Das 0-Day Exploit für den Internet Explorer greift um sich. Problematisch hierbei ist, dass das Exploit über viele infizierte Webseiten ausgeliefert wird. Diese Attacken, Drive-By-Download genannt, werden meist via SQL-Injection in die Webseiten eingebettet.

Was aber nicht unbedingt so sein muss. Mich hat es dieses Wochende erwischt - und zwar über ein Flashbanner. Hier wurde zuerst ein Flash-Exploit geladen, gleich danach das 0-Day (EXP/XMLSPAN.A).

Da die Free-AV Version keinen HTTP-Scanner hat, schlug der Scanner leider erst an, als das Vieh im Cache gelegen hat. Leider zu spät.

Es kam die Fehlermeldung, dass der IE wegen eines schweren Fehlers beendet werden muss - nach dem bestätigen ist er dann abgestürtzt - System infiziert

Was ziemlich dumm an der Sache ist - ich benutzte normalerweise NIE den Internet Explorer. Da ich aber für eine Webseite dringend der IE erforderlich war und ich keine Sandbox nutzen konnte, war das Ding ungeschützt offen. Dummerweise hab ich hierrüber eine Suchanfrage abgesetzt, erstes Suchergebniss besucht und bling - PWNED.

Da ich einem Infizierten System nicht mehr traue, blieb nur eine komplette Neuinstallation...

... passt also auf auf euch da draussen.

Wenn beim Update der Packetliste via apt-get update oder aptitude update folgenden Fehlermeldung bekommt, sollte sein Cache-Limit anpassen:

Reading Package Lists... Error!
E: Dynamic MMap ran out of room
E: Error occured while processing orange (NewVersion1)
E: Problem with MergeList /var/lib/apt/lists/ftp.de.debian.org_debian_dists_unstable_main_binary-i386_Packages
E: The package lists or status file could not be parsed or opened.

Lösung

Download Code!

Nach dem Bug in der Version 5.2.7 gibt es ab heute die offizielle, fehlerbereinigte PHP Version. Diese trägt jetzt die Versionsnummer 5.2.8 und ist somit vier Tage später erschienen als das letzte PHP Release. Das wird wohl als der kürzeste Abstand zwischen zwei PHP-Versionen in die (PHP-)Geschichte eingehen...

Guillaume von Dotdeb.org ist schnell, denn er stellt eine fehlerbereinigte PHP 5.2.7 Version für Debian bereit. Diese PHP-Pakete können einfach via Aptitude oder Apt-Get installiert werden.

Danke Guillaume!

Die Freude mit der neuen PHP Version PHP 5.2.7 währt leider nur kurz: In der neuen Version ist ein Bug, weswegen die aktuelle Release zurückgezogen wird[1].

Der Bug ist Kritisch und erzeugt eine Sicherheitslücke bei PHP-Installationen, in denen das Flag für die Funktion magic_quotes_gpc gesetzt ist. PHP.net gibt hierzu folgendes bekannt:

Due to a security bug found in the PHP 5.2.7 release, it has been removed from distribution. The bug affects configurations where magic_quotes_gpc is enabled, because it remains off even when set to on. In the meantime, use PHP 5.2.6 until PHP 5.2.8 is later released.

Als Workaround, für diejenigen, welche PHP 5.2.7 installiert haben, sollten in der php.ini folgendes Flag setzen:

Download Code!

[1] Golem