Posts Tagged ‘ bug

Firefox 3.0.4 ist da

… und macht auch gleich ein paar Sicherheitslücken dicht. Insgesamt 9 Bugs haben die Entwickler der Mozilla Foundation in der neue FireFox Version 3.0.4 bereinigt, vier davon wurden von den Entwicklern als kritisch eingestuft, darunter auch ein klassischer Buffer Overflow, der beim Parsen präparierter Server-Antworten auftritt.

Eine Übersicht über alle geschlossenen Lücken gibt es im Security Advisories für Firefox 3.0.

Wie immer kann die neue Version ab sofort von den Servern der Mozilla Foundation in diversen Sprachen für Mac, Windows und Linux heruntergeladen werden – alternativ läßt sich auch das eingebaute automatische Update des Browsers bemühen.

[via golem.de]

Firefox 2.0.0.7 released

firefox-title.pngDie Mozilla-Foundation hat eine neue Firefox-Version veröffentlicht. Die Version 2.0.0.7 ist ein Sicherheitsupdate – oder wie es die Mozilla-Entwickler ausdrücken “Security firedrill” – und behebt einen in der vergangenen Woche bekannt gewordenen Bug im Quicktime-Plugin, welcher zum Einschleusen von Schadcode verwendet werden konnte.

Der neue Firefox ist ab sofort über das automatische inkrementelle Update verfügbar oder kann von den Servern der Mozilla-Foundation in diversen Sprachversionen heruntergeladen werden. Weitere Informationen zum Update finden sich wie immer in den ReleaseNotes sowie im wiki.

FireFox 2.0.0.6 ist da

4 Tage nach dem Auftauchen des Remote Command Execution Bug im FireFox – und 13 Tage nach der Version 2.0.0.5 – haben die Mozilla-Entwickler eine neue Version ihres alternativen Browsers FireFox veröffentlicht.

Die Version 2.0.0.6 ist ein reiner Security-Release und behebt neben dem schon angesprochenen Fehler auch ein Problem beim Aufruf von “about:blank“.

Der neue FireFox ist ab sofort über das automatische inkrementelle Update verfügbar oder kann von den Servern der Mozilla-Foundation in diversen Sprachversionen heruntergeladen werden. Die Release Notes gibt es wie immer hier, die Liste der behobenen Fehler hier.

[via Mozilla Security Blog]

Remote Command Execution Bug im Mozilla

Billy Rios und Nate McFeters haben in ihrem Blog einen Bug im Mozilla veröffentlicht, mit dem sich über bestimmte URLs beliebige Programme starten lassen.

Die Ursache scheint dabei in der Verarbeitung von bestimmten Web-Protokollen (mailto:, news:, etc.) zu stecken. Enthält ein Link die Zeichenfolge “%00” und wurde auf dem System z.B. kein externes Mail-Programm installiert das sich für die Verarbeitung solcher URLs verantwortlich zeigt, so ist es damit möglich, beliebige lokale Programme auszuführen.

In den von Billy und Nate aufgeführten Beispielen startet nach einem Klick auf einen Link ohne Vorwarnung die Console und anschließend der Taschenrechner von Windows.

Der Bug ist sowohl in der aktuellen FireFox Version 2.0.0.5 sowie im Netscape Navigator 9 und Mozilla vorhanden, getestet wurde er allerdings nur unter WinXP mit SP2.

In Bugzilla gibt es inzwischen einen entsprechende Eintrag, so das das nächste Mozilla/FireFox Update nicht mehr lange auf sich warten lassen dürfte.

Update
Auf heise.de gibt es noch einen etwas ausführlicheren Bericht zu dieser Problematik

[via Mozilla Security Blog]

D2k – Upgrade auf WordPress 2.2.1

Nach dem Release der 2.2.1 Version von WordPress habe ich heute auch mein Blog einem Update unterzogen. Zwar ist die Version 2.2.1 ein reiner Bugfixrelease, allerdings wurden auch einige Sicherheitsrelevante Lücken geschlossen, wodurch das Update ein Muss sein dürfte.

