Die Wordpress-Entwickler haben mittlerweile das Sicherheits-Update 2.8.6 veröffentlicht, das zwei Schwachstellen beseitigt.

Zumindest einer der Fehler ermöglicht in Versionen vor Wordpress 2.8.6 eigenen PHP-Code auf dem Server auszuführen (siehe hierzu auch http://forum.ok-webhosting.de/viewtopic.php?t=463).

Empfehlung:

Kunden die Wordpress einsetzen sollten schnellstmöglich auf die Version 2.8.6 upgraden, sofern nicht vertrauenswürdige Autoren Inhalte einstellen und Bilder hochladen dürfen.

Link zum Download: http://wordpress-deutschland.org/download/

Über eine Sicherheitslücke in der CMS Anwendung WordPress können Angreifer beliebigen PHP-Code in ein betroffenes System einspeisen und ausführen.

Laut einer Meldung von Security Reason tritt die Schwachstelle bei allen Versionen von WordPress bis einschließlich Version 2.8.5 auf.

Die Sicherheitslücke setzt allerdings voraus, dass dem Angreifer die Zugangsdaten eines Benutzers oder zumindest dessen Cookie-Sitzung bekannt sind. Über einen manipulierten Anhang, den diese Benutzer an ein Blog anfügen können, lässt sich ein entsprechender Code einspeisen, der wiederum zur Einspeisung von PHP-Schadcode dient.

Die Sicherheitslücke ist bisher nicht geschlossen und tritt auch in der neusten Version von WordPress (2.8.5) auf.

Sehr geehrte ok-webhosting Kunden,

mit Wirkung zum 23. Oktober 2009 um 09.00 Uhr MESZ wird es erstmals möglich sein, unter .de ein- und zweistellige Domains sowie reine Zifferndomains zu registrieren.

Ebenso werden erstmals auch .de-Domains, die einem Kfz-Kennzeichen oder einer anderen Top Level Domain (zum Beispiel com.de)entsprechen, erhältlich sein. Bisher waren diese aufgrund ihrer Kürze begehrten Adressen auf Veranlassung der DENIC eG als zentraler Registrierungsstelle für die Top Level Domain .de gesperrt und somit der allgemeinen Registrierung entzogen.

Aufgrund eines nun rechtskräftig gewordenen Urteils des Oberlandesgericht Frankfurt, in dem die DENIC im April 2008 verurteilt wurde, die Domain vw.de zuzulassen (eine hiergegen gerichtete Nichtzulassungsbeschwerde der DENIC vor dem Bundesgerichtshof in Karlsruhe blieb erfolglos) hat die DENIC reagiert und entschieden, ihre Domainrichtlinien mit Wirkung zum 23. Oktober 2009 zu ändern und die bisherigen Einschränkungen bei der Registrierung von Second Level Domains unterhalb von .de weitgehend abzuschaffen.


Die neuen Regularien sehen wie folgt aus:

- Auch ein- und zweistellige sowie reine Zifferndomains können
registriert werden.

- Domains, die einem Kfz-Kennzeichen oder einer TLD entsprechen,
sind frei gegeben (zum Beispiel com.de, net.de, KA.de FDS.de usw.).

- Erlaubte Zeichen für Domains sind die Ziffern 0 bis 9, der
Bindestrich, die lateinischen Buchstaben a bis z und die
weiteren Buchstaben aus der aktuell gültigen Anlage zu den
Domainrichtlinien.

- Eine Domain darf mit einem Bindestrich weder beginnen, noch
enden. Auch Bindestriche an dritter und vierter Stelle der
Domain sind nicht zulässig.

- Die Mindestlänge einer Domain liegt bei einem Zeichen.

- Die Maximallänge einer Domain beträgt 63 Zeichen (bezogen auf
den Domain-ACE) -- jeweils exklusive .de.


================
Achtung Wichtig:
================

Über unser Bestellscript können ab sofort entsprechende Bestellungen von Domains, die den neuen Richtlinien entsprechen, vorgemerkt werden.

