bk99.de entertain the web since 1997

bk99.de
g · SicherheitKuratiert

Piwik 1.1 schließt kritische Sicherheitslücken

Zusammenfassung

Die freie Webanalyse-Software Piwik erschien im Januar 2011 in Version 1.1 mit geschlossenen Sicherheitslücken. Die Entwickler hatten Stefan Essers Firma SektionEins vorbeugend mit einer fünftägigen Prüfung des Quellcodes beauftragt. Dessen Hinweise zur Absicherung flossen in die neue Version ein.

Ideen

  • Ein Projekt ließ seinen Code prüfen, bevor Angreifer Lücken fanden.
  • Ein externes Audit liefert neben Fehlern auch Hinweise zur Architektur.
  • Fünf Tage Prüfung reichten, um mehrere Lücken aufzudecken.

Einsichten

  • Proaktive Audits sind für selbst gehostete Webanwendungen besonders wertvoll.
  • Datenschutzfreundliche Analyse muss auch technisch sicher sein.

Fakten

  • SektionEins wurde vom Sicherheitsexperten Stefan Esser gegründet.
  • Die Prüfung dauerte fünf Tage.
  • Piwik entstand aus dem Projekt phpMyVisites und steht unter der GPL.

Referenzen

Kritik

  • Die Meldung nennt weder Art noch Schwere der gefundenen Lücken.

Bemerkungen

  • Piwik heißt seit 2018 Matomo.

Empfehlungen

  • Halte selbst gehostete Webanalyse wie Matomo stets aktuell.
  • Plane für eigene Webanwendungen regelmäßige externe Sicherheitsprüfungen ein.

Originalartikel lesen →

Im Webarchiv suchen

g · 2008

Kritische Sicherheitslücken in PostgreSQL geschlossen

Die PostgreSQL-Entwickler schlossen im Januar 2008 fünf kritische Lücken in allen gepflegten Versionen von 7.3 bis 8.2. Über Expression Indexes und DBLink-Funktionen konnten Angreifer Administratorrechte erlangen, über reguläre Ausdrücke den Server per Denial of Service lahmlegen. Die Lücken wurden bei eigenen Analysen gefunden, Exploits waren nicht bekannt.

g · 2025

17.000 Linux-Server anfällig für kritische Rsync-Lücke

Im Januar 2025 wurden sechs Lücken in rsync bekannt, darunter die kritische CVE-2024-12084, die in Kombination eine Übernahme von Servern mit nur anonymem Lesezugriff erlaubt. Laut Shadowserver waren am 16. Januar weltweit 17.475 frei erreichbare rsync-Server verwundbar, Deutschland lag mit 956 auf Platz fünf. Betroffen waren alle Versionen bis 3.3.0, korrigiert in 3.4.0 und 3.4.1.

g · 2025

Teils kritische Router-Lücken gefährden Industrienetzwerke

Der Industrie-Netzwerkausrüster Moxa warnte im Januar 2025 vor zwei Lücken in Routern und Security-Appliances, die unter anderem in Energieanlagen eingesetzt werden. CVE-2024-9138 beruht auf fest einprogrammierten Zugangsdaten und erlaubt angemeldeten Angreifern Root-Rechte, die kritische CVE-2024-9140 ermöglicht das Einschleusen von Systembefehlen. Für mehrere Modellreihen gab es Firmware-Updates, für andere nur Workarounds oder den Verweis auf den Support.