Sicherheitsupdates am 11. August 2021

[contao.org]

Am Mittwoch, den 11. August 2021, werden wir Sicherheitsupdates für Contao 4.4, 4.9 und 4.11 veröffentlichen.


Ganzen Beitrag zu 'Sicherheitsupdates am 11. August 2021' lesen

[derRenner]

Hallo,

gibt es nähere Infos welche Sicherheitslücken bzw. welche Bereiche davon betroffen sind?
Links?

vielen Dank

[MacKP]

Hallo derRenner,
die wird es (wie immer) zu gegebener Zeit geben ;-)
Das ist nur ein Service für uns alle, damit wir uns darauf vorbereiten können. Es wird also schon um ein Sciherheitsproblem gehen, was schnell behoben werden sollte.
Wenn jetzt schon diese Infos veröffentlicht werden würden, dann käme der Patch eine Woche zu spät.

Viele Grüße

[Birden]

Viele die Contao auf upgedatenten Servern von Neue Medien Münnich laufen haben, werden wohl eh nicht Updaten können, wenn PHP 8 genutzt wird.

[Spooky]

Viele die Contao auf upgedatenten Servern von Neue Medien Münnich laufen haben, werden wohl eh nicht Updaten können, wenn PHP 8 genutzt wird.

Warum sollte das so sein? Und was hat das mit den Ankündigungen zu den Sicherheitsupdates zu tun?

[neelix]

Meine ich das nur oder fallen gerade mehr Lücken als sonst auf?

[Pathor]

Meine Seite wurde gestern gehackt. Wir sind gerade allgemein unter starkem Beschuss. Da frage ich mich, ob es an dieser Lücke liegt und in der Hackerszene schon bekannt ist.

[Spooky]

Meine Seite wurde gestern gehackt.

In wie fern? Welche Contao Version?

[werph]

Scheinbar war es auf jeden Fall etwas dringender; ist wohl vorgezogen: 4.9.17 gibt's seit gut 2 Stunden und 4.11.6 seit ner Stunde.

wobei ich in den Changelogs keine direkten Überschneidungen erkenne. Zumindest nicht auf den ersten Blick

[Spooky]

Die Sicherheitsupdates kommen am 11. August.

[Stefko]

Scheinbar war es auf jeden Fall etwas dringender; ist wohl vorgezogen: 4.9.17 gibt's seit gut 2 Stunden

Das ist *NICHT* das Sicherheitsupdate, dieses erscheint wie angekündigt am 11.8.

[Toflar]

Meine ich das nur oder fallen gerade mehr Lücken als sonst auf?

Contao wird immer mehr genutzt und analyisiert, das ist was Gutes Die Anzahl der Lücken wird leider fälschlicherweise immer wieder als Argument für die Sicherheit herbeigezogen. Völliger Schwachsinn.
Das ist wie jüngst bei Corona in den USA: "Testet weniger, dann haben wir weniger Fälle".

Bei PHP selbst ist ungefähr jedes 3. Release ein Sicherheitsrelease. Das ist völlig normal.
Ich sage es immer wieder: Entscheidend ist nicht, wie häufig Sicherheitslücken auftreten, sondern wie mit diesen umgegangen wird.

Contao hat

1. eine responsible disclosure policy: https://github.com/contao/contao/security/policy
2. öffentlich einsehbare Sicherheitshinweise (übrigens auch als RSS abonnierbar): https://contao.org/de/sicherheitshinweise.html
3. Sicherheitsreleases die ausschliesslich die Sicherheitslücke schliessen, nicht mehr und nicht weniger (insofern auch die ganz normalen, regelmässigen Bugfix-Releases heute) um Side-Effects zu minimieren
4. Ankündigungen von Sicherheitsreleases mit genügend Vorlaufzeit (aber auch nicht zu langer Vorlaufzeit) und ohne weitere Details, um die Angriffsfläche klein zu halten

oder anders ausgedrückt: Contao macht das eigentlich schon ziemlich gut

[Pathor]

In wie fern? Welche Contao Version?

