Beiträge von [netcup] Felix P.

  • Gefährliche Sicherheitslücke in Froxlor

    -------------------------------------------------------
    Update vom 30.07.2015 15:40:
    -------------------------------------------------------
    Sehr geehrte Kundinnen und Kunden,


    wir haben jetzt eigene Pakete für Debian Wheezy gebaut und in folgendem Repo veröffentlicht:

    http://froxlormirror.netcup.net/froxlor-nc

    Um unser Repo zu aktivieren, können Sie auf Debian Wheezy wie folgt vorgehen:

    ACHTUNG: Die Anwendung geschieht auf eigenes Risiko. Wir können keine Fehler ausschließen.

    Code
    echo "#Mirror for netcup builds if main mirror lack new release" >> /etc/apt/sources.list.d/froxlor.list
echo "deb http://froxlormirror.netcup.net/froxlor-nc $(lsb_release -c -s) main" >> /etc/apt/sources.list.d/froxlor.list
apt-key adv --fetch-keys http://froxlormirror.netcup.net/froxlor-nc/netcup-release-key.gpg


    Folgende Befehle aktivieren das Repo und spielen das Update ein:

    Code
    apt-get update
apt-get dist-upgrade

    -------------------------------------------------------
    Ursprünglicher Beitrag (bitte auch lesen):
    -------------------------------------------------------

    Sehr geehrte Kundinnen und Kunden,


    wir wurden soeben über eine schwerwiegende Sicherheitslücke in Froxlor informiert. Über die Sicherheitslücke können Angreifer remote das Datenbankpasswort unter Umständen auslesen. Die Sicherheitslücke wird in Version 0.9.33.2 gefixt. Aktuell steht für Debian diese Version noch nicht zur Verfügung.

    Bis dahin empfehlen wir betroffene Server mit folgenden Befehlen zu schützen:

    Achtung: Das Anwenden dieser Empfehlung geschieht auf eigenes Risiko. Weitere Fehler können nicht ausgeschlossen werden.

    Code
    echo "Alias /froxlor/logs /dev/null" >> /etc/apache2/apache2.conf
/etc/init.d/apache2 restart

    Das sorgt dafür, dass die kritische URL umgeleitet wird. Sobald die neue Version von Froxlor auch für Debian zur Verfügung steht, empfehlen wir diese per Paketverwaltung zu aktualisieren und anschließend die Zeile

    Code
    Alias /froxlor/logs /dev/null

    wieder aus der Datei /etc/apache2/apache2.conf zu entfernen.

    Folgend nun die genauen Details zur Sicherheitslücke:

    "Hello,

    I just want to inform you that froxlor version 0.9.33.1 and earlier has an

    information leak. (The database password is fully visible for unauthenticated

    remote attackers via the filepath /logs/sql-error.log)

    A CVE for this issue is requested and will be available/public soon.

    The vulnerability is fixed upstream in froxlor version 0.9.33.2.

    Please inform your customers. You can gain further informations on the

    oss-security mailinglist: oss-security@lists.openwall.com


    Greetings

    [persönliche Daten entfernt]


    Here is a technical description about this issue:


    Summary

    ========

    An unauthenticated remote attacker is able to get the database password via

    webaccess due to wrong file permissions of the /logs/ folder in froxlor version

    0.9.33.1 and earlier. The plain SQL password and username may be stored in the

    /logs/sql-error.log file. This directory is publicly reachable under the default

    configuration/setup.


    Notes

    =====

    Some default URLs are:

    - http://website.tld/froxlor/logs/sql-error.log

    - http://cp.website.tld/logs/sql-error.log

    - http://froxlor.website.tld/logs/sql-error.log


    The certain section looks like this:


    /var/www/froxlor/lib/classes/database/class.Database.php(279):

    PDO->__construct('mysql:host=127....', 'DATABASE_USER', 'PLAIN_DATABASE_PW',

    Array)


    Please note that the password in the logfile is truncated to 15 chars, therefore

    passwords longer than 15 chars are not fully visible to an attacker."

    Wir sind dabei alle Kunden die Froxlor einsetzen könnten zu informieren. Neuinstallationen von Froxlor über unsere Image-Verwaltung sind bereits mit dem oben genanntem Schutz versehen.

    Wir empfehlen auch zu prüfen, ob sich Dritte bereits Zugang zu Ihrem System verschaffen konnten.

    Fragen zu dem Thema bitte nicht beim Support stellen. Dafür ist z.B. Platz in diesem Beitrag. Der Support beantwortet keine Fragen zur individuell eingesetzten Software.


    Mit freundlichen Grüßen

    Felix Preuß

  • vServer Snapshots und Defragmentierung

    Guten Morgen,


    immer wenn Sie viele Dateien löschen und die Sektoren nicht freigegeben werden, müssen Sie damit rechnen das Sie eine Defragmentierung durchführen müssen.

    Beispiel bei 100GB HDD:

    Je Tag schreiben und löschen Sie 10 GB an Daten. Bis zum 5. Tag können Sie dann Snapshots anfertigen. Ab dem 5. muss zuerst defragmentiert werden.


