Frage zum Update / Probleme nach dem Update

moe 2013-10-14 10:52:19 UTC #1

Liebe eGW-Entwickler, hallo Ralf,

ich bin ja immer eher etwas zögerlich wenn es um Updates geht (NCARS).
Daher habe ich das Update von 1.8.004 auf 005 auch noch nicht eingespielt.

Ich habe den eindruck, dass aktuell soviel wie noch nie von Problemen
nach dem
Update berichtet wird.

Daher meine Fragen:
Täuscht mich mein Eindruck oder ist dem so?
Welches konkrete Sicherheitsrisiko gibt es mit der 1.8.004 ?
Gibt es aktuell ungelöste Probleme, die mit dem Update zu tun haben?

vielen Dank sagt
Moe

October Webinars: Code for Performance
Free Intel webinars can help you accelerate application performance.
Explore tips for MPI, OpenMP, advanced profiling, and more. Get the most from
the latest Intel processors and coprocessors. See abstracts and register >
http://pubads.g.doubleclick.net/gampad/clk?id=60134071&iu=/4140/ostg.clktrk

egroupware-german mailing list
egroupware-german@lists.sourceforge.net
https://lists.sourceforge.net/lists/listinfo/egroupware-german

Ralf_Becker_Stylite 2013-10-15 08:12:44 UTC #2

Hi Moe,

Liebe eGW-Entwickler, hallo Ralf,

ich bin ja immer eher etwas zögerlich wenn es um Updates geht (NCARS).
Daher habe ich das Update von 1.8.004 auf 005 auch noch nicht eingespielt.

Ich habe den eindruck, dass aktuell soviel wie noch nie von Problemen
nach dem Update berichtet wird.

Daher meine Fragen:
Täuscht mich mein Eindruck oder ist dem so?

Ich würde sagen, es gibt relativ wenig Berichte von Problemen bei dem
1.8.005 Update, verglichen mit früheren Updates oder gar neuen major
Versionen.

Das größte Problem sind immer noch leicht gepatchte Installationen aus
Archiven (tar, zip). Da geht beim Update oft etwas schief. Leider werden
die Archive - trotz gegenteiliger Empfehlung - immer noch viel eingesetzt.

Welches konkrete Sicherheitsrisiko gibt es mit der 1.8.004 ?

Ich mag dazu nicht mehr sagen, als ich im Release Announcement gesagt
habe: man kann beliebigen Code auf dem Server ausführen!

Allerdings wird das Advisory mit dem Exploit demnächst veröfftentlicht
und dann kann jeder es lesen und jeden noch nicht upgedateten Server
angreifen.

Gibt es aktuell ungelöste Probleme, die mit dem Update zu tun haben?

In dem ersten 1.8.005.20131001 gab es ein Problem mit verschlüsselten
Sessions (die sind per Default aktiv).

Das Problem wurde nach einer knappen Woche mit 1.8.005.20131007 gelöst.

Mir sind keine weiteren Probleme bekannt.

Ralf

Ralf Becker
Director Software Development

Stylite AG

Morschheimer Strasse 15 | Tel. +49 6352 70629 0
D-67292 Kirchheimbolanden | Fax. +49 6352 70629 30

Email: rb@stylite.de

www.stylite.de | www.egroupware.org

Managing Directors: Andre Keller | Ralf Becker | Gudrun Mueller
Chairman of the supervisory board: Prof. Dr. Birger Leon Kropshofer

VAT DE214280951 | Registered HRB 31158 Kaiserslautern Germany

egroupware-german mailing list
egroupware-german@lists.sourceforge.net
https://lists.sourceforge.net/lists/listinfo/egroupware-german

moe 2013-10-15 09:13:31 UTC #3

Hallo Ralf,

vielen Dank für die ausführliche Antwort!
Weisst Du wann genau das Advisory mit dem Exploit veröffentlicht wird?

viele Grüße,
Moe

Hi Moe,

Liebe eGW-Entwickler, hallo Ralf,

ich bin ja immer eher etwas zögerlich wenn es um Updates geht (NCARS).
Daher habe ich das Update von 1.8.004 auf 005 auch noch nicht eingespielt.

