PHP Update 5.6.6, 5.5.22 und 5.4.38

Wir haben auf allen Hosts PHP in den aktuellen Versionen 5.6.6, 5.5.22 und 5.4.38 ausgerollt. Diese Versionen beheben den Use-After-Free-Bug in der Funktion unserialize(). Weitere Informationen gibt’s im Heise Newsticker.

Unter Umständen muss die Version noch angepasst werden (schaue im Zweifelsfall mal in deine ~/etc/phpversion und wo du schon mal dabei bist: Wir empfehlen dir ausdrücklich, eine Minor-Version zu wählen, also z.B. PHPVERSION=5.6. Das hat den Vorteil, dass du Bugfix-Releases und Sicherheits-Patches ohne Zutun bekommst und immer auf dem aktuellen Stand bist.)


Updates: adminer in Version 4.2.0

Vor rund 2 Wochen wurde die Version 4.2.0 der schlanken phpMyAdmin-Alternative adminer veröffentlicht, die wir gerade auf unsere Hosts verteilt haben.

Kurzer Hinweis: Ihr erreicht adminer übrigens immer über adminer.$host.uberspace.de. Unsere Testaccounts liegen z.B. auf dem Host andromeda, also erreiche ich die dortige adminer-Installation über adminer.andromeda.uberspace.de.


Götzenbild Uptime

In der Welt der Unix-verwandten Betriebssysteme gibt es einen weit verbreiteten Kult um die Uptime von Servern, die als ein mystischer Indikator für die Stabilität und Zuverlässigkeit der Systeme gilt. Dabei bedeutet eine hohe Uptime eigentlich nichts anderes als dass das System schon lange kein Kernel-Update mehr gesehen hat.

Bei auf Stabilität ausgelegten Distributionen wie RHEL oder CentOS bringen Kernel-Updates in erster Linie Bugfixes und wenn überhaupt nur selten neue Features. Gerade die Bugfixes haben es aber oft in sich, deswegen verfolgen wir z.B. die CentOS-annouce Mailingliste auf der Updates angekündigt werden sobald sie für die Mirror bereit stehen, zusammen mit einer Übersicht über die Veränderungen die mit den Updates kommen. Was den Kernel angeht sind das häufig:


Sicherheit und Kompatibilität

Disclaimer:

Wenn ihr die die Begriffe “eMail” und “sichere Kommunikation” in einem Zusammenhang hört oder lest (und nicht direkt dazu gesagt wird, dass bei eMail eben eine Ende-zu-Ende-Verschlüsselung fehlt), könnt ihr aufhören zuzuhören / zu lesen oder wahlweise auch die Bullshit-Bingo-Karte zücken und mit dem Ausfüllen beginnen.

eMail ist nicht sicher, jedenfalls nicht ohne PGP oder S/MIME, weil es eben an einer Ende-zu-Ende-Verschlüsselung mangelt (das gilt nebenbei auch für De-Mail, egal ob im Gesetz was anderes steht). Die ganze Verschlüsselung die wir heutzutage machen dient nur dazu a) die Passwörter zu schützen und b) es Dritten nicht ganz so leicht zu machen die Mails während sie von Server zu Server übertragen werden mitzuschneiden. Mindestens der Betreiber Eures Mailservers und der Eurer Kommunikationspartner könnten in die Mails reinschauen. Bei eMail ist nicht garantiert, dass der Absender wirklich derjenige ist der er zu sein vorgibt, die Kommunikation ist nicht vertraulich, es ist nicht garantiert dass die Nachricht in einer bestimmten Zeit oder überhaupt ihr Ziel erreicht, es ist nichtmal garantiert dass es in solchen Fällen eine Fehlermeldung gibt


Hallo node.js v0.12.0

Ein frisches node.js ist auf allen Servern verteilt, weitere Informationen dazu wie gewohnt im Wiki

Unter den Symlinks unter /package/host/localhost kommt neu dazu:

nodejs-0.12 -> nodejs-0.12.0

Wir belassen 0.8 und 0.10 so wie sie sind:

nodejs-0.8 -> nodejs-0.8.25
nodejs-0.10 -> nodejs-0.10.36

Geändert haben wir außerdem: siehe Update vom10.02.2015

nodejs-0 -> nodejs-0.12

Wenn ihr also einen von den obigen Symlinks in eueren Scripten benutzt reicht es, den Dienst einfach neu zu starten, wenn wir mal wieder ein Update ausrollen.


ident: Wissen wer der User ist...