    Mit freundlichen Grüßen

    Felix Preuß

  • Dauerlast und Serverumzüge

    Vielen Dank für Ihr Feedback! Es freut uns sehr, dass Sie mit unseren KVM-Servern zufrieden sind. :)

    Da wir als Anbieter der wenig Geld in Werbung steckt auf Erfahrungsberichte angewiesen sind, freuen wir uns über jede ehrliche Bewertung in Portalen wie z.B. Trustpilot:

    netcup GmbH Bewertung | KundenBewertungen von netcup GmbH | netcup.de

    Vielleicht haben Sie ja ein paar Minuten Zeit, uns zu bewerten.

    Vielen Dank!


    Mit freundlichen Grüßen

    Felix Preuß

  • Dokumentenstamm lässt sich nicht ändern

    Guten Morgen,


    wenn Sie in einem Dokumentenstamm über das WCP eine Applikation installiert haben, lässt sich der Dokumentenstamm erst wieder ändern, wenn die Applikation entfernt wurde. Das liegt daran, da viele Applikationen den Dokumentenstamm in der Konfiguration gespeichert haben müssen. Würde man also den Dokumentenstamm anschließend ändern, wäre die Applikation nicht mehr funktionsfähig.


    Mit freundlichen Grüßen

    Felix Preuß

  • Sender address rejected: not owned by user

    Guten Morgen,


    ich habe die Sache jetzt intern noch einmal geklärt. Die Aussage von Herrn Stenders, dass der Artikel nicht mehr aktuell ist, ist falsch. Wir bitten für die Verwirrung um Entschuldiung.

    Wenn Sie strikt nach dem Artikel vorgehen, auch die erforderliche Wartezeit beachten, können Sie über ein E-Mailadresse die als Wildcard angelegt ist, E-Mails von Absendern versenden die auf diesen Wildcard matchen.


    Mit freundlichen Grüßen

    Felix Preuß

  • vServer neue Tarife/Angebote

    Guten Tag,


    aktuell gibt es keine Pläne für neue Produkte, da die bestehenden momentan gut verkauft werden.

    Ich denke die von uns gebotene Leistung hat ein gutes Preis- Leistungsverhältnis, verglichen mit anderen Mitbewerbern, der von uns gebotenen Qualität (99,6% Mindestverfügbarkeit, Markenhardware, redundante Stromversorgung und mehrfach redundantes Netzwerk) und dem gebotenen Funktionsumfang. Eigene CD-ROMs und Images für KVM-Server werden auf dem Markt meist zu deutlich höheren Preisen angeboten. Da solche Funktionen uns einiges an Entwicklungsaufwand gekostet haben, bieten wir diese jetzt auch erst ab einem bestimmten Mindestpreis an.

    Sollte neue Hardware auf dem Markt erscheinen, werden wir daraus möglichst Zeitnah neue Angebote schnüren.

    Da wir davon leben das Kunden unsere Produkte buchen, versuchen wir das anzubieten das sich die meisten Kunden wünschen. Wenn Sie hier Optimierungsbedarf sehen, freuen wir uns über Ihre Vorschläge.


    Mit freundlichen Grüßen

    Felix Preuß

  • Das längste Thema

    Das sagen viele aus der Branche mit denen ich mich unterhalte. Wenn man bedenkt für wie viel Geld die WHL verkauft wurde, ist das schwer zu verstehen. Als Kunde der WHL müssen wir jetzt unsere Konsequenzen ziehen. Das Grafiken auf der Website verschwinden geht in unseren Augen gar nicht.

  • Das längste Thema

    :)

    Nachdem bei der Webhostlist immer weniger funktioniert, man beachte nur den Screenshot, haben wir uns einen Premium-Account bei Trustpilot geholt.

    Bildschirmfoto vom 2015-07-15 09:59:07.png

    Falls noch nicht geschehen, freuen wir uns über eine Bewertung bei Trustpilot:

    netcup GmbH Bewertung | KundenBewertungen von netcup GmbH | netcup.de

    Die Übersicht unserer Auszeichnungen haben wir entsprechend angepasst:

    netcup.de - Auszeichnungen - Testergebnisse und Zertifikate

    Vielen Dank! :)

  • Mindestvertragslaufzeit 1 Monat aber 3 Monate Abrechnungszeitraum?

    Guten Tag,


    Abrechnungszeitraum und Mindestvertragslaufzeit sind zwei verschiedene Zeitperioden.

    Wie zu Anfangs gesagt, dient eine längere Abrechnungsperiode bei einem kleinen Tarif dazu, keine Rechnungen über 3,99 Euro ausstellen zu müssen. Dieser Umstand ändern sich auch in der Zukunft nicht.

    Wenn Sie größere Tarife mit einer höheren Grundgebühr buchen, stellen wir auch monatlich Rechnungen aus.


    Mit freundlichen Grüßen

    Felix Preuß