FS Data

FS Data - webbhotell, domännamn, e-post, servrar

Säkerhetshål i WordPress

Flera miljoner hemsidor kör i dag WordPress och det är en av de mest populära webbapplikationerna som finns på marknaden. Eftersom WordPress är väldigt populärt, så är det även vanligt att webbapplikationen blir drabbad av olika säkerhetshot. Därför är det viktigt att vara extra uppmärksam.

 

Ett stort säkerhetshål upptäcktes nyligen i WordPress som kan ställa till med stora säkerhetsproblem för användare som kör äldre versioner av WordPress!

Säkerhetshotet som upptäcktes tillåter en kapare att lägga till skadlig information i MySQL-databasen genom att utnyttja ett säkerhetshål i en komponent som WordPress använder sig av. Detta kan leda till förlust av information eller att hemsidan blir attackerad med exempelvis skadlig kod som kan ställa till med stora problem, både för besökare och användare av hemsidan.

Så hur löser man problemet? 

Det du behöver göra för att komma till rätta med säkerhetshålet som WordPress-användare är att uppdatera din hemsida till senaste WordPress 4.8.3.

Det är även viktigt att du ser till att alla teman och tillägg är uppdaterade, samt att det kan även vara bra att installera ett säkerhetstillägg som exempelvis Wordfence:

Läs mer om samt hur du installerar Wordfence Security här!

Allvarligt säkerhetshål i Drupal

DrupalDen 15/10 2014 uppdagades ett allvarligt säkerhetshål i den öppna källkodslösningen Drupal. Säkerhetshålet möjliggjorde injektion av skadlig kod via SQL-kommandon (SQL injection). En säkerhetsuppdatering publicerades i samband med detta (Drupal 7.32).

En kort tid efter att säkerhetshålet blev allmänt känt så startade automatiserade attacker avsedda att utnyttja denna sårbarhet. Attackerna har pågått i tystnad, utan att lämna specifika spår på hackade sidor. Det har skett i sådan stor omfattning att Drupal igår gick ut med separat information om detta:

Drupal Core – Highly Critical – Public Service announcement – PSA-2014-003

Rent konkret innebär detta att alla som kör Drupal och som inte uppgraderade till Drupal 7.32 några timmar efter att den säkerhetsuppdateringen släpptes kan vara hackade utan att de har märkt något. Det enda sättet att vara säker på att man inte är hackad är att återställa en backup från den 15/10 (eller tidigare).

Vi har ett antal kunder hos oss som kör Drupal. Dessa meddelas just nu, via ett särskilt e-postutskick, om detta säkerhetshål. Vi vill göra allt i vår makt för att våra kunders hemsidor inte ska vara/bli hackade.

Säkerställ/återställ Drupal som kund hos oss

Om du inte var väldigt snabb med att uppdatera till Drupal 7.32 eller känner dig osäker på om din hemsida är hackad eller inte, följ då dessa instruktioner för att säkerställa din Drupal-sida hos oss.

1. Återställ din hemsida

Alla kunder med ett webbhotellspaket hos oss kan enkelt återställa en tidigare backup av sin hemsida via FTP. För att göra det, logga in på ditt FTP-konto hos oss och klicka dig in under ”BACKUP” > ”homedir”. Välj där den backup som ligger närmast i tiden till den 15/10 (eller tidigare).

Placera filerna från backupen under mappen ”www” (eller motsvarande mapp, om du har installerat Drupal någon annanstans) i hemkatalogen för ditt FTP-konto. Det kan vara en bra idé att ladda ner hela den tidigare backupen till din dator.

2. Återställ din databas

Vår kundtjänst kan (kostnadsfritt) återställa en tidigare backup av din databas. Skapa ett ärende i vår kundtjänst där du anger vilken databas som ska återställas samt från vilket datum du återställer din hemsida (via FTP). Vi återställer då en backup av databasen från en tid så nära återställningen av din hemsida som möjligt.

Notera att det är rätt så många som kör Drupal hos oss och att det kan ta lite tid att återställa din databas. Det kan även vara viss tidskillnad mellan backuperna av hemsidor och databaser. Återställningarna av dessa databasbackuper har dock hög prioritet hos oss och vi gör vårt yttersta för att ge svar så snabbt som möjligt.

