Apache Log4j 2, eine von der Apache Foundation entwickelte Java-basierte Protokollierungsbibliothek, wird von zahlreichen Unternehmensanwendungen und Cloud-Diensten verwendet, um erweiterte Protokollierungsfunktionen bereitzustellen. Je nachdem, ob Sie derzeit einen verwalteten oder einen nicht verwalteten Dienst nutzen, sind Sie möglicherweise für diese neu entdeckte Zero-Day-Sicherheitslücke anfällig. Kunden, die die Vorteile eines Managed Service genießen, wie z.B. unsere Managed VPS, Managed Dedicated Hosting oder Shared Hosting Nutzer, brauchen sich keine Sorgen zu machen, da unsere Dienste sofort gepatcht wurden, als sie verfügbar waren. Für alle, die ihre Dienste selbst verwalten, ist es jetzt an der Zeit, diese zu aktualisieren, wenn sie es nicht schon getan haben.

Am 24. November 2021 meldete das Sicherheitsteam von Alibaba Cloud eine Schwachstelle in Log4j 2, die die Ausführung von Remotecode bei Apache ermöglicht. Der Exploit nutzt einige Log4j-Funktionen aus, die eine rekursive Analyse durchführen. Mit speziell konstruierten bösartigen Anfragen können Angreifer Remotecodeausführung auslösen.

Die Schwachstelle betrifft die Standardkonfigurationen mehrerer Apache-Frameworks, darunter:

• Apachen-Druide
• Apache Flink
• Apache Solr
• Apache Struts2

In Apache Log4j2-Versionen bis einschließlich 2.14.1 (mit Ausnahme der Sicherheitsversionen 2.3.1, 2.12.2 und 2.12.3) bieten die in Konfigurationen, Protokollnachrichten und Parametern verwendeten JNDI-Funktionen keinen Schutz gegen von Angreifern kontrollierte LDAP- und andere JNDI-Endpunkte. Ein Angreifer, der die Kontrolle über die Protokollnachrichten oder die Parameter der Protokollnachrichten hat, kann beliebigen Code ausführen, der von LDAP-Servern geladen wird, wenn die Nachschlage-Ersetzung für Nachrichten aktiviert ist. ^Quelle

Am 10. Dezember 2021 wurde diese Schwachstelle offiziell in der nationalen Schwachstellendatenbank des NIST als CVE-2021-44228 (auch bekannt als “Log4Shell”-Schwachstelle) bezeichnet. Dies wurde dann auf mehrere andere gefundene und später gepatchte Sicherheitslücken ausgeweitet, die als CVE-2021-45046 und CVE-2021-45105 aufgeführt sind.

Es wurde festgestellt, dass der Fix zur Behebung von CVE-2021-44228 in Apache Log4j 2.15.0 in bestimmten Nicht-Standardkonfigurationen unvollständig war. Wenn die Logging-Konfiguration ein nicht standardmäßiges Pattern-Layout mit einem Context Lookup verwendet (zum Beispiel $${ctx:loginId}) können Angreifer mit Kontrolle über Thread Context Map (MDC)-Eingabedaten mithilfe eines JNDI-Lookup-Musters bösartige Eingabedaten erstellen, was in einigen Umgebungen zu einem Informationsleck und zur Ausführung von Remotecode und in allen Umgebungen zur Ausführung von lokalem Code führt. Die Ausführung von Remotecode wurde unter macOS, aber in keiner anderen getesteten Umgebung nachgewiesen.

CVE-2021-45046

Die Apache Log4j2 Versionen 2.0-alpha1 bis 2.16.0, mit Ausnahme von 2.12.3, schützten nicht vor unkontrollierter Rekursion durch selbstreferenzielle Lookups. Wenn die Protokollierungskonfiguration ein nicht standardmäßiges Musterlayout mit einer Kontextsuche verwendet (z. B. $${ctx:loginId}), können Angreifer, die die Kontrolle über die Eingabedaten der Thread Context Map (MDC) haben, bösartige Eingabedaten erstellen, die eine rekursive Suche enthalten, was zu einem StackOverflowError führt, der den Prozess beendet. Dies wird auch als DOS-Angriff (Denial of Service) bezeichnet.

CVE-2021-45105

Wie sich die Schwachstelle auf Sie auswirkt

Je nach Art des Hosting-Kontos, das Sie bei The Core Hosting haben, müssen Sie möglicherweise Maßnahmen ergreifen oder auch nicht:

Shared-, Reseller- und verwaltete WordPress-Konten

Wenn Sie ein Shared-, Reseller- oder Managed-WordPress-Hosting-Konto haben, brauchen Sie nichts zu tun. Diese Server erhalten automatisch regelmäßige Updates, die auch Patches für die Log4j-2-Schwachstelle enthalten.

cPanel veröffentlichte am Tag der Bekanntgabe der Sicherheitslücke ein Update zur