierte Netzwerk- und Rechte-Einstellungen anlegen darf. anlegen darf. Auf CloudLinux 9 und 10 ist das ab Werk unterbunden, auf den älteren Linien 7h und 8 dagegen erlaubt — dort war die Lücke unmittelbar ausnutzbar.

Was wir getan haben

Wir haben am 18. August auf allen Servern geprüft, ob ein normaler Benutzer dort einen eigenen Namensraum anlegen kann, und diese Möglichkeit anschließend auf allen betroffenen Servern abgeschaltet. Das geschah per Konfigurationsänderung im laufenden Betrieb, ohne Neustart und ohne Unterbrechung. Jeden Server haben wir danach einzeln kontrolliert.

Was du tun musst

Nichts. Deine Anwendungen laufen unverändert weiter. Einzige Ausnahme: Wenn du auf einem Managed Server selbst Software betreibst, die Benutzer-Namensräume braucht — typischerweise Container-Werkzeuge ohne Administrator-Rechte — und dir nach dem 18. August etwas auffällt, melde dich kurz bei uns: +49 (0)2102 305 84 30. Wer eigene Linux-Maschinen außerhalb unserer Plattform betreut, findet die Ein-Zeilen-Mitigation im unten verlinkten CloudLinux-Beitrag.

Die technische Analyse und der Stand der Kernel-Updates stehen in der Quelle unter diesem Eintrag.

Plesk und cPanel haben am 14. August fast zeitgleich vor derselben Lücke gewarnt: Im Anwendungs-Server Phusion Passenger (Anwendungs-Server, der Ruby-, Node.js- und Python-Anwendungen hinter dem Webserver betreibt.)Anwendungs-Server, der Ruby-, Node.js- und Python-Anwendungen hinter dem Webserver betreibt. kann ein lokaler Angreifer über eine interne Kontroll-Schnittstelle Root-Rechte erlangen. Betroffen sind nur Server, auf denen Passenger installiert ist; das ist bei uns die Ausnahme, nicht der Standard. Wir haben die Lücke am 14. August auf allen betroffenen Servern geschlossen.

Was ist passiert?

Passenger bringt einen Überwachungs-Prozess mit, den Watchdog, der die laufenden Anwendungen im Blick behält und bei Bedarf neu startet. Über dessen Kontroll-Schnittstelle kann jemand, der bereits ein Benutzerkonto auf dem Server hat oder eine dort gehostete Website übernommen hat, Befehle mit Root-Rechten ausführen und damit den ganzen Server übernehmen. Aus dem Internet ist die Lücke ohne einen solchen Zugang nicht direkt ausnutzbar.

Die Informationslage ist ungewöhnlich dünn: Eine CVE-Nummer gibt es bisher nicht, technische Details halten beide Hersteller knapp. Klar ist aber: Standard-Installationen von Plesk und cPanel sind nicht betroffen, Passenger muss aktiv installiert sein.

Was wir getan haben

Wir haben am 14. August die gesamte Flotte daraufhin geprüft, auf welchen Servern Passenger installiert ist, und die Lücke noch am selben Tag geschlossen. Die Plesk-Server haben den von Plesk bereitgestellten Hotfix erhalten; dabei wird der Webserver einmal kurz neu gestartet. Auf den betroffenen cPanel-Servern haben wir die Passenger-Pakete auf die gepatchten Versionen aktualisiert und den neuen Stand anschließend paketweise verifiziert. Auf einzelnen Servern ließ sich das Update nicht installieren; dort haben wir Passenger stattdessen entfernt, womit die Lücke ebenfalls geschlossen ist.

Was du tun musst

Nichts, wenn deine Anwendungen auf PHP laufen, wie bei den meisten unserer Kunden: Dann ist Passenger auf deinem Server entweder gar nicht installiert oder inzwischen gepatcht. Betreibst du außerhalb unserer Plattform eigene Server mit Passenger, spiele das Panel-Update ein (Plesk 18.0.80.3 bzw. 18.0.79.7, bei cPanel die aktualisierten Passenger-Pakete) oder deinstalliere Passenger, falls er nicht gebraucht wird.