Ich habe den eindruck, dass aktuell soviel wie noch nie von Problemen
nach dem Update berichtet wird.

Daher meine Fragen:
Täuscht mich mein Eindruck oder ist dem so?
Ich würde sagen, es gibt relativ wenig Berichte von Problemen bei dem
1.8.005 Update, verglichen mit früheren Updates oder gar neuen major
Versionen.

Das größte Problem sind immer noch leicht gepatchte Installationen aus
Archiven (tar, zip). Da geht beim Update oft etwas schief. Leider werden
die Archive - trotz gegenteiliger Empfehlung - immer noch viel eingesetzt.

Welches konkrete Sicherheitsrisiko gibt es mit der 1.8.004 ?
Ich mag dazu nicht mehr sagen, als ich im Release Announcement gesagt
habe: man kann beliebigen Code auf dem Server ausführen!

Allerdings wird das Advisory mit dem Exploit demnächst veröfftentlicht
und dann kann jeder es lesen und jeden noch nicht upgedateten Server
angreifen.

Gibt es aktuell ungelöste Probleme, die mit dem Update zu tun haben?
In dem ersten 1.8.005.20131001 gab es ein Problem mit verschlüsselten
Sessions (die sind per Default aktiv).

Das Problem wurde nach einer knappen Woche mit 1.8.005.20131007 gelöst.

Mir sind keine weiteren Probleme bekannt.

Ralf

egroupware-german mailing list
egroupware-german@lists.sourceforge.net
https://lists.sourceforge.net/lists/listinfo/egroupware-german

Ralf_Becker_Stylite 2013-10-15 12:52:41 UTC #4

Hi Moe,

Hallo Ralf,

vielen Dank für die ausführliche Antwort!
Weisst Du wann genau das Advisory mit dem Exploit veröffentlicht wird?

Hab’ nochmal in den Mails geschaut: am 4.10. wurde mir gesagt nächste
Woche, das wäre die vergangene Woche, sprich es kann sein, dass es schon
veröffentlicht ist, oder es passiert jetzt jeden Tag.

Noch eine 1.8.004 zu verwenden ist also ziemlich fahrlässig.

Ralf

Hi Moe,

Liebe eGW-Entwickler, hallo Ralf,

ich bin ja immer eher etwas zögerlich wenn es um Updates geht (NCARS).
Daher habe ich das Update von 1.8.004 auf 005 auch noch nicht eingespielt.

Ich habe den eindruck, dass aktuell soviel wie noch nie von Problemen
nach dem Update berichtet wird.

Daher meine Fragen:
Täuscht mich mein Eindruck oder ist dem so?
Ich würde sagen, es gibt relativ wenig Berichte von Problemen bei dem
1.8.005 Update, verglichen mit früheren Updates oder gar neuen major
Versionen.

Das größte Problem sind immer noch leicht gepatchte Installationen aus
Archiven (tar, zip). Da geht beim Update oft etwas schief. Leider werden
die Archive - trotz gegenteiliger Empfehlung - immer noch viel eingesetzt.

Welches konkrete Sicherheitsrisiko gibt es mit der 1.8.004 ?
Ich mag dazu nicht mehr sagen, als ich im Release Announcement gesagt
habe: man kann beliebigen Code auf dem Server ausführen!

Allerdings wird das Advisory mit dem Exploit demnächst veröfftentlicht
und dann kann jeder es lesen und jeden noch nicht upgedateten Server
angreifen.

Gibt es aktuell ungelöste Probleme, die mit dem Update zu tun haben?
In dem ersten 1.8.005.20131001 gab es ein Problem mit verschlüsselten
Sessions (die sind per Default aktiv).

Das Problem wurde nach einer knappen Woche mit 1.8.005.20131007 gelöst.

Mir sind keine weiteren Probleme bekannt.

