Bekijk Volledige Versie : Exploit Roundcube! Update Roundcube ASAP
J. Brunink
07/01/09, 19:57
Er is een exploit op internet die zorgt dat je remote een PHP commando kunt uitvoeren op een RoundCube installatie <=0.2b. Oftewel dat wordt updaten mensen!
Op directadmin servers kan dit worden gedaan door middel van custombuild.
Simpelweg ./build roundcube even laten rennen en klaar is kees.
Waarschuwing: roundcube wordt sinds enige tijd standaard geinstalleerd op alle DA installaties. Dus een dubbele check als er niet zeker is of roundcube wel of niet aanwezig is is wel zo fijn ;).
Een van onze klanten (doet zelf beheer) was al te grazen genomen door deze exploit. Draaiden tal van exploits voor roundcube op die machine. We hebben toen vorige week alle machines geupdate.
Moraal van dit verhaal: Updaten is echt nodig, anders ben je spoedig de haas.
http://www.webhostingtalk.nl/directadmin/145110-security-update-roundcube-0-2-beta.html
Dat dus ;) Inmiddels is de 0.2 final ook uit dus die kan ook gebruikt worden.
Die was zo stil gepost dat ik het niet had meegekregen :p.
Tim.Bracquez
07/01/09, 23:42
http://www.webhostingtalk.nl/directadmin/145110-security-update-roundcube-0-2-beta.html
Dat dus ;) Inmiddels is de 0.2 final ook uit dus die kan ook gebruikt worden.
klopt dacht ook al dat dit 'oud' nieuws was.
Die patches als die zijn gedaan is dit normaal gefixt vermoed ik? (aangezien ik hier ook een aangepaste roundcube heb draaien, de rest nu allemaal goed geupdate naar de final)
Gelijk maar even geupdate, bedankt voor de tip!
J. Brunink
08/01/09, 14:03
Gok dat standaard installaties van DA erg kwetsbaar zijn, omdat alles dan als apache user draait? Hier heb ik alles draaien icm mod_ruid.
Tim.Bracquez
08/01/09, 16:07
Gok dat standaard installaties van DA erg kwetsbaar zijn, omdat alles dan als apache user draait? Hier heb ik alles draaien icm mod_ruid.
De nieuwe met suPHP, dit is niet de 'enter, enter, enter' installatie, één keer '2' invullen. Best wel goed dat ze dit er nu ingebouwd hebben
Ik heb inmiddels de ./build roundcube hoe kun je controleren of roundcube dan ook daadwerkelijk geupdate is? Of hoe kun je versie van roundcube achterhalen?
Even de php code van bijvoorbeeld index.php bekijken, daar staat het versienummer in
Ik heb inmiddels de ./build roundcube hoe kun je controleren of roundcube dan ook daadwerkelijk geupdate is? Of hoe kun je versie van roundcube achterhalen?
./build versions
Simpelweg ./build roundcube even laten rennen en klaar is kees.
Eerst maar even "./build update" doen?
Zelf vorige week al een 150-tal servers gepatcht. ClusterSSH r0x.
Als je versie 0.1 final hebt draaien is er geen probleem.
Als je versie 0.1 final hebt draaien is er geen probleem.
Daar zou ik niet teveel op vertrouwen. Er zijn nadien veel bug en security fixes geweest en ze bieden 'm niet meer aan. De RC1/2 waren iig nog helemaal lek.
En voor customapache users even het bestand /usr/local/directadmin/scripts/roundcube.sh aanpassen. Bij versie even 0.2 van maken en dan het script roundcube.sh uitvoeren.
Daarna het liefst nog rm -rf /var/www/html/roundcubemail-0.1* want roundcube wordt er naast geïnstalleerd en via de browser is hard de oude versie nog aan te roepen.
Daarna het liefst nog rm -rf /var/www/html/roundcubemail-0.1* want roundcube wordt er naast geïnstalleerd en via de browser is hard de oude versie nog aan te roepen.
Gelukkig heeft deze geen rechten meer op de database, het is inderdaad standaard nog wel aan te roepen maar volgens mij kunnen de exploits hier nu niets meer mee.
Heb liever het zekere voor het onzekere :)
Daar hebben ze ook al een oplossing voor gevonden: "./build clean_old_webapps"
Inmiddels ./build update en daarna ./build roundcube, dat blijkt een stuk beter te werken! Bedankt voor de tips!
Heb liever het zekere voor het onzekere :)
Eens, hier is dat opgelost door een .htaccess binnen de oude folders te zetten. Permanent verwijderen is ook weer zo iets
Op de forums van DirectAdmin staat ook uitgelegd hoe je Roundcube kan updaten. Hier word ook de clean_old_webapps meegenomen om ervoor te zorgen dat de oude versies weg zijn.
cd /usr/local/directadmin/custombuild
./build update
perl -pi -e 's/clean_old_webapps=no/clean_old_webapps=yes/' options.conf
./build roundcube
./build clean
http://www.directadmin.com/forum/showthread.php?t=29240
Ik mag hopen dat bijna 6 weken na het exploit iedereen wel een update gedraaid heeft. En hij/zij wie dat nog niet gedaan heeft zal ongetwijfeld al gebeld zijn door de netwerkleverancier ;)
w00t, WHT vetaraan. Domo, kom maar op met die gifts...
Ik mag hopen dat bijna 6 weken na het exploit iedereen wel een update gedraaid heeft. En hij/zij wie dat nog niet gedaan heeft zal ongetwijfeld al gebeld zijn door de netwerkleverancier ;)
w00t, WHT vetaraan. Domo, kom maar op met die gifts...
Dat had ik keurig en direct gedaan, maar toen was er een klant die een oude roundcube (onder zijn eigen bedachte webmail-naam) in zijn account had staan.
Het was weer een vermoeiend weekend. :clown:
Heren,
Ik zou niet meer teveel vertrouwen op Roundcube. Ik zie VM's gehacked worden (althans, apache) op deze manier:
29 "POST http://xxxxxxxxxxxxx/roundcube/bin/html2text.php HTTP/1.0"
29 "POST http://xxxxxxxxxxxxx/roundcube/bin/html2text.php HTTP/1.0"
Met de nieuwste roundcube versies. Deze VM heeft ook nog nooit een oude gehad (want hij is helemaal niet).
Wat mij betreft reden genoeg om 'm te trashen.
het is open source hè, dus je zou een bug kunnen filen of een patch kunnen maken :D