Welche Paketversionen die Lücke schließen und was die Hersteller sonst noch empfehlen, steht in den Quellen unter diesem Eintrag.

Plesk hat eine Sicherheitslücke in der Datenbank-Verwaltung gemeldet: Wer in Plesk eine Datenbank klonen oder kopieren darf, konnte sich darüber Administrator-Rechte auf dem Datenbank-Server verschaffen. Betroffen sind nahezu alle Plesk-Versionen der letzten Jahre. Wir haben alle Plesk-Server am 12. August auf die gepatchte Version aktualisiert.

Was ist passiert?

Das Klonen einer Datenbank ist eine normale Funktion im Plesk-Panel, etwa um eine Test-Kopie einer Website mit eigener Datenbank aufzusetzen. Durch einen Fehler in der Rechteprüfung konnte ein Kunde mit Zugriff auf diese Funktion dabei mehr Rechte erlangen, als ihm zustehen: volle Administrator-Rechte auf dem Datenbank-Server. Damit wäre auch der Zugriff auf Datenbanken anderer Kunden auf demselben Server möglich gewesen.

Voraussetzung ist ein bestehender Plesk-Zugang auf dem Server. Aus dem Internet ist die Lücke ohne einen solchen Zugang nicht ausnutzbar.

Was wir getan haben

Wir haben das von Plesk bereitgestellte Update am 12. August auf allen Plesk-Servern eingespielt und den Versionsstand anschließend geprüft. Die Rechteprüfung beim Klonen ist damit korrigiert, die Lücke ist geschlossen.

Was du tun musst

Nichts. Deine Datenbanken und Websites laufen unverändert weiter, an deinen Zugängen ändert sich nichts.

Die technischen Details zur Lücke stehen im verlinkten Plesk-Advisory unter diesem Eintrag.

Am 6. August wurde eine Sicherheitslücke im Linux-Kernel veröffentlicht, zusammen mit einer funktionierenden Anleitung zum Ausnutzen. Sie steckt in der Virtualisierungs-Technik, die in jedem modernen Linux mitläuft — auch auf Servern, die überhaupt keine virtuellen Maschinen betreiben. Wer auf einem betroffenen Server ein normales Benutzerkonto besitzt oder eine Website übernommen hat, hätte sich darüber volle Administrator-Rechte verschaffen können. Wir haben die betroffene Technik am 7. August auf allen Servern abgeschaltet.

Was ist passiert?

Die Lücke steckt in KVM (Virtualisierungs-Unterbau des Linux-Kernels. Er erlaubt es, auf einem Server weitere virtuelle Maschinen zu betreiben.)Virtualisierungs-Unterbau des Linux-Kernels. Er erlaubt es, auf einem Server weitere virtuelle Maschinen zu betreiben., einem festen Bestandteil des Linux-Kernels. Durch einen Fehler in der Speicherverwaltung lässt sich der Kernel gezielt aus dem Tritt bringen. Dorthin führen zwei Wege: Auf Servern, die virtuelle Maschinen betreiben, kann jemand aus seiner eigenen Maschine ausbrechen und den darunterliegenden Server übernehmen. Auf geteilten Servern ohne Virtualisierung genügt ein gewöhnliches Benutzerkonto — auf mehreren Linux-Varianten steht die zugehörige Schnittstelle allen Nutzern offen, sodass auch eine gehackte Website den Angriff starten kann.

Betroffen sind nur Server, bei denen mehrere Bedingungen zusammenkommen: aktive verschachtelte Virtualisierung und ein AMD-Prozessor oder ein neuerer Intel-Prozessor. Nach diesen Kriterien haben wir unsere gesamte Flotte durchsucht.