Ralf

October Webinars: Code for Performance
Free Intel webinars can help you accelerate application performance.
Explore tips for MPI, OpenMP, advanced profiling, and more. Get the most from
the latest Intel processors and coprocessors. See abstracts and register >
http://pubads.g.doubleclick.net/gampad/clk?id=60135031&iu=/4140/ostg.clktrk

egroupware-german mailing list
egroupware-german@lists.sourceforge.net
https://lists.sourceforge.net/lists/listinfo/egroupware-german

–
Ralf Becker
Director Software Development

Stylite AG

Morschheimer Strasse 15 | Tel. +49 6352 70629 0
D-67292 Kirchheimbolanden | Fax. +49 6352 70629 30

Email: rb@stylite.de

www.stylite.de | www.egroupware.org

Managing Directors: Andre Keller | Ralf Becker | Gudrun Mueller
Chairman of the supervisory board: Prof. Dr. Birger Leon Kropshofer

VAT DE214280951 | Registered HRB 31158 Kaiserslautern Germany

egroupware-german mailing list
egroupware-german@lists.sourceforge.net
https://lists.sourceforge.net/lists/listinfo/egroupware-german

moe 2013-10-15 15:44:16 UTC #5

Hallo Ralf,

nochmals danke!
Ich habe das Update eben durchgeführt und bisher keine Probleme
feststellen können.

Zu dem Update noch folgende Frage:
In der Ankündigung stand u.a.:
"- header.inc.php uses for new installations or on update now secure
password hashes like they were used for accounts since some time now"

Leider kann ich das nicht bestätigen. Jedenfalls haben sich die
password-hashes nicht
verändert bzw. ist der für den DB-User (vermtl. notwendigerweise) noch
immer im Klartext.

Ich habe die Headerkonfig auch extra nochmal gestartet und gespeichert.
Keine Änderung…

viele Grüße,
Moe

Ralf_Becker_Stylite 2013-10-15 17:46:01 UTC #6

Hi Moe,

Hallo Ralf,

nochmals danke!
Ich habe das Update eben durchgeführt und bisher keine Probleme
feststellen können.

Zu dem Update noch folgende Frage:
In der Ankündigung stand u.a.:
"- header.inc.php uses for new installations or on update now secure
password hashes like they were used for accounts since some time now"

Leider kann ich das nicht bestätigen. Jedenfalls haben sich die
password-hashes nicht
verändert bzw. ist der für den DB-User (vermtl. notwendigerweise) noch
immer im Klartext.

Ich habe die Headerkonfig auch extra nochmal gestartet und gespeichert.
Keine Änderung…

Du musst die Passwörter neu im Header-Admin eingeben, dann werden neue
Hashes nicht-md5 Hashes erzeugt.

DB-Passwort muss im Klartext drin stehen, da gibt es keinen einfachen
Weg herum.

Ralf

Hi Moe,

Hallo Ralf,

vielen Dank für die ausführliche Antwort!
Weisst Du wann genau das Advisory mit dem Exploit veröffentlicht wird?
Hab’ nochmal in den Mails geschaut: am 4.10. wurde mir gesagt nächste
Woche, das wäre die vergangene Woche, sprich es kann sein, dass es schon
veröffentlicht ist, oder es passiert jetzt jeden Tag.

Noch eine 1.8.004 zu verwenden ist also ziemlich fahrlässig.

Ralf

Hi Moe,

Liebe eGW-Entwickler, hallo Ralf,

ich bin ja immer eher etwas zögerlich wenn es um Updates geht (NCARS).
Daher habe ich das Update von 1.8.004 auf 005 auch noch nicht
eingespielt.

Ich habe den eindruck, dass aktuell soviel wie noch nie von Problemen
nach dem Update berichtet wird.

Daher meine Fragen:
Täuscht mich mein Eindruck oder ist dem so?
Ich würde sagen, es gibt relativ wenig Berichte von Problemen bei dem
1.8.005 Update, verglichen mit früheren Updates oder gar neuen major
Versionen.

Das größte Problem sind immer noch leicht gepatchte Installationen aus
Archiven (tar, zip). Da geht beim Update oft etwas schief. Leider
werden
die Archive - trotz gegenteiliger Empfehlung - immer noch viel
eingesetzt.