Bitte beachten Sie das Domains nach den neuen Richtlinien aus technischen Gründen in unserem Bestellscript derzeit noch als "vergeben" aufgeführt werden. Entsprechende Domains können jedoch dessen unbeachtet und ohne Übersendung eines Providerwechselschreibens zur Bestellung vorgemerkt werden.

Bedingt durch die, zum Start der Registrierung von Domains nach neuen Vergaberichtlinien am 23.10.2009, 09.00 Uhr, angewandte Vergabepraxis (first-come-first-served Verfahren) kann leider keinerlei Garantie gegeben werden, dass entsprechende Domains tatsächlich für Sie registriert werden können zumal es sich um eine beschränkte Anzahl potenzieller neuer Domains handelt.

Uns steht jedoch ein direkter Zugang zum durch die DENIC in der Einführungsphase eingerichteten "speziellen Registrierungssystem" zur Verfügung, so dass vorgemerkte Domains zum o.g. Zeitpunkt automatisiert nach dem o.g. Verfahren zur Registrierung an die Registry weitergeleitet werden.

Selbstverständlich finden in der Folge lediglich Domains Berechnung, die auch erfolgreich für Sie registriert werden konnten. Eine gesonderte Bearbeitungsgebühr fällt nicht an.

Die Pressemitteilung der DENIC zu diesem Thema finden Sie unter http://www.denic.de/de/denic-im-dialog/news/2413.html

Sehr geehrte Damen, sehr geehrte Herren, sehr geehrte ok-webhosting Kunden,

über eine Reihe von Sicherheitslücken im weit verbreiteten CMS Drupal ist es Angreifern möglich zusätzliche OpenIDs zu erstellen, andere Benutzerkonten zu übernehmen und Dateien einzuspeisen.

Nachfolgende Schwachstellen sind in allen aktuellen Versionen von Drupal vor Version 6.14 / 5.20 vorhanden.

Über die Sicherheitslücken OpenID Modul können Angreifer HTTP Anforderungen ohne gültige Authentifizierung durchführen. Diese Lücke lässt sich zur Übernahme weiterer OpenIDs ausnutzen.

Über einen nicht im Detail beschriebenen Fehler innerhalb der Authentifizierungs-implementierung von OpenID können Angreifer eine beliebige Benutzersitzung übernehmen solange von dieser der gleiche OpenID 2.0 Provider genutzt wird.

Die dritte Schwachstelle entsteht im Bereich der „File API“ und erlaubt das Hochladen von Dateien, die unter Umständen vom Webserver ausführbar sind. Auf diese Weise lässt sich eigener Code in den Webserver einspeisen und ausführen.

Empfehlung:

Es wird allen Nutzern von Drupal vor Version 6.14 und 5.20 dringend empfohlen ein Update auf vorgenannte, fehlerbereinigte Versionen durchzuführen. Entsprechender Download findet sich beispielsweise unter http://www.drupalcenter.de/

Mit einem aktuellen Update (Version 6 Update 15) schließt der Hersteller acht Sicherheitslücken. Die Schwachstellen lassen sich durch entfernte Angreifer mit Hilfe von manipulierten Webseiten oder übermittelten Dokumenten und Inhalten ausnutzen, um unter anderem Schadsoftware auf den Rechnern der Opfer auszuführen.

Ein unkompliziertes Update ist auf der Windows-Plattform über die integrierte Java-Update-Funktion möglich.

Alternativ steht das aktualisierten Software-Paket unter http://www.java.com/de/download/manual.jsp zum herunterladen bereit.

Es wird dringend empfohlen o.g. Update durchzuführen!