Was wir getan haben

Der Flotten-Scan brachte einen Befund, der die Entscheidung leicht gemacht hat: Auf unseren Hosting-Servern läuft keine einzige virtuelle Maschine. Die angegriffene Technik wird dort also gar nicht gebraucht.

Wir haben sie deshalb am 7. August vollständig entladen und dauerhaft gegen erneutes Laden gesperrt — auf allen Servern, ausdrücklich auch auf denen, die nach der Analyse ohnehin nicht angreifbar waren. Beide Angriffswege sind damit geschlossen. Das geschah im laufenden Betrieb, ohne Neustart und ohne Unterbrechung. Auch die Backups laufen unverändert weiter: Der Dienst, der sie auf dem Server auslöst, nutzt diese Technik nicht.

Die endgültigen Kernel-Updates der Hersteller liegen erst für einen Teil der Systeme fertig vor. Wir spielen sie im regulären Wartungszyklus nach — solange die Technik abgeschaltet ist, läuft ein Angriff ins Leere.

Was du tun musst

Nichts. Deine Anwendungen laufen unverändert weiter, es gab keine Unterbrechung.

Wenn du eigene Linux-Maschinen außerhalb unserer Plattform betreust, lohnt dort die Prüfung, ob die Virtualisierung überhaupt gebraucht wird. Falls nicht, steht die Abschaltung als Ein-Zeilen-Lösung im unten verlinkten CloudLinux-Beitrag. Wo tatsächlich virtuelle Maschinen laufen, hilft nur das Kernel-Update des jeweiligen Herstellers.

Wie die Lücke technisch funktioniert und welche Kernel-Versionen sie schließen, steht in der Quelle unter diesem Eintrag.

In der ConfigServer Firewall — der Firewall, die auf einem Teil unserer Server den Zugang von außen regelt — wurden mehrere Schwachstellen gefunden. Über sie hätte ein Angreifer die höchste Rechtestufe auf dem Server erlangen können. Betroffen sind alle Fassungen bis einschließlich 16.20-1; einen Behelf gibt es laut Hersteller nicht, nur das Update. Wir haben die betroffenen Server am 6. August auf die fehlerbereinigte Fassung gebracht.

Was ist passiert?

Die Firewall entscheidet, welche Verbindungen einen Server überhaupt erreichen, und läuft dafür mit weitreichenden Rechten. Genau das macht Fehler an dieser Stelle heikel: Wer sie ausnutzt, steht nicht vor der Tür, sondern hat den Schlüssel zum ganzen System. Der Hersteller hat die Einzelheiten bewusst nicht veröffentlicht und keine CVE-Nummern vergeben — die Meldung beschränkt sich auf die Aufforderung, umgehend zu aktualisieren.

Was wir getan haben

Wir haben zuerst erhoben, welche Fassung auf welchem Server tatsächlich installiert ist, statt uns auf die automatische Aktualisierung zu verlassen. Auf dieser Grundlage haben wir die Server am 6. August auf die fehlerbereinigte Fassung 16.30-1 gebracht und den Stand anschließend erneut ausgelesen.

Was du tun musst

Nichts. Deine Firewall-Freigaben, Ports und Sperrlisten bleiben unverändert; das Update tauscht nur die Software selbst aus.

Die Hersteller-Meldung mit den betroffenen Fassungen findest du in der Quelle unter diesem Eintrag.

Mailcow, die Software hinter unseren Mailservern, hat Ende Juli ein ausdrückliches Sicherheits-Release veröffentlicht. Es schließt eine Lücke im mitgelieferten Webserver und härtet mehrere Wege in die Web-Oberfläche ab. Mailserver stehen naturgemäß offen im Internet, deshalb behandeln wir Updates an dieser Stelle mit Vorrang. Alle unsere Mailserver-Instanzen sind seit dem 5. August aktualisiert.

Was ist passiert?

Der Hersteller nennt als wichtigsten Punkt eine Schwachstelle im Webserver, über den die Mailcow-Oberfläche und die Weboberfläche für dein Postfach ausgeliefert werden. Daneben wurde der Spam-Filter auf eine neue Fassung gehoben und die Prüfung abgesichert, welche fremden Websites Anfragen an die Oberfläche stellen dürfen.