Welches konkrete Sicherheitsrisiko gibt es mit der 1.8.004 ?
Ich mag dazu nicht mehr sagen, als ich im Release Announcement gesagt
habe: man kann beliebigen Code auf dem Server ausführen!

Allerdings wird das Advisory mit dem Exploit demnächst veröfftentlicht
und dann kann jeder es lesen und jeden noch nicht upgedateten Server
angreifen.

Gibt es aktuell ungelöste Probleme, die mit dem Update zu tun haben?
In dem ersten 1.8.005.20131001 gab es ein Problem mit verschlüsselten
Sessions (die sind per Default aktiv).

Das Problem wurde nach einer knappen Woche mit 1.8.005.20131007 gelöst.

Mir sind keine weiteren Probleme bekannt.

Ralf

October Webinars: Code for Performance
Free Intel webinars can help you accelerate application performance.
Explore tips for MPI, OpenMP, advanced profiling, and more. Get the
most from
the latest Intel processors and coprocessors. See abstracts and
register >
http://pubads.g.doubleclick.net/gampad/clk?id=60135031&iu=/4140/ostg.clktrk

egroupware-german mailing list
egroupware-german@lists.sourceforge.net
https://lists.sourceforge.net/lists/listinfo/egroupware-german

October Webinars: Code for Performance
Free Intel webinars can help you accelerate application performance.
Explore tips for MPI, OpenMP, advanced profiling, and more. Get the most from
the latest Intel processors and coprocessors. See abstracts and register >
http://pubads.g.doubleclick.net/gampad/clk?id=60135031&iu=/4140/ostg.clktrk

egroupware-german mailing list
egroupware-german@lists.sourceforge.net
https://lists.sourceforge.net/lists/listinfo/egroupware-german

–
Ralf Becker
Director Software Development

Stylite AG

Morschheimer Strasse 15 | Tel. +49 6352 70629 0
D-67292 Kirchheimbolanden | Fax. +49 6352 70629 30

Email: rb@stylite.de

www.stylite.de | www.egroupware.org

Managing Directors: Andre Keller | Ralf Becker | Gudrun Mueller
Chairman of the supervisory board: Prof. Dr. Birger Leon Kropshofer

VAT DE214280951 | Registered HRB 31158 Kaiserslautern Germany

egroupware-german mailing list
egroupware-german@lists.sourceforge.net
https://lists.sourceforge.net/lists/listinfo/egroupware-german

KaiE 2013-10-15 19:25:41 UTC #7

Hallo Ralf,

Erst mal recht herzlichen Dank! Seit 2008 nutze ich eGroupware und bin noch immer begeistert!

Auch bei mir ging das Update problemlos.

Auch das Neuschreiben der Hashes hat geklappt. Vlt. erst als ich Enable MCrypt eingestellt habe, oder hatte ich da beim ersten Versuch einfach nur den falschen Knopf gedrückt?

DB-Passwort muss im Klartext drin stehen, da gibt es keinen einfachen
Weg herum.

Es ist schon klar, dass man Klientpasswörter nicht hashen kann, da man sie ja zur Anmeldung benötigt. Ich würde sie aber wenigstens nicht in Klartext abspeichern. Das sieht immer schlecht aus und weckt Begehrlichkeiten.

Man kann sie ja zum Beispiel mit dem MCrypt initialization vector XORen und anschließend als BASE64 abspeichern oder irgendetwas anderes machen, was verhindert, dass gleiche Passwörter in unterschiedlichen Umgebungen unter den selben Zeichen abgespeichert sind. Man muss es bestimmt bei PHP nicht auf die Spitze treiben, da man die Sourcen ja immer nachvollziehen kann. Aber gegen Datei öffnen und copy&paste / kopieren der header.inc.php könnte man sich schon schützen.

Mit freundlichen Grüßen
Kai

egroupware-german mailing list
egroupware-german@lists.sourceforge.net
https://lists.sourceforge.net/lists/listinfo/egroupware-german

moe 2013-10-22 13:25:00 UTC #8

vielen Dank, wenn man es überschrteibt, wird es korrekt gespeichert!

Gruß moe

Hi Moe,

Hallo Ralf,

nochmals danke!
Ich habe das Update eben durchgeführt und bisher keine Probleme
feststellen können.