Sehr geehrte Damen, sehr geehrte Herren, sehr geehrte ok-webhosting Kunden,

in den Programmen Adobe Reader und Adobe Acrobat existiert derzeit eine kritische Sicherheitslücke bei der Verarbeitung von speziell manipulierten Flash-Inhalten (SWF-Dateien). Ein Angreifer kann die Sicherheitslücke mit Hilfe von manipulierten Flash-Inhalten in PDF-Dateien ausnutzen, um Schadsoftware auf dem Rechner der Opfer auszuführen. Bereits das Betrachten einer manipulierten Webseite reicht hierbei aus, um den schadhaften Code auf betroffenen Systemen einzuschleusen.

Achtung:
Die Schwachstelle wird bereits aktiv ausgenutzt.

Empfehlung:

Bis der Hersteller Adobe Patches für die Anwendung bereitstellt, die für den 31.07.2009 angekündigt sind, können Hinweise zur Umsetzung von Schutzmaßnahmen den Seiten des Bundesamts für Sicherheit in der Informationstechnik unter http://www.buerger-cert.de/techwarnung_a...%253d%253d entnommen werden.

Sehr geehrte Damen, sehr geehrte Herren, sehr geehrte ok-webhosting Kunden,

im Adobe Flash Player existiert derzeit eine kritische Sicherheitslücke bei der Verarbeitung von speziell manipulierten Flash-Inhalten (SWF-Dateien). Ein Angreifer kann die Sicherheitslücke mit Hilfe von manipulierten Flash-Inhalten auf Webseiten ausnutzen, um Schadsoftware auf dem Rechner der Opfer auszuführen. Bereits das Betrachten einer manipulierten Webseite reicht hierbei aus, um den schadhaften Code auf betroffenen Systemen einzuschleusen.

Achtung:
Die Schwachstelle wird bereits auf manipulierten Webseiten aktiv ausgenutzt.

Empfehlung:

Bis der Hersteller Adobe einen Patch für die Anwendung bereitstellt, der für den 30.07.2009 angekündigt ist, können Hinweise zur Umsetzung von Schutzmaßnahmen den Seiten des Bundesamts für Sicherheit in der Informationstechnik unter http://www.buerger-cert.de/techwarnung_a...%253d%253d entnommen werden.

Nachtrag: (31.07.09)

Seit wenigen Stunden steht unter http://get.adobe.com/de/flashplayer/ eine aktuelle Version des Flash-Players zur Verfügung in welcher o.g. Sicherheitslücke behoben sein soll.

Durch eine Sicherheitslücke im TinyMCE-Plug-in des CMS Joomla im, ist es unter bestimmten Umständen möglich Dateien unter Umgehung des Login auf den Server hochzuladen und zu löschen. Detailierte Angaben dazu machen die Entwickler von Joomla derzeit nicht.

Der Fehler ist nur in Version 1.5.12 zu finden. Das Update auf 1.5.13 beseitigt das Problem. Der Hersteller empfiehlt dringend das Update sofort zu installieren.

In Version 1.5.13 wurden laut Hersteller weitere Schwachstellen und Fehler korrigiert!

Die vor einigen Tagen bekannt gewordene Sicherheitslücke in Firefox 3.5 (siehe http://forum.ok-webhosting.de/viewtopic.php?t=453) betrifft auch die inzwischen veröffentlichten aktuelle Version Firefox 3.5.1.

Bis zum Erscheinen eines Updates kann die Sicherheitslücke lediglich durch das Deaktivieren von JavaScript umgangen werden.

In dem JavaScript-Just-in-Time-Compiler (JIT) der Mozilla Firefox
Version 3.5 existierte eine Sicherheitslücke die ein entfernter Angreifer
ausnutzen konnte, um mit Hilfe einer manipulierten Webseite
Schadsoftware auf dem Rechner auszuführen.

Mozilla Firefox Versionen 3.0.x sind von der Schwachstelle nicht
betroffen, da der JIT in diesen Versionen noch nicht enthalten ist.

Die Aktualisierung kann über die Firefox-Updatefunktion vorgenommen werde (Menue "Hilfe", "Firefox aktualisieren...").

Alternativ stehe die Version unter http://www.mozilla.com/en-US/firefox/all.html zum Download zur Verfügung!