myserver24
New Member
Hallo und Moin moin!
wie man unschwer erkennen kann, ist dies mein erster Post.
Und wie es sich für einen Frischling gehört will ich auch ganz brav sein
Im Ernst: Ich habe mit Server-Administration noch nicht die tolle Erfahrung, die man als admin haben muss. Ich habe mich jetzt an einen Strato-Server rangewagt, um hier unseren gut besuchten Shop (war vorher nur Webspace) zu managen. Nicht so einfach aber ich habe mich erst einmal durchgekämpft und auch alle Backups reingespielt.
Heute schickt mir Strato eine Mail "Ihr beauftragter SecurityScan":
Es wurden Probleme der folgenden Stufe gefunden:
Info: 35
Low: 1
Medium: 4
High: 0
Ich poste hier die 4 schlimmen Fehler mit medium risk in der Hoffnung, es kann mir meiner weiter helfen. Ich weiss überhaupt nicht, wie ich das updaten soll und ich finde auch die Konfigurationsdatei nicht (my.cnf):
1.
2.
3.
4.
Vielleicht erbarmt sich ja Eine(r). DANKE!
Jan
wie man unschwer erkennen kann, ist dies mein erster Post.
Und wie es sich für einen Frischling gehört will ich auch ganz brav sein
Im Ernst: Ich habe mit Server-Administration noch nicht die tolle Erfahrung, die man als admin haben muss. Ich habe mich jetzt an einen Strato-Server rangewagt, um hier unseren gut besuchten Shop (war vorher nur Webspace) zu managen. Nicht so einfach aber ich habe mich erst einmal durchgekämpft und auch alle Backups reingespielt.
Heute schickt mir Strato eine Mail "Ihr beauftragter SecurityScan":
Es wurden Probleme der folgenden Stufe gefunden:
Info: 35
Low: 1
Medium: 4
High: 0
Ich poste hier die 4 schlimmen Fehler mit medium risk in der Hoffnung, es kann mir meiner weiter helfen. Ich weiss überhaupt nicht, wie ich das updaten soll und ich finde auch die Konfigurationsdatei nicht (my.cnf):
1.
Code:
openssh-server Forced Command Handling Information Disclosure Vulnerability [ General ] Risiko: medium
Port: 22
Overview:
The auth_parse_options function in auth-options.c in sshd in OpenSSH before 5.7
provides debug messages containing authorized_keys command options, which allows
remote authenticated users to obtain potentially sensitive information by
reading these messages, as demonstrated by the shared user account required by
Gitolite. NOTE: this can cross privilege boundaries because a user account may
intentionally have no shell or filesystem access, and therefore may have no
supported way to read an authorized_keys file in its own home directory.
OpenSSH before 5.7 is affected;
Solution:
Updates are available. Please see the references for more information.
References:
http://www.securityfocus.com/bid/51702
http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=657445
http://packages.debian.org/squeeze/openssh-server
https://downloads.avaya.com/css/P8/documents/100161262
CVE : CVE-2012-0814
BID : 517022.
Code:
Apache Web Server ETag Header Information Disclosure Weakness [ Web application abuses ] Risiko: medium
Port: 443
Overview:
A weakness has been discovered in Apache web servers that are
configured to use the FileETag directive. Due to the way in which
Apache generates ETag response headers, it may be possible for an
attacker to obtain sensitive information regarding server files.
Specifically, ETag header fields returned to a client contain the
file's inode number.
Exploitation of this issue may provide an attacker with information
that may be used to launch further attacks against a target network.
OpenBSD has released a patch that addresses this issue. Inode numbers
returned from the server are now encoded using a private hash to avoid
the release of sensitive information.
Solution:
OpenBSD has released a patch to address this issue.
Novell has released TID10090670 to advise users to apply the available
workaround of disabling the directive in the configuration file for
Apache releases on NetWare. Please see the attached Technical
Information Document for further details.3.
Code:
Apache Web Server ETag Header Information Disclosure Weakness [ Web application abuses ] Risiko: medium
Port: 80
Overview:
A weakness has been discovered in Apache web servers that are
configured to use the FileETag directive. Due to the way in which
Apache generates ETag response headers, it may be possible for an
attacker to obtain sensitive information regarding server files.
Specifically, ETag header fields returned to a client contain the
file's inode number.
Exploitation of this issue may provide an attacker with information
that may be used to launch further attacks against a target network.
OpenBSD has released a patch that addresses this issue. Inode numbers
returned from the server are now encoded using a private hash to avoid
the release of sensitive information.
Solution:
OpenBSD has released a patch to address this issue.
Novell has released TID10090670 to advise users to apply the available
workaround of disabling the directive in the configuration file for
Apache releases on NetWare. Please see the attached Technical
Information Document for further details.4.
Code:
TCP Sequence Number Approximation Reset Denial of Service Vulnerability [ Denial of Service ] Risiko: medium
Overview: The host is running TCP services and is prone to denial of service
vulnerability.
Vulnerability Insight:
The flaw is triggered when spoofed TCP Reset packets are received by the
targeted TCP stack and will result in loss of availability for the attacked
TCP services.
Impact:
Successful exploitation will allow remote attackers to guess sequence numbers
and cause a denial of service to persistent TCP connections by repeatedly
injecting a TCP RST packet.
Impact Level: System
Affected Software/OS:
TCP
Fix: Please see the referenced advisories for more information on obtaining
and applying fixes.Vielleicht erbarmt sich ja Eine(r). DANKE!
Jan