Zu dem Update noch folgende Frage:
In der Ankündigung stand u.a.:
"- header.inc.php uses for new installations or on update now secure
password hashes like they were used for accounts since some time now"

Leider kann ich das nicht bestätigen. Jedenfalls haben sich die
password-hashes nicht
verändert bzw. ist der für den DB-User (vermtl. notwendigerweise) noch
immer im Klartext.

Ich habe die Headerkonfig auch extra nochmal gestartet und gespeichert.
Keine Änderung…
Du musst die Passwörter neu im Header-Admin eingeben, dann werden neue
Hashes nicht-md5 Hashes erzeugt.

DB-Passwort muss im Klartext drin stehen, da gibt es keinen einfachen
Weg herum.

Ralf

Hi Moe,

Hallo Ralf,

vielen Dank für die ausführliche Antwort!
Weisst Du wann genau das Advisory mit dem Exploit veröffentlicht wird?
Hab’ nochmal in den Mails geschaut: am 4.10. wurde mir gesagt nächste
Woche, das wäre die vergangene Woche, sprich es kann sein, dass es schon
veröffentlicht ist, oder es passiert jetzt jeden Tag.

Noch eine 1.8.004 zu verwenden ist also ziemlich fahrlässig.

Ralf

Hi Moe,

Liebe eGW-Entwickler, hallo Ralf,

ich bin ja immer eher etwas zögerlich wenn es um Updates geht (NCARS).
Daher habe ich das Update von 1.8.004 auf 005 auch noch nicht
eingespielt.

Ich habe den eindruck, dass aktuell soviel wie noch nie von Problemen
nach dem Update berichtet wird.

Daher meine Fragen:
Täuscht mich mein Eindruck oder ist dem so?
Ich würde sagen, es gibt relativ wenig Berichte von Problemen bei dem
1.8.005 Update, verglichen mit früheren Updates oder gar neuen major
Versionen.

Das größte Problem sind immer noch leicht gepatchte Installationen aus
Archiven (tar, zip). Da geht beim Update oft etwas schief. Leider
werden
die Archive - trotz gegenteiliger Empfehlung - immer noch viel
eingesetzt.

Welches konkrete Sicherheitsrisiko gibt es mit der 1.8.004 ?
Ich mag dazu nicht mehr sagen, als ich im Release Announcement gesagt
habe: man kann beliebigen Code auf dem Server ausführen!

Allerdings wird das Advisory mit dem Exploit demnächst veröfftentlicht
und dann kann jeder es lesen und jeden noch nicht upgedateten Server
angreifen.

Gibt es aktuell ungelöste Probleme, die mit dem Update zu tun haben?
In dem ersten 1.8.005.20131001 gab es ein Problem mit verschlüsselten
Sessions (die sind per Default aktiv).

Das Problem wurde nach einer knappen Woche mit 1.8.005.20131007 gelöst.

Mir sind keine weiteren Probleme bekannt.

Ralf

October Webinars: Code for Performance
Free Intel webinars can help you accelerate application performance.
Explore tips for MPI, OpenMP, advanced profiling, and more. Get the
most from
the latest Intel processors and coprocessors. See abstracts and
register >
http://pubads.g.doubleclick.net/gampad/clk?id=60135031&iu=/4140/ostg.clktrk

egroupware-german mailing list
egroupware-german@lists.sourceforge.net
https://lists.sourceforge.net/lists/listinfo/egroupware-german

October Webinars: Code for Performance
Free Intel webinars can help you accelerate application performance.
Explore tips for MPI, OpenMP, advanced profiling, and more. Get the most from
the latest Intel processors and coprocessors. See abstracts and register >
http://pubads.g.doubleclick.net/gampad/clk?id=60135031&iu=/4140/ostg.clktrk

egroupware-german mailing list
egroupware-german@lists.sourceforge.net
https://lists.sourceforge.net/lists/listinfo/egroupware-german

egroupware-german mailing list
egroupware-german@lists.sourceforge.net
https://lists.sourceforge.net/lists/listinfo/egroupware-german