Schwere Sicherheitslücke in Linux-Server (libc) und die Reaktion des Hosting-Providers
Heute früh bekam ich eine Email von einem Geschäftskollgen, dass es bei Linux einen schweren Sicherheitsfehler gäbe, über den Angreifer von Aussen Zugriff auf das System erhalten können und ich solle am besten auf allen Server ein aktualisiertes Softwarepaket "Glibc 2.23" installieren um den Fehler zu beheben.
Erst berichtete gestern am späten Nachmittag Golem darüber:
Glibc: Sicherheitslücke gefährdet fast alle Linux-Systeme
Und heute früh kam dann auch bei heise ein "Alert":
Alert! glibc: Dramatische Sicherheitslücke in Linux-Netzwerkfunktionen
Nach erstem Überfliegen scheint der Fehler nicht so ganz ohne zu sein und Mitarbeiter von Google haben auch bereits als "proof-of-concept" einen Exploit entwickelt mit dem man diesen Sicherheitsfehler von Aussen tatsächlich ausnutzen kann. Damit wird es dann auch nicht lange dauern, bis Kriminelle diesen Fehler ausnutzen werden.
Den Fehler soll man durch ein Update auf eine aktualisierte Systembibliothek "libc 2.23" auf dem Linux-Server beheben.
Also habe ich mal den Hoster meines Vertrauens, Intares, kontaktiert um zu fragen was jene davon halten und wann das Sicherheits-Update auf unseren Servern bei Intares eingespielt werden wird.
Intares kümmert sich als "Managed Hosting"-Anbieter um den Betrieb der Server inklusive sämtlicher Software-Updates und behauptet von sich, besonderen Wert auf zeitnahe Updates und Sicherheit zu legen und empfiehlt dazu auch als Linux-Betriebssystem "Gentoo".
Als positiv-überraschende Antwort bekam ich, dass das Update bereits gestern auf den Servern eingespielt worden sei!
Bei Gentoo sei bereits (als die libc 2.23 noch gar nicht offiziell verfügbar gewesen war) der Sicherheits-Patch eigenständig in die ältere libc-Version eingebaut worden um verteilt werden zu können und wurde dann genauso schnell von Intares auf den Servern aktualisiert.
Genau so soll es sein. Danke Intares.
P.S. Ich bin mir sicher, dass es in den nächsten Tagen und Wochen immer mehr Angriffs-Software geben wird, die versucht diese Sicherheitslücke auszunutzen. Mir tun jetzt wirklich diejenigen leid, die irgendwo einen Server bei einem Massenwebhoster stehen haben und dessen Software seit Jahren nicht mehr aktualisiert haben. Teilweise werden diese kaum eine Chance haben, auf diese neue "libc 2.23" Software selber zu updaten, einfach weil die Software auf dem Server zu alt ist.
Erst berichtete gestern am späten Nachmittag Golem darüber:
Glibc: Sicherheitslücke gefährdet fast alle Linux-Systeme
Und heute früh kam dann auch bei heise ein "Alert":
Alert! glibc: Dramatische Sicherheitslücke in Linux-Netzwerkfunktionen
Nach erstem Überfliegen scheint der Fehler nicht so ganz ohne zu sein und Mitarbeiter von Google haben auch bereits als "proof-of-concept" einen Exploit entwickelt mit dem man diesen Sicherheitsfehler von Aussen tatsächlich ausnutzen kann. Damit wird es dann auch nicht lange dauern, bis Kriminelle diesen Fehler ausnutzen werden.
Den Fehler soll man durch ein Update auf eine aktualisierte Systembibliothek "libc 2.23" auf dem Linux-Server beheben.
Also habe ich mal den Hoster meines Vertrauens, Intares, kontaktiert um zu fragen was jene davon halten und wann das Sicherheits-Update auf unseren Servern bei Intares eingespielt werden wird.
Intares kümmert sich als "Managed Hosting"-Anbieter um den Betrieb der Server inklusive sämtlicher Software-Updates und behauptet von sich, besonderen Wert auf zeitnahe Updates und Sicherheit zu legen und empfiehlt dazu auch als Linux-Betriebssystem "Gentoo".
Als positiv-überraschende Antwort bekam ich, dass das Update bereits gestern auf den Servern eingespielt worden sei!
Bei Gentoo sei bereits (als die libc 2.23 noch gar nicht offiziell verfügbar gewesen war) der Sicherheits-Patch eigenständig in die ältere libc-Version eingebaut worden um verteilt werden zu können und wurde dann genauso schnell von Intares auf den Servern aktualisiert.
Genau so soll es sein. Danke Intares.
P.S. Ich bin mir sicher, dass es in den nächsten Tagen und Wochen immer mehr Angriffs-Software geben wird, die versucht diese Sicherheitslücke auszunutzen. Mir tun jetzt wirklich diejenigen leid, die irgendwo einen Server bei einem Massenwebhoster stehen haben und dessen Software seit Jahren nicht mehr aktualisiert haben. Teilweise werden diese kaum eine Chance haben, auf diese neue "libc 2.23" Software selber zu updaten, einfach weil die Software auf dem Server zu alt ist.
Geschrieben von af in am: Mittwoch, 17. Februar 2016
Permalink
Nächster Artikel: Chaos bei der Deutschen Post AG
Vorheriger Artikel: Virtualisierte Virtualisierung