Die vollständige List der behobenen Fehler und geschlossenen Lücken gibt es übrigens hier.

WordPress 2.2.1 released

WordPress wurde heute in der Version 2.2.1 veröffentlicht. Neben diversen Bugfixes sind auch einige Sicherheitslücken geschlossen worden, so dass für alle 2.2 User ein Upgrade dringend empfohlen wird.

Update
Die deutsche Version 2.2.1 ist, nebst Upgradepaket für 2.2 auf 2.2.1, ebenfalls verfügbar.

Safari für Windows = schweizer Käse?

Kaum wurde die Beta-Version des Safari-Browsers für die Windows veröffentlicht, da sind bereits zahlreiche Sicherheitslecks im neuen AppleWindows-Browser aufgetaucht:

  • Thor Larholm fand einen Bug, mit dem Angreifer beliebigen Programmcode ausführen und somit Kontrolle über ein fremdes Windows-System verschaffen können. Dazu reicht lediglich der Aufruf einer präparierte Webseite.
  • Auch Aviv Raff hat es geschafft, den Browser gezielt zum Absturz zu bewegen. Ob sich dadurch auch Schadcode ausführen lässt, ist bislang noch nicht bekannt.
  • Und David Maynor von Errata Security fand gleich sechs Schwachstellen, vier davon lassen sich für Denial-of-Service-Angriffe ausnutzen.

Angesichts des Apple-Versprechens, der Safari sei vom ersten Tag an sicher

[...] Now you can enjoy worry-free web browsing on any computer. Apple engineers designed Safari to be secure from day one. [....]

wirkt das Ganze wie ein Schlag ins Gesicht der Apple-Entwickler.

Zugegeben, der neue Browser ist noch in der Beta-Phase, aber vielleicht hätte sich Apple mit Aussagen über die Sicherheit des WinSafari vielleicht bis zur Final etwas zurückhalten sollen. Sicherheitslücken in Browsern werden in der heutigen Zeit gesucht wie Goldnuggets damals am Klondike River, das konnte Microsoft nach dem Release der neuen 7er Version des IE feststellen. Damals hat es zumindest noch 24 Stunden gedauert, bis die erste Sicherheitslücke publik wurde, bei Apple`s Safari für Windows waren es nur noch 2 Stunden und somit fast Rekordverdächtig.

Es bleibt abzuwarten, in wie Weit sich der entstandene Image-Schaden auf die Verbreitung des Browsers auswirken wird. Das es einer ist, brauche ich wohl nicht extra zu betonen.

[via Golem.de]

SQL-Injection in WordPress

Auf Milw0rm wurde ein Exploit für eine Remote SQL-Injection für das Blogsystem WordPress veröffentlicht, mit der Angreifer eigene Befehle an die Datenbank von WordPress übergeben und so Inhalte manipulieren oder Namen und Passwort-Hashes anderer Nutzer auslesen können.

Verursacher ist die Funktion wp.suggestCategories im Modul xmlrpc.php, die übergebene Parameter nicht richtig filtert und so beliebige SQL-Aufrufe an die Datenbank weitergibt.

Der Fehler betrifft wahrscheinlich alle WordPress-Versionen bis einschließlich 2.2. Zwar lässt sich der Exploit nur als angemeldeter Nutzer ausnutzen, Anwender sollten aber ASAP das Update der xmlrpc.php aus den Entwickler-Repositories einspielen.

Wer es lieber händisch mag, muss in der Zeile 541

$max_results = $args[4];

gegen

$max_results = (int) $args[4];

austauschen … zumindest passt dieses auf die xmlrpc.php der Version 2.2. Wie der Code in den Versionen < 2.2 aussieht, kann ich IMO leider nicht sagen.

