Veni, Vidi, VISA

http://www.welt.de/[..]/Gefaehrliche_Sicherheitsluecken_bei_Firefox.html
Peinlicher Auftakt für den neuen Firefox: Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt vor gravierenden Fehlern beim Internet-Browser. Angreifer könnten leicht Daten ausspähen und Viren oder Trojaner einschleusen. Eine Lösung für das Problem gibt es zum Glück bereits.
[more]

Apropos Sicherheitsluecken.. um Wordpress ist es momentan ziemlich still.. obs daran liegt das sich niemand mehr den Source ansieht weil niemand soviel essen kann? :>

Nicht nur der (erfolgreiche?) Weltrekordversuch in Bezug auf die Downloads, sondern auch ein neuer Rekord was Sicherheitsluecken anbelangt, denn so wie es aussieht bleibt Firefox seiner Linie treu: Speicherfressend und auf dem besten Weg mehr Bugs zu haben als OjE und/oder Sendmail.
Aber hey.. ja nicht dagegen meckern, weil Firefox ist naemlich voll gut und mit 'n Haufen Addons und so!!!111!

// Update:
http://dvlabs.tippingpoint.com/blog/2008/06/18/vulnerability-in-mozilla-firefox-30

Was genau Irssi da von mir will weiss ich zwar weder ich noch Google, aber es wird schon seine Richtigkeit haben.. maybe.. *sigh*

Hier habe ich geschrieben das man mit Mutt verschiedene Identitaeten nutzen kann, indem man die reply-hooks einsetzt. Seitdem hab ich mehrere Anfragen auf ein funktionierendes Setup bekommen (Du warst nicht der einzige CryptoCrack :p) und bevor ich alle einzeln beantworte poste ich es gleich hier:

# ~/.muttrc



set reverse_name

# Account foobar

reply-hook "~C fnord@foobar.invalid"        'set realname="Christian Schneider"'

reply-hook "~C fnord@foobar.invalid"        'set from="fnord@foobar.invalid"'

reply-hook "~C fnord@foobar.invalid"        'set sendmail="/usr/bin/msmtp -a gmail'



# Account jehova

reply-hook "~C jehova@gmx.invalid"  'set realname="Christian Schneider"'

reply-hook "~C jehova@gmx.invalid"  'set from="jehova@gmx.invalid"'

reply-hook "~C jehova@gmx.invalid"  'set sendmail="/usr/bin/msmtp -a default'

Zum Versenden nutze ich msmtp und da sieht die Konfiguration wie folgt aus:

# ~/.msmtprc



# Account foobar

host mail.foobar.invalid

user fnord@foobar.invalid

from fnord@foobar.invalid

password 2342



# Account jehova

account default

host smtp.gmx.invalid

from jehova@gmx.invalid

user jehova@gmx.invalid

password 2342

Das ~C ist ein sog. Pattern und sorgt dafuer das nur Nachrichten abgearbeitet werden, bei denen das nachfolgende Pattern im To: oder Cc: steht. Wenn man jetzt eine Mail bekommt, die an jehova@gmx.invalid adressiert ist, dann zieht der reply-hook und aendert die eigene Adresse. Somit werden Mails die an jehova@gmx.invalid geschickt wurden, auch von jehova@gmx.invalid beantwortet.

Ich habe das mit obiger Konfiguration (mit angepassten Adressen/Hosts/Passwoertern) bei einem neu angelegtem User mit Mutt 1.5.17 aus dem CVS von 20080114 getestet. Wem langweilig ist, der kann man pruefen ob das bei ihm auch funktioniert, da es bei CryptoCrack anscheinend nicht korrekt funktioniert.

wie man seine Zeit sinnlos verschwendet. Geht eigentlich ganz einfach.. also das Zeit verschwenden. Man setzt sich hin, liest mehrere Stunden lang http://www.mutt.org/doc/manual/ und Google durch und stellt dann fest das man reply-hook verwenden kann. Darauf kommt man auch schneller; naemlich indem man die Dokumentationen durchliest, die fuer die eingesetzte Version geschrieben wurden. Naemlich http://www.mutt.org/doc/devel/manual.html *narf*

So war die Frage nachdem einige Konfigurationsdateien unter /etc kaputtoptimiert bzw. geloescht wurden. Fuer die Frage gibt es eine Antwort; naemlich root. Allerdings stellt sich dann die Frage: Welcher?

grep -c 'x:0:0' /etc/passwd

19

Nein! Ich war das nicht!

