Jun 24 |
CVE-2019-11477/78/79 - Sicherheitslücke im Linux Kernel (TCP SACK Panic)
Gepostet von Andreas Wolske an 24 Juni 2019 15:00
|
||||||||||||
Mitarbeiter des Streaming- Dienstes NetFlix haben Sicherheitslücken im Netzwerkstack des Linux-Kernels entdeckt, welche sich für DoS- Angriffe ausnutzen lassen. Die Sicherheitslücke CVE-2019-11477 (TCP SACK Panic), für die alle Linux-Kernel ab einschließlich Version 2.6.29 anfällig sind, wird von RedHat als "wichtig" eingestuft, da sich dadurch aus der Ferne eine Kernel Panic und damit ein Neustart des Systems auslösen lassen. Betroffene Systeme sollten kurzfristig aktualisiert werden.
Ob Ihr System betroffen ist, kann man unter RHEL 6/7 oder CentOS 6/7 mit dem von Red Hat bereitgestellten Script überprüfen. Das Script kann auch über den am Ende des Artikels befindlichen Link heruntergeladen werden. Für RHEL 6/7 oder CentOS 6/7 liegen mit dem aktuellen Kernel- Versionen bereits Patches vor, die nicht mehr für o.g. Sicherheitslücken anfällig sind:
Eine von NetFlix als schneller Workaround empfohlene Methode für alle Systeme ist die Kontrolle der SACK-Pakete mittels entsprechender Regeln:
Alternativ kann man TCP SACK auch komplett deaktivieren:
Permanent sind diese Einstellungen per sysctl möglich. Dazu sind in
Diese Einstellungen können anschließen mittels
Weiterführende Informationen:
Lesen Sie weiter » | |||||||||||||
Mai 6 |
Fehler in Firefox - Add-Ons werden deaktiviert
Gepostet von Andreas Wolske an 06 Mai 2019 08:32
|
||||||||||||
Mozilla hat es es versäumt, interne Zertifikate für Firefox rechtzeitig zu erneuern. In der Folge werden Add-Ons als ungültig deaktiviert, weil die Zertifikate nicht mehr stimmen:
In der Zwischenzeit sollten die von Mozilla angekündigten Updates Firefox 66.0.4 für Desktop und Android sowie Firefox 60.6.2 ESR verfügbar sein, die diesen Fehler beheben. Unabhängig von den Updates gibt es folgende Workarounds für ältere Versionen: Für alle Nutzer älterer ESR Versionen ist folgendes zu tun, bis die Zertifikate erneuert sind:
Für neuere Versionen ist ein inoffizieller Hotfix erhältlich: Die Erweiterung kann folgendermassen installiert werden:
Lesen Sie weiter » | |||||||||||||
Aug 22 |
CVE-2018-3620 & CVE-2018-3646 - Sicherheitslücken in CPUs
Gepostet von Andreas Wolske an 22 August 2018 13:48
|
||||||||||||
Nach den bereits im Januar veröffentlichen Spectre-Lücken sind jetzt 3 weitere Angriffsvektoren bekannt geworden. Die drei neuen Sicherheitsücken hören auf die Namen:
Alle Sicherheitslücken ermöglichen, dass Angreifer aus ihren zugewiesenen Speicherbereichen ausbrechen und Daten bzw. Speicherbereiche anderer Prozesse auslesen können, auf die sie eigentlich keinen Zugriff haben sollten. Das ist insbesondere für Serviceprovider kritisch, da hier mehrere VMs von verschiedenen Kunden auf einem physischen Host laufen. Für die von managedhosting.de betriebene Infrastruktur auf Basis von VMware vSphere hat der Hersteller umfassende Updates zur Schließung der Sicherheitslücke bereitgestellt. Aktuell arbeiten wir bereits an der Aktualisierung der betroffenenen Komponenten. Die Updates der Managed Service Plattformen sowie der vCloud - Director Selfservice Datacenter werden nach jetzigem Stand bis zum 31.08.2018 abgeschlossen sein. Weiterführenden Informationen finden Sie in der VMware- Wissensdatenbank in folgenden Artikeln:
Lesen Sie weiter » | |||||||||||||
Mai 14 |
CVE-2018-0886 - CredSSP - Windows RDP funktioniert nach Update nicht mehr
Gepostet von Andreas Wolske an 14 Mai 2018 11:32
|
||||||||||||
Mit Windows Client Updates zu CVE-2018-0886 funktioniert möglicherweise der Fernzugriff per RDP auf Server nicht mehr, wenn der Pachtlevel von Client und Server unterschiedlich ist. Je nach Patchlevel gibt es verschiedene Fehlermeldungen, z. Bsp. "Windows 7 RDP Authentifizierungsfehler. Die angeforderte Funktion wird nicht unterstützt." Einzelheiten dazu hat Microsoft in KB4093492 veröffentlicht. Für Nutzer, die dadurch keine Möglichkeit mehr haben auf VMs zuzugreifen, hat Microsoft einen Workaround bereitgestellt. Einzelheiten dazu finden Sie im entsprechenden Blogbeitrag: Öffnen Sie auf dem Client die Eingabeaufforderung als Administrator und geben Sie folgenden Befehl ein: Damit kann der Client in Abhängigkeit des Patchlevel auf dem Ziel eine sichere oder noch veraltete Verbindung aufbauen. Weiterführende Informationen unter: https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2018-0886
Lesen Sie weiter » | |||||||||||||
Apr 13 |
HTTPS wird Pflicht bei Google Chrome
Gepostet von Andreas Wolske an 13 April 2018 13:02
|
||||||||||||
Version 68 von Googles Chrome Browser wird ab Juli 2018 grundsätzlich alle Webseiten ohne gültiges Zertifikat als unsicher markieren. Google warnt damit noch deutlicher als bisher, wenn Webseiten Daten unverschlüsselt übertragen möchten. Die Betreiber von Webseiten sollten spätestens jetzt Sorge dafür tragen, dass ihre Internetpräsenz auschließlich über HTTPS erreichbar ist. Weiterführende Informationen zu Zertifikaten finden Sie in unserer Wissensdatenbank unter https://go.managedhosting.de/certificates. Lesen Sie weiter » | |||||||||||||
Jan 8 |
Laufzeit von Zertifikaten
Gepostet von Andreas Wolske an 08 Januar 2018 12:48
|
||||||||||||
Das CA/Browser Forum, ein Branchengremium bestehend aus Zertifizierungsstellen (CAs) sowie den Herstellern von Webbrowsern und Betriebssystemen, hat entschieden, dass die maximale Gültigkeit von Zertifikaten auf zwei Jahre bzw. 825 Tage reduziert wird. Bisher betrug die maximale Gültigkeit für Domain Validated (DV) und Organization Validated (OV) Zertifikate drei Jahre (39 Monate). Extended Validation (EV) Zertifikate sind schon immer auf eine Laufzeit von maximal zwei Jahren (27 Monate) beschränkt. Am 1. März 2018 treten neue Anforderungen der CA/B Forum Baseline Requirements in Kraft, die die maximale Gültigkeit von SSL/TLS Zertifikaten auf 825 Tage (bzw. 27 Monate) verringern. Ab 26. Februar 2018 können keine öffentlich vertrauenswürdigen Zertifikate mit einer Gültigkeit von 3 Jahren mehr ausgestellt werden. Öffentlich vertrauenswürdige Zertifikate werden dann mit einer maximalen Laufzeit von 2 Jahren (825 Tage) ausgestellt.
Lesen Sie weiter » | |||||||||||||