3. Uppgradera din Drupal-sida

Så snart din sida är återställd från en tidigare backup, uppgradera den då direkt till den senaste versionen av Drupal (7.32 i skrivande stund). Instruktioner för detta finns här: Upgrading from previous versions, Drupal.org

Avslutningsvis, om du använder en äldre version av Drupal (6.x) och känner att det är ett för stort projekt att uppgradera till Drupal 7 så kan vi tipsa om vår tidigare guide till hur man flyttar från Drupal till WordPress.

Med WordPress ingår bl a automatiska säkerhetsuppdateringar (av mindre versioner) och WordPress är enklare att uppgradera än Drupal. Med det sagt: Om du kör Drupal och trivs med det, fortsätt så! Vi gillar och använder båda dessa system. 🙂

Om du har några frågor om detta, lämna då gärna en kommentar här nedan eller kontakta vår kundtjänst.

Säkerhetshål i Bash (Shellshock)

Igår uppmärksammades ett allvarligt säkerhetshål i programvaran Bash, som finns med i princip alla Unix- och Linux-baserade operativsystem (inklusive Mac OS X). Säkerhetshålet, som har fått namnet Shellshock, innebär att man pga felaktig variabelhantering kan exekvera kommandon som man egentligen saknar rättigheter till.

Bash är förvisso en kommandotolk för Unix- och Linuxsystem, men Bash kan även användas t ex för att köra kommandon via Apache (världens mest använda webbserver). Säkerhetshålet kan därmed utnyttjas via automatiserade program på webben, som sprider sig själva, vilket gör det extremt farligt.

När våra tekniker blev varse om detta säkerhetshål igår inleddes omedelbart arbetet med att uppdatera och säkerställa alla Linuxservrar som vi hanterar. Arbetet fortgick oavbrutet och färdigställdes sent igår kväll/natt.

Alla Linuxservrar som vi hanterar, för t ex våra webbhotellskunder och serverkunder med drifttjänst, är nu säkerställda och skyddade från Shellshock.

FS Data Shellshock patch

Många av våra kunder med egna servrar hos oss, som de själva hanterar, har även säkrat sina servrar igår. Om någon inte har gjort det än så vill vi uppmana er till att göra det omedelbart. Alla större Linuxdistributioner har fått uppdateringar som åtgärdar detta säkerhetshål.

Är ni osäkra på om er server är säker? Testa den med följande kommando via terminal/SSH:

env x='() { :;}; echo vulnerable' bash -c "echo this is a test"

Om servern är sårbar kommer svaret att vara:

vulnerable
this is a test

Om servern är säker kommer svaret att vara:

bash: warning: x: ignoring function definition attempt
bash: error importing function definition for `x'
this is a test

Lämna gärna en kommentar nedan om ni har några frågor kring detta.

Allvarligt säkerhetshål i Ruby on Rails

Ett allvarligt säkerhetshål har nyligen upptäckts i ramverket Ruby on Rails (RoR), som vi erbjuder stöd för i våra webbhotellspaket. Säkerhetshålet påverkar alla versioner av RoR förutom versionerna 3.2.11, 3.1.10, 3.0.19 samt 2.3.15. Det ger illasinnade möjlighet att injicera och köra skadlig (motsvarande SQL-injektion).

För att skydda våra kunder så installerade vi igår kväll/natt dessa nya versioner av Ruby on Rails, som inte påverkas av detta säkerhetshål. Vi vill uppmana alla kunder, som kör en osäker version av RoR, att omgående uppgradera sina applikationer. Idag kommer även våra drifttekniker att kontakta varje kund hos oss som kör RoR, för att informera om detta säkerhetshål.

De nya och säkra versionerna av Ruby on Rails är installerade på samtliga Linuxbaserade webbservrar hos oss (där vi erbjuder stöd för RoR). För att ytterligare säkra upp denna webbmiljö så kommer de tidigare osäkra versionerna av RoR att tas bort torsdag 17/1. Det är därför viktigt att omedelbart byta version av RoR.

Om ni har några frågor om detta, kontakta gärna vår kundtjänst. Kunder till oss som inte använder Ruby on Rails är på inget sätt påverkade eller hotade av detta säkerhetshål.