---

http://blog.s9y.org/archives/193-Serendipity-1.3.1-released.html

erendipity 1.3.1 has been released. This is a bugfix and security related release, basically adressing a potential XSS issue within the Top Referrers plugin as well as hypothetical XSS issues with the installer.

This release also adresses some basic PostgreSQL8 related problems, because implicit type casts have been removed from this version, causing breakage with several Serendipity core features. The fix for this is only partial and will still happen in (less common) functions of Serendipity. There is no ultimate solution to this because implicit type casts are required for certain entryproperty operations. Maybe the PostgreSQL8 team will think about if implicit type casts are not also quite helpful.

The only new feature addition is the exposition of a new smarty {serendipity_getImageSize} function.

This upgrade is recommended for users that use the Top Referrers plugin and new installations of Serendipity. Many thanks to Hanno Böck, once again, for reporting (and fixing) the two XSS issues (CVE-2008-1385 and CVE-2008-1386)!

You can find the new release on the s9y.org download page. Upgrade by simply uploading the deflated archive files to your webspace.

Ich muss jetzt doch irgendwann mal updaten *sigh*

http://blog.s9y.org/archives/192-Serendipity-1.3-released-addresses-security.html
Serendipity 1.3 has finally been released. The new release is mainly a feature consolidation release, but also contains XSS security fixes:

• The karma rating plugin has been upgraded to support nice, CSS-based rating graphics (see this post) and an overall rehaul on the its coding.
• Make the Spartacus plugin be able to use FTP upload, a workaround for SafeMode PHP restrictions. Also add a remote backend for plugin update checks.
• An importer for phpNuke and lifetype has been added.
• Support for pingbacks has been improved a lot. Trackbacks can now be blocked based on Sender IP checks.
• Add better CSS styling for some internal plugins and the embedding of images. Also made the Remote-RSS plugin to be capable of Smarty-Templating.
• Increased Smarty templating features for the {serendipity_fetchPrintEntries} function, to be able to check for entry properties.
• Add support for SQRelay.
• Minor CSS and graphic updates to the Bulletproof template.

The full list of 41 changes to this release are documented within the NEWS file.

Regarding Security, the bundled Smarty library has been updated to version 2.6.19 and adresses an issue in environments where the PHP security mode is required. Also, the new Serendipity release contains tighter backend XSS checks so that environments with untrusted authors can be more secure - many thanks to Hanno Böck for addressing this. Most importantly, an issue with XSS attacks within received trackbacks has been discovered by Peter Hüwe and was fixed.

The update is easy as usual, and recommended for Serendipity users - especially if you do not regularly moderate or check your incoming trackbacks.

Upgrade pointers can be found in the FAQ and is as easy as just to upload the new files.

Have fun!

Wenn das Blog hier also mal wieder down ist (Database error), dann wisst ihr das ich update.. maybe..

Normalerweise wuerde ich dem sogar zustimmen, aber wenn man mit apt-get(8) ein Paket auf hold setzt darf man sich nicht wundern wenn es von einem aptitude dist-upgrade ignoriert wird; steht ja auch so im Anwenderhandbuch. Komich das ihm das "nach fast 20 Jahren Linuxerfahrung" noch niemand gesagt hat.

Naja.. was will man auch von einem Linux-Admin erwarten der taeglich im Anzug seine Arbeit verrichtet und nichtmal Turnschuhe hat, erwarten?!!!111!

Unter http://strcat.de/eigenes/vsftp.html habe ich vor Jahren mal ein Tutorial ueber vsftpd verfasst und das bis ~2006 auch relativ aktuell gehalten. Mittlerweile ist das aber hoffnungslos veraltet (Stand: vsftpd 2.0.3 / Aktuell: 2.0.6). Wenn ich mal etwas mehr Zeit habe, werde ich die Anleitung auf den neusten Stand bringen und ggf. anders strukturieren (insbesondere den Abschnitt Parameter der Konfigurationsdatei.
Wenn jemand (realisierbare!) Vorschlaege, Wuensche, Antraege, .. hat, dann immer her damit. Das gilt nicht nur fuer die Strukturierung, sondern auch fuer den Inhalt.