Zwei Websites:

4.9.16 und 4.4.55

Hab den gehackten virtuellen Server gestoppt und ein Backup in einen neuen virtuellen Server eingespielt. Die Server-IPs sind mit Cloudflare geschützt, alle Sicherheitsupdates sind installiert inkl. diverser Sicherheitsmechanismen

[MacKP]

Zwei Websites:

4.9.16 und 4.4.55

Hab den gehackten virtuellen Server gestoppt und ein Backup in einen neuen virtuellen Server eingespielt. Die Server-IPs sind mit Cloudflare geschützt, alle Sicherheitsupdates sind installiert inkl. diverser Sicherheitsmechanismen

Aus diesen Gründen vermutest du also, dass Contao selber genutzt wurde als Einfallstor?
Es wäre sinniger, wenn du bei dir genauer untersuchst, wie da in den virtuelle Server eingebrochen wurde.Selbst mit einem komplett aktuellen System kann sowas immer passieren. Stichwort: Irgendein Passwort wurde 'erraten' oder sonst was. Hilft ja nicht, wenn du einfach so vermutest was das Problem war ohne es wirklich zu wissen oder?

Viele Grüße

[Birden]

Warum sollte das so sein?

https://community.contao.org/de/show...-nicht-oder-so

Ob es etwas mit Conao zu tun hat weiß ich nicht, der Hoster mein schon ...

[Spooky]

https://community.contao.org/de/show...-nicht-oder-so

Ob es etwas mit Conao zu tun hat weiß ich nicht, der Hoster mein schon ...

Dieses Problem hindert dich ja nicht daran Contao zu aktualisieren.

[zonky]

Zwei Websites:

4.9.16 und 4.4.55

Hab den gehackten virtuellen Server gestoppt und ein Backup in einen neuen virtuellen Server eingespielt. Die Server-IPs sind mit Cloudflare geschützt, alle Sicherheitsupdates sind installiert inkl. diverser Sicherheitsmechanismen

Ich hatte bisher mit 5 gehackten "Servern" zu tun - nach Analyse waren es 1x FileZilla-PW-Manager (vor ~15 Jahren), 1xJoomla mit Spamversendung (vor 8 Jahren) und in den letzten vier Jahren drei mal ein Wordpress bzw. irgendwelche Erweiterungen durch die alle Seiten mit irgendwelchen JS versehen wurden.

[Birden]

Dieses Problem hindert dich ja nicht daran Contao zu aktualisieren.

Es betrifft wohl sämtliche auf PHP 8 laufenden Contao Installationen bei diesem Hoster, bei denen die Server upgedatet wurden oder noch werden. Ist es nicht rückwärtsgewandt und kontraproduktiv, Installationen die seit Wochen auf PHP 8 laufen, auf PHP 7 downzugraden, nur weil ... ?

[Spooky]

Es betrifft wohl sämtliche auf PHP 8 laufenden Contao Installationen bei diesem Hoster, bei denen die Server upgedatet wurden oder noch werden. Ist es nicht rückwärtsgewandt und kontraproduktiv, Installationen die seit Wochen auf PHP 8 laufen, auf PHP 7 downzugraden, nur weil ... ?

Wie gesagt, das Problem hindert dich nicht daran Contao zu aktualisieren. Es hindert dich auch nicht daran die Datenbank zu aktualisieren. Die Datenbankaktualisierungen werden ja durchgeführt - Contao (bzw. Doctrine) erkennt nur nicht, dass die jeweiligen Felder schon das richtige Format haben. Dein Problem hat jedenfalls nichts mit diesem Thread hier zu tun.

[do_while]

Es betrifft wohl sämtliche auf PHP 8 laufenden Contao Installationen bei diesem Hoster, bei denen die Server upgedatet wurden oder noch werden. Ist es nicht rückwärtsgewandt und kontraproduktiv, Installationen die seit Wochen auf PHP 8 laufen, auf PHP 7 downzugraden, nur weil ... ?

Das klingt dann aber eher nach einem Problem beim Hoster und nicht in den einzelnen Contaos.

[mlweb]

Es betrifft wohl sämtliche auf PHP 8 laufenden Contao Installationen bei diesem Hoster

Aber offensichtlich nicht grundsätzlich Contao mit PHP 8. Damit sehe ich doch eher das Problem beim Hoster oder ggf. bei einer Erweiterung oder der Kombination zwischen MariaDB und PHP 8 wie im oben verlinkten Thread zu diesem Thema jemand anderes beobachtet hat.

[Nightwing]

Aber offensichtlich nicht grundsätzlich Contao mit PHP 8.

So isches, meine Testinstanz läuft bei genanntem Hoster wunderbar mit PHP 8. Ich tippe auch auf entweder DB oder eine Wechselwirkung einer Erweiterung.

ToM