Was wir getan haben

Wir haben alle Mailcow-Instanzen am 5. August auf die neue Fassung aktualisiert und anschließend jede einzelne durchgesehen, ob alle Dienste sauber hochgekommen sind. Der Versand und Empfang lief während des Updates weiter.

Was du tun musst

Nichts. Deine Postfächer, Weiterleitungen und Filter sind unverändert, und deine Mail-Programme müssen nicht neu eingerichtet werden.

Welche Bestandteile das Release im Einzelnen erneuert, steht in der Quelle unter diesem Eintrag.

Plesk hat Anfang August mehrere Sicherheitsupdates veröffentlicht: ein größeres Release, kurz darauf zwei nachgeschobene Kleinst-Updates und eine neue Fassung der Erweiterung für die Zwei-Faktor-Anmeldung. Konkret benannt ist davon nur eine Lücke — sie betrifft die Echtheitsprüfung von E-Mails und ermöglichte Phishing zwischen Kunden desselben Servers. Alle Plesk-Server sind seit dem 5. August auf dem neuen Stand.

Was ist passiert?

Der eine dokumentierte Fehler steckte in DKIM (Verfahren, das ausgehende E-Mails digital signiert. Empfänger können damit prüfen, ob eine Mail wirklich von der angegebenen Domain stammt.)Verfahren, das ausgehende E-Mails digital signiert. Empfänger können damit prüfen, ob eine Mail wirklich von der angegebenen Domain stammt., dem Signatur-Verfahren für ausgehende E-Mails. Wer auf demselben Server einen Zugang hatte, konnte eine fremde Absenderadresse eintragen und bekam darauf trotzdem eine gültige Signatur. Eine so verschickte Mail sah für den Empfänger echt aus, obwohl sie es nicht war.

Die übrigen Updates deklariert Plesk lediglich als „Security improvements”, ohne Details und ohne CVE-Nummern. Wir behandeln solche Updates grundsätzlich als dringend: Das Plesk-Panel ist über seinen eigenen Port direkt aus dem Internet erreichbar, und bei der Erweiterung für die Zwei-Faktor-Anmeldung geht es um die Anmeldung selbst. Warum wir uns auf Hersteller-Changelogs nicht mehr verlassen, haben wir im Beitrag Sicherheitsupdates ohne Changelog beschrieben.

Was wir getan haben

Wir haben die Plesk-Server am 4. und 5. August auf die aktuelle Fassung gebracht — je nach Server auf 18.0.80 mit dem nachgereichten Update oder auf den gepflegten Stand des Vorgänger-Zweigs. Die Erweiterung für die Zwei-Faktor-Anmeldung haben wir ebenfalls aktualisiert. Mit dem großen Release sind zusätzlich veraltete Verschlüsselungs-Verfahren für signierte DNS-Zonen entfernt sowie die Web-Application-Firewall und der FTP-Dienst erneuert worden.

Was du tun musst

Nichts. Bestehende signierte DNS-Zonen laufen unverändert weiter, deine E-Mail-Einstellungen bleiben wie sie sind.

Wenn du dich bisher ohne zweiten Faktor in Plesk anmeldest, ist das ein guter Zeitpunkt, das zu ändern. Sprich uns an, dann richten wir die Zwei-Faktor-Anmeldung für deinen Zugang ein: +49 (0)2102 305 84 30.

Die vollständigen Änderungslisten der einzelnen Versionen findest du in den Quellen unter diesem Eintrag.

Das PHP-Projekt hat Ende Juli vier Sicherheitslücken geschlossen und für alle aktuellen Versionen neue Ausgaben veröffentlicht. Zwei davon sind aus ganz normalem Anwendungs-Code heraus erreichbar — also aus dem Shop, dem Redaktionssystem oder dem Plugin, das auf deinem Webspace läuft. Auf geteilten Servern ist das unmittelbar relevant. Wir haben die neuen PHP-Versionen am 3. August auf allen Servern eingespielt.

