Linux-worm vermenigvuldigt zich door lek XML-RPC

[wbakker-letsgoonline]

Het gebeurt niet vaak, maar dit keer wordt melding gemaakt van een worm die zich niet op het Windows-platform richt. Door middel van een lek in een aantal XML-RPC-implementaties slaagt de worm Linux.Plupii of Linux/Lupper erin zich over het internet te verspreiden. Deze kwetsbare componenten worden gebruikt in heel wat populaire php-software waaronder PostNuke, Drupal, Xoops, WordPress en TikiWiki. Gebruikers van deze software wordt dan ook aangeraden zo snel mogelijk te updaten. Jammer genoeg zijn nog niet alle pakketten aangepast om weerstand te kunnen bieden tegen de worm, ondanks het feit dat de bugs in de php-bibliotheken enkele maanden geleden al opgelost werden.

Andere software waarvan de malware gebruikmaakt is AWStats versie 5.0 tot en met 6.3 en Webhints versie 1.3. Als de Plupii-worm een server binnengedrongen is, stuurt hij automatisch een bericht naar de aanvaller via poort 7222 of 7111 en opent het een backdoor om de hacker toegang te geven tot het systeem. Tot slot genereert de worm een aantal url's waarmee hij op zoek gaat naar een nieuw slachtoffer.

Bron: Tweakers.net

[rjonker]

Ik heb al een aantal van die aanvallen gezien in mijn Apache logs... Lang leve de scriptkiddies

[Stefan Mensink]

Is er als webhoster een handige actie die je hier kan ondernemen, behalve het dichtgooien van allerlei poorten?

Upgraden naar een recentere PHP, bijvoorbeeld?

[EWS]

Origineel geplaatst door rjonker
Ik heb al een aantal van die aanvallen gezien in mijn Apache logs... Lang leve de scriptkiddies

Ik ook ja. Ik denk dat dat dus upgraden naar PHP5 wordt, en/of het de gebruiker gebieden de software te updaten of anders te verwijderen omdat deze de server en/of andere gebruikers hindert in een normaal functioneren...

[Randy]

Het XML-PRC probleem was me al eerder bekend. Via Pivot (weblogsoftware) werd hiervoor gewaarschuwd. Er is toch al een patch beschikbaar?

[WH-Tim]

Juist, en 80% van de webservers gebruikt de XML-RPC helemaal niet eens, maja.

[crazycoder]

Origineel geplaatst door Stefan Mensink
Is er als webhoster een handige actie die je hier kan ondernemen, behalve het dichtgooien van allerlei poorten?

Upgraden naar een recentere PHP, bijvoorbeeld?

Dicht gooien van ongebruikte poorten lijkt mij in ieder geval verstandig!

Volg de piep-cultuur.. als iets niet werkt pas je het aan zodra een gebruiker begint te piepen

Verder zou je een script kunnen schrijven wat directories af gaat stropen om brakke software op te sporen en uit te schakelen.. Of in ieder geval de beheerder van de site een mailtje te sturen met het opsomming van de risico's..