Eigentlich wäre es uns natürlich am liebsten, wenn wir uns im Internet alle zu benehmen wüssten, dass Spam der Vergangenheit angehört und Menschen fair genug miteinander umgehen, ohne die Identifizierung einzelner vereinfachen zu müssen. Leider sind wir von einer solchen Gesellschaft aber noch etwas zu weit entfernt. Wir waren nämlich vor kurzem doch etwas überrumpelt, als nach immerhin 3 Jahren des Uberspace-Betriebs der erste Hinweis auf gerade angeblich akut stattfindendes, missbräuchliches Verhalten eines unserer User bei uns einging.


Routingprobleme beim Standort rh-tec

tl;dr: Hardware-Probleme bei rh-tec haben dazu geführt, dass ein Router Pakete verworfen hat. Anfänglich sah es nach einem Problem aus, das nur Telekom-Kunden betroffen hat. Gegen Mittag breitete sich das auf andere Provider aus, so dass sämtliche Hosts bei rh-tec stellenweise nicht zuverlässig erreichbar waren. rh-tec hat das Problem inzwischen gelöst.

Wir haben seit heute früh eine große Zahl an Störungsmeldungen bezüglich der Nichterreichbarkeit von Servern erhalten. Allerdings stammten diese Meldungen weit überwiegend von Usern aus dem Netz der Telekom (DTAG), während die Erreichbarkeit der Server über andere Zugangsprovider in der Regel nicht betroffen schien. Einzelne Meldungen betrafen zwar auch unter anderem o2, Kabel Deutschland oder Unitymedia; es gab aber auch viele User bei eben jenen Providern, die eine problemlose Erreichbarkeit bestätigten.


PHP Update 5.6.5

Wir haben PHP nun in den aktuellen Versionen 5.6.5, 5.5.21 und 5.4.37 installiert.

$ php -v
PHP 5.6.5 (cli) (built: Jan 28 2015 17:45:40)

Alle Uberspaces haben die neue Version nun zur Verfügung. Je nachdem, wie genau die Version des Interpreters eingestellt wurde, wird die aktuelle Version bereits verwendet. Du musst also vermutlich nichts weiter tun, um sie zu bekommen. Standardmäßig bleibt Dein Uberspace jedoch erstmal bei genau der Version, die zur Installation aktuell war.


Update auf node.js v0.10.36

Ein frisches node.js ist auf allen Servern verteilt, weitere Informationen dazu wie gewohnt im Wiki

Die Symlinks unter /package/host/localhost sind angepasst:

nodejs -> nodejs-0
nodejs-0 -> nodejs-0.10
nodejs-0.10 -> nodejs-0.10.36

Wenn ihr also einen von den obigen Pfaden in eueren Scripten benutzt, reicht es, den Dienst einfach neu zu starten.


CVE-2015-0235: Updates für GHOST eingespielt

tl;dr: Updates eingespielt, alles ist gut. :)

Aufgepasst: Nutzer der Blogsoftware Ghost können gleich wieder aufatmen. Hier geht es ganz explizit nicht um eine Lücke in Ghost, sondern um eine frische Sicherheitslücke mit dem gleichen Namen, der wir uns entgeistert entledigt haben.

Diese Lücke wurde in spezifischen GNU Lib C (glibc)-Versionen gefunden, die eigentlich bereits 2013 ausgemerzt wurde. Leider ist diese kritische Lücke aber nie als solche aufgefallen, so dass sie nur unbeabsichtigt behoben wurde. In diesem Zeitraum wurden aber ausgerechnet diese Versionen auch in die stabilen Enterprise-Distributionen aufgenommen, so dass nun auch die von uns eingesetzten CentOS 5- und 6-Systeme von dieser Lücke betroffen sind. Aufgefallen ist das erst bei einem internen Audit von Qualys, die bei ihrer weiteren Analyse festgestellt haben, dass sich durch den Aufruf der Funktion gethostbyname ein Buffer Overflow auslösen lässt. Das ermöglicht es, den Speicherbereich eines Programms so zu beschreiben, dass mit den Berechtigungen dieses Programms Code ausgeführt werden kann.