Was ist passiert?

Die schwerwiegendste der vier Lücken steckt in einer Rechenfunktion für sehr große Zahlen: Bei einem ungünstigen Aufruf schreibt PHP über den vorgesehenen Speicherbereich hinaus. Die zweite betrifft die Anbindung an PostgreSQL-Datenbanken — über eine besondere Schreibweise für Textwerte ließ sich aus der Zeichenkette ausbrechen und damit eine SQL-Injection (Angriff, bei dem eigene Datenbank-Befehle in eine Anfrage eingeschleust werden.)Angriff, bei dem eigene Datenbank-Befehle in eine Anfrage eingeschleust werden. unterbringen. Beide setzen keinen besonderen Zugang voraus, sondern nur Code, der die betroffene Funktion benutzt.

Was wir getan haben

Wir haben die PHP-Versionen 8.2 bis 8.5 am 3. August auf den jeweils aktuellen Stand gebracht und die laufenden Prozesse anschließend neu gestartet, damit die neuen Versionen auch tatsächlich greifen. Deine Websites waren davon nicht spürbar betroffen.

Was du tun musst

Nichts, solange deine Anwendung auf PHP 8.2 oder neuer läuft — das ist bei den allermeisten Installationen der Fall.

Anders sieht es aus, wenn du noch PHP 7.4, 8.0 oder 8.1 einsetzt: Diese Versionen bekommen vom PHP-Projekt keine Sicherheitsupdates mehr, die oben genannten Lücken bleiben dort also offen. Wir halten sie aus Kompatibilitätsgründen weiterhin bereit, empfehlen aber den Wechsel. Die PHP-Version lässt sich in Plesk pro Domain umstellen; wenn du dabei Unterstützung brauchst, melde dich unter +49 (0)2102 305 84 30.

Welche Funktionen im Einzelnen betroffen sind, steht in der Quelle unter diesem Eintrag.

Am 28. Juli wurde eine neue Sicherheitslücke im Linux-Kernel veröffentlicht, zusammen mit einer funktionierenden Anleitung zum Ausnutzen. Wer auf einem betroffenen Server ein normales Benutzerkonto hat, könnte sich darüber volle Administrator-Rechte verschaffen. Die endgültigen Kernel-Updates der Hersteller sind noch in Arbeit. Unsere Server sind trotzdem bereits dagegen abgesichert.

Was ist passiert?

Die Lücke steckt in Open vSwitch (Netzwerk-Modul im Linux-Kernel, das virtuelle Netzwerke zwischen Servern verbindet. Auf Webservern normalerweise ungenutzt.)Netzwerk-Modul im Linux-Kernel, das virtuelle Netzwerke zwischen Servern verbindet. Auf Webservern normalerweise ungenutzt., einem Kernel-Modul, das in fast jedem aktuellen Linux enthalten ist. Das Tückische: Das Modul muss gar nicht in Benutzung sein, seine bloße Anwesenheit reicht für einen Angriff. Deshalb sind praktisch alle gängigen Linux-Systeme betroffen, von AlmaLinux über CloudLinux bis Ubuntu.

Was wir getan haben

Unsere Server brauchen dieses Modul nicht. Wir haben es deshalb noch am Tag der Veröffentlichung auf allen Systemen deaktiviert, ohne Neustart und ohne Unterbrechung. Damit läuft der Angriff ins Leere, bevor die Hersteller ihre endgültigen Kernel-Updates fertig haben.

Was du tun musst

Nichts. Deine Anwendungen laufen unverändert weiter, es gab keine Unterbrechung. Wenn du eigene Linux-Maschinen außerhalb unserer Plattform betreust, solltest du dort handeln: Die Ein-Zeilen-Mitigation zum Deaktivieren des Moduls steht im unten verlinkten CloudLinux-Beitrag.

