Plesk auto update

[Ionstar]

Ik kwam er vandaag achter dat op 1 april rond 9 uur 's-ochtends mijn Plesk 8.4 installatie zichzelf heeft geupdate naar 8.6. Ik heb nergens iets aangezet en volgens mij zit er niet eens een auto update functie in die versie. Dit is in al die jaren dat ik plesk gebruik nog nooit voorgekomen.

Als Parallels dit gedaan heeft dan is dit een zeer kwalijke zaak. Ik ben nu al een halve dag/nacht bezig de rotzooi op te ruimen. Plesk updates gaan zelden goed en zo ook hier. Een hele dag aan mail kwijt, onder andere.

Ik heb de update niet gestart, want ik lag in bed rond die tijd. Het datacenter ook niet, want die heeft geen toegang tot het systeem, de log files laten ook totaal niets zien, behalve de plesk update log. Die geeft aan dat het uitegevoerd is door 87.117.255.64.

Via root binnen komen kan ook niet.. of althans is zeer lastig met een password van 25 tekens.

Het ergste is nog dat je parallels niet eens kunt aanspreken.. dat moet via de reseller, die er waarschijnlijk totaal niets aan kan doen.

Zijn er meer mensen waarbij dit is gebeurd?

[Ionstar]

De reseller zegt dat Plesk niet automatisch update. Dan begint het er verdacht veel op te lijken dat de server compromised is, ondanks dat daar totaal niets van te vinden is.

[Bakker ICT]

Ik heb op een oude server nog 8.4 draaien en is dit niet bij gebeurd, zou natuurlijk ook absurd zijn. Mocht het een VPS zijn zou dit kunnen (denk aan Virtuozzo) ?? Is dit IP van je provider ?

[Ionstar]

Nee, mijn provider is server4you.de en het ip is van eukhost.com. Ik heb alle logs doorgelopen en de plesk log is de enige waar dat IP in voor komt (of ik heb nog een log over het hoofd gezien). Het is geen VPS.

Ik heb ook een backdoor check gedraaid en de complete server gescanned op virussen. Maar niets van dat alles. Ik sta voor een raadsel.

[Bakker ICT]

In die log file staan ook logins? Dat IP heeft dus ingelogd en vervolgens een update gedaan ? Overigens snap ik dat niet, als ze hem compromisen en dan ineens updaten Verder nog logins gehad onder root ? Met commando last / lastlog kan je controleren wie er ingelogd zijn. Overigens kan je dat ook doen in je secure.log / messages .

[PeterT]

Om plesk te updaten hoef je niet het root wachtwoord te hebben maar volstaat de login voor het controlpanel. Ik kan me echter niet voostellen dat iemand die als admin kan inloggen zich beperkt tot het updaten van je systeem.. Geen partner/collega die het gedaan kan hebben?

[Ionstar]

Nee in die logfile staat normaal gesproken wie er in Plesk aanlogt, maar dat was hier niet het geval... de eerste twee entries begonnen direct met:

87.117.255.64 [2009-04-01 09:40:27] 'Plesk component upgrade' ('Plesk component name': 'psa' => 'psa')
87.117.255.64 [2009-04-01 09:40:27] 'Plesk component upgrade' ('Plesk component name': 'psa-api-rpc' => 'psa-api-rpc')

In de secure en messages logs staat het IP geen enkele keer vermeld. En er is ook niemand als root aangelogd geweest, anders dan ikzelf. Wel een paar andere users, maar die hebben geen rechten buiten hun shell. En deze users zitten niet bij eukhost.

Ik ben de enige die root access heeft en de enige met het Plesk wachtwoord. Ik lag rond die tijd te slapen dus ik ben het niet geweest.

En ja ik vind het ook erg vreemd dat iemand die zichzelf toegang verschaft tot het systeem alleen de boel gaat updaten. Ondanks dat het mij zeker 12 uur aan werk heeft bezorgd om de boel te herstellen.