Hallo Zusammen,
Es gibt aktuell zwei potentiell schwerwiegende Sicherheitslücken im PHP, die wohl zum Teil auch schon für Angriffsszenarien ausgenutzt werden. Es sollte um 16.00 Uhr (14.00h UTC) ein PHP Sicherheitsupdate geben, das wir dann auch sofort über neue docker-Container (Pakete) bereitstellen. Diese müssen aber aktiv eingespielt werden, damit sie direkt wirksam werden!
Zusätzlich gibt es zu dem angekündigten PHP Sicherheitsupdate eine “möglicherweise helfende Mitigation”, diese schaltet eine von EGroupware nicht benutzte Funktionalität im “Umfeld” des einen Exploits aus.
Wir haben hierfür 2 neue EPL und CE Images mit der “Mitigation” (session.upload_progress.enabled=Off) bereitgestellt. Diese beinhalten auch die letzten (Security-)Fixe für EGroupware 26.
Bitte spielen Sie umgehend die Images auf Ihrem System folgendermaßen ein:
cd /etc/egroupware-docker
docker compose pull && docker compose up -d && docker logs -f egroupware
# Ctrl-C to exit once you see: NOTICE: fpm is running, pid 1
EGroupware 23.1
Für Installationen, die entgegen unseren Empfehlungen, noch EGroupware 23.1 im Einsatz haben, stellen wir auch neue Images bereit, die die “Mitigation” beinhalten und einen weiteren Security-Fixe von EGroupware selbst.
Wir möchten nochmals dringend empfehlen schnellstmöglich die Mitigation, den heute Nachmittag folgenden Fix von PHP selbst UND das Update auf 26 auszuführen!
Sobald das Sicherheitsupdate von PHP bereit steht, werden wir nochmals neue Images für EGroupware 26 und EGroupware 23.1 bereitstellen. Auch diese dann bitte umgehend installieren. Wir senden dazu dann eine weitere E-Mail, sobald die Pakete bereit stehen.
Bei Fragen rund um EGroupware, das Sicherheitsupdate oder das Update auf EGroupware 26, wenden Sie sich gerne jederzeit an unser Team!
Birgit und das EGroupware Team