Die vollständige technische Analyse findest du in den Quellen unter diesem Eintrag.

Am 22. Juli wurde eine Sicherheitslücke im Linux-Kernel veröffentlicht, die dort seit neun Jahren unentdeckt geschlummert hat. Wer auf einem betroffenen Server ein normales Benutzerkonto hat, könnte darüber geschützte Systemdateien überschreiben und volle Administrator-Rechte übernehmen. Besonders unangenehm: Die Manipulation übersteht Neustarts und ist in den System-Protokollen praktisch unsichtbar. Unsere Server sind seit dem 24. Juli gepatcht.

Was ist passiert?

Die Lücke steckt im XFS-Dateisystem (Dateisystem, das viele Linux-Server zum Ablegen und Verwalten von Dateien nutzen.)Dateisystem, das viele Linux-Server zum Ablegen und Verwalten von Dateien nutzen. und existiert seit 2017 in praktisch jedem Linux-Kernel. Über eine Race-Condition (Fehler, bei dem zwei gleichzeitige Vorgänge sich in die Quere kommen und einen unerwarteten Zustand hinterlassen.)Fehler, bei dem zwei gleichzeitige Vorgänge sich in die Quere kommen und einen unerwarteten Zustand hinterlassen. beim gleichzeitigen Schreiben kann ein Angreifer mit normalem Benutzerkonto jede lesbare Datei im Dateisystem verändern, auch solche, die das System eigentlich schützt. Damit lassen sich Root-Rechte übernehmen, selbst wenn zusätzliche Sicherheits-Schichten wie SELinux aktiv sind.

Was wir getan haben

Wir haben die Kernel-Fixes am 24. Juli ausgerollt, zwei Tage nach der Veröffentlichung. Auf Servern mit aktivem Livepatching kam der Fix ohne Neustart und ohne Unterbrechung; die übrigen Systeme haben wir in einem koordinierten Wartungsfenster neu gestartet. Den Verlauf haben wir über die Status-Seite begleitet.

Was du tun musst

Nichts. Der Rollout ist abgeschlossen, deine Anwendungen laufen unverändert weiter. Wenn du eigene Linux-Maschinen außerhalb unserer Plattform betreust, gilt dort: nicht nur das Kernel-Update einspielen, sondern bei Verdacht auch prüfen, ob wichtige Systemdateien unverändert sind, denn die Manipulation übersteht Neustarts. Unabhängig davon sichern unsere täglichen Plattform-Backups den Stand vor dem Veröffentlichungs-Datum, falls eine Wiederherstellung nötig würde.

Die vollständige technische Analyse mit allen Kernel-Details findest du in den Quellen unter diesem Eintrag.

Mitte Juli wurden zwei schwerwiegende Lücken im Kern von WordPress bekannt. Über eine Schnittstelle, die jede WordPress-Installation von Haus aus mitbringt, lässt sich fremder Programmcode ausführen — ganz ohne Anmeldung, ohne Passwort, ohne Benutzerkonto. Die Lücke wurde von Angreifern sofort in großem Stil ausgenutzt. Wir haben den Angriffsweg am 20. Juli auf allen Servern blockiert.

Was ist passiert?

Betroffen ist die REST-Schnittstelle (Schnittstelle, über die WordPress Daten an andere Programme ausliefert und entgegennimmt — etwa für Apps oder gekoppelte Systeme.)Schnittstelle, über die WordPress Daten an andere Programme ausliefert und entgegennimmt — etwa für Apps oder gekoppelte Systeme. von WordPress, genauer ein Bereich, der mehrere Anweisungen in einer einzigen Anfrage bündelt. Über ihn ließ sich einerseits die Datenbank auslesen und andererseits eigener Code auf dem Server ausführen. Weil dafür kein Zugang nötig war, genügte für einen Angriff das bloße Wissen um die Adresse der Website.

Genau das macht die Lücke für geteiltes Hosting so unangenehm: Auf einem Server liegen viele WordPress-Installationen, die von unterschiedlichen Agenturen und Betreibern gepflegt werden — und eben nicht alle gleich schnell.

Was wir getan haben

Wir haben am 20. Juli eine Sperre auf Serverebene aktiviert, die Anfragen an den betroffenen Bereich abfängt, bevor sie WordPress überhaupt erreichen. Sie wirkt unabhängig davon, ob die jeweilige Installation schon aktualisiert wurde, und schützt damit auch Websites, deren Betreuung gerade im Urlaub ist.

Diese Sperre ersetzt das Update aber nicht. Sie schließt den bekannten Angriffsweg, und sie schützt nur dort, wo unsere Server davorstehen.

Was du tun musst

Aktualisiere deine WordPress-Installation auf Version 7.0.2 oder neuer. Wenn du die automatischen Updates für den WordPress-Kern aktiviert hast, ist das mit hoher Wahrscheinlichkeit bereits geschehen — ein Blick ins Dashboard schafft Klarheit.

Wichtig ist das aus zwei Gründen: Das Update ist die eigentliche Behebung, und es wirkt auch dort, wo unsere Sperre nicht greift — auf deinem Testsystem, in der lokalen Entwicklungsumgebung oder auf Installationen, die woanders liegen. Bist du dir bei einer deiner Websites unsicher, ruf uns an: +49 (0)2102 305 84 30.

Welche Anfragen im Einzelnen betroffen sind, steht in der Quelle unter diesem Eintrag.

Im Juli sind kurz hintereinander vier Sicherheitslücken im Linux-Kernel bekannt geworden, die alle auf dasselbe hinauslaufen: Aus einem normalen Benutzerkonto lassen sich volle Administrator-Rechte machen. Für die bekannteste, „GhostLock”, kursierte schon zur Veröffentlichung eine fertige Angriffs-Anleitung. Ein einziges Kernel-Update schließt alle vier Lücken auf einmal. Unsere Server laufen seit dem 9. Juli mit dem abgesicherten Kernel, die Neustarts sind abgeschlossen.

Was ist passiert?

Die vier Lücken (GhostLock, Bad Epoll, pedit COW, DirtyClone) stecken in unterschiedlichen Teilen des Kernels, GhostLock zum Beispiel seit rund 15 Jahren. Für Multi-Tenant-Umgebungen (Server, auf denen mehrere Kunden nebeneinander laufen, wie beim geteilten Webhosting.)Server, auf denen mehrere Kunden nebeneinander laufen, wie beim geteilten Webhosting. ist diese Art Lücke die kritischste Kategorie: Als Einstiegspunkt reicht ein gekapertes CMS-Plugin in einem einzelnen Kunden-Account, danach stünde der ganze Server offen.

Was wir getan haben

Wir haben das Kernel-Update am 9. Juli auf allen Servern eingespielt, wenige Stunden nach der Veröffentlichung. Weil die Fixes im Kernel sitzen, brauchte es Neustarts; die haben wir noch am selben Tag koordiniert durchgeführt. Ganz glatt lief es nicht: Auf einem Teil der Systeme wurde das Update zunächst unvollständig installiert, einige Webseiten zeigten vorübergehend Fehler. Zwei Nachkorrekturen später lief alles sauber, den Verlauf haben wir live auf der Status-Seite dokumentiert.

Was du tun musst

Nichts. Deine Anwendung läuft auf dem gepatchten Kernel weiter. Zwischen Veröffentlichung und Neustart lag ein kurzes Zeitfenster, in dem die Lücken theoretisch ausnutzbar waren; Hinweise auf eine Ausnutzung auf unseren Systemen haben wir nicht. Auf Managed Servern und Clustern haben ohnehin nur du und unser Team Shell-Zugriff. Eigene Linux-Maschinen außerhalb unserer Plattform: Kernel-Update einspielen und neu starten.

Die technischen Details stehen in den verlinkten CloudLinux-Beiträgen unter diesem Eintrag.