PHP 5.2.3 released

PHP wurde in der Version 5.2.3 veröffentlicht und behebt, neben diversen Bugs, auch einen Fehler in der Funktion chunk_split() sowie im Timeout-Handhabung von nicht blockierenden SSL-Verbindungen. Alle Änderungen sind wie immer dem Release Announcement zu entnehmen.

Laut Stefan Essern gibt es allerdings noch immer bekannten Sicherheitslücken, die in der neuen Version nicht berücksichtigt wurden. Ein Umstieg auf die neue Version ist dennoch anzuraten.

Tip: Bei der Gelegenheit sollten Nutzer gleich das Schutzsystem Suhosin installieren. Zwar ist Suhosin auch nicht der Weisheit letzter Schluss, aber es sollte den eigenen Server vor bekannten und unbekannten Fehlern in PHP-Anwendungen und im PHP-Kern ein wenig besser schützen. Wer Suhosin nicht installieren möchte – wieso auch immer – sollte sich den Hardening-Patch einmal anschauen.

WordPress mag die 1000 nicht

Gerade ist mir aufgefallen, das seit meinem 1000sten Post in der Frontpage der WordPress-Administration der Bereich “Blogstatistik” nicht mehr richtig funktioniert. Zwar wird der Bereich noch angezeigt, hat das Blog aber z.B. mehr als 1000 Postings oder Kommentare, fällt die entsprechende Anzeige “unter den Tisch“.

Blogstatistik Fehler

Ursache ist der Aufruf der Funktion number_format() in Zeile 102 und 105 der admin/index.php. Die Funktion erwartet eigentlich mind. ein Parameter vom Typ float, was bei einer Menge < 1000 ohne Probleme klappt. Hat das Blog aber mehr als 1000 Beiträge, gibt MySQL bei 1,001 zurück, was beim anschließenden Parsen und übersetzen leider nach hinten knallt und somit die Blogstatistik nicht mehr korrekt angezeigt wird.

Abhilfe für dieses Verhalten kann man schaffen, in dem man die Funktion number_format() in Zeile 102 und 105 um die entsprechenden Parameter für die Tausenderstellen erweitert, also für Blogposts in Zeile 102:

if (0 < $numposts) $numposts = number_format($numposts, 0, , );

bzw. für Kommentare (die Kategorien ignoriere ich an dieser Stelle mal) in Zeile 105:

if (0 < $numcomms) $numcomms = number_format($numcomms, 0, '', '');

Dann sieht die Statistik auch wieder aus, wie sie aussehen sollte!

Blogstatistik

Ich kann leider nicht sagen, ob dieses Verhalten nur bei mir auftritt (WP/2.0.3 2.1.3 DE_Edition - PHP/5.2.1 - MySQL/5.0.33), wer also ähnliches mit einer anderen Server-Config zu berichten hat, bitte kurz laut geben. Eventuell wäre das dann nen BugTrack-Eintrag bei WordPress.org wert.

Update
Auf meinem Debug-System gibt es endlich auch richtige Fehlermeldungen *g* Demnach knallt mir WP mit der Fehlermeldung

<Parse error: syntax error, unexpected ',' in
/path/to/wordpress/wp-includes/gettext.php(313) : eval()'d code on line 1

weg. Ein paar Googles später habe ich bei Thomas im Blog einen Lösungsansatz gefunden, der genau diese gettext.php modifiziert. Allerdings ist gettext.php keine WP Komponente, sondern teil von PHP-gettext, von daher macht mir dieser Lösungsansatz dann doch ein paar Bauchschmerzen. Eine etwas elegantere Lösung - nebst Ursachenbeschreibung - gibt es im WordPress-BugTracker. Leider wird dieser Bugfix wohl erst nach dem Release von WP 2.2 seinen Weg in die offiziellen Versionen finden, so daß man die notwendigen Änderungen manuell einpflegen muss ... sofern denn das eigene Blog 1000 oder mehr Postings, Kommentare oder Kategorien hat versteht sich :)