RoundCube 0.2-beta vulnerability

sLoDkI - 15-01-2009 17:56
RoundCube 0.2-beta vulnerability
Nie pamiętam czy to już było na forum, ale problem nadal występuje więc piszę.
Radzę uważać na tą wersję RoundCube'a. Aktualnie wiele maszyn jest kompromitowanych przez to że admini niewłaściwie zabezpieczyli swoje serwery.

Więcej info na:
http://trac.roundcube.net/ticket/1485618
http://directadmin.com/forum/showthread.php?t=29066

Najczęściej charakterystyczne procesy to wcube i wssh które są częścią botnetów, uruchamiane z /tmp/.
Skompromitowany serwer jest przeważnie używany do skanowania sieci/ataków ddos/ataków słownikowych ssh.

Polecam patch wydany przez RoundCube'a lub update do wersji -stable.

Pozdrawiam.

Zyrafa - 22-01-2009 11:16
Jeśli to taki problem...a mam też DA to prosiłbym o jakąś pomoc dotyczącą update tego programu.
Coraz więcej ludzi wykorzystuję tą dziurę. Jak zrobić update? bo ja w tym łysy jestem. Wyczytalem na forum DA ze trzeba zrobic update do wersji -stable i to podobno pomoze..

sLoDkI - 22-01-2009 11:31
Dla RoundCube ściągasz wersję -stable, rozpakowujesz i działasz wg instrukcji w pliku UPGRADE. Dodatkowo na forum roundcube jest podane aby wykonać mały zabieg na bazie danych:
http://www.roundcubeforum.net/genera...html#post16344

Kod: -- Updates from version 0.2-beta (InnoDB only)

ALTER TABLE `cache`
DROP `session_id`;

ALTER TABLE `session`
ADD INDEX `changed_index` (`changed`);

ALTER TABLE `cache`
ADD INDEX `created_index` (`created`);

ALTER TABLE `users`
CHANGE `language` `language` varchar(5);
Pozdrawiam.

mario1973 - 22-01-2009 17:05
albo jak nie potrzebujesz Roundcube, to wywalasz i po problemie.

M

raven - 22-01-2009 17:09
Cytat:
albo jak nie potrzebujesz Roundcube, to wywalasz i po problemie.

M Jak nie potrzebujesz roundcube to go nie instalowałeś i nie masz :rolleyes:

mario1973 - 22-01-2009 17:49
Czyż DA nie instaluje go sobie defaultowo ?

M

patrick - 22-01-2009 20:47
Da ma opcje roundcube w instalatorze.
Przy DA aktualizacja jest prosta:
/usr/local/directadmin/custombuild/build update && /usr/local/directadmin/custombuild/build roundcube

Zyrafa - 23-01-2009 11:50
/usr/local/directadmin/custombuild/build update && /usr/local/directadmin/custombuild/build roundcube

to ma pomoc tak? to aktualizuje do tej dobrej juz wersji bez dziur ?

patrick - 25-01-2009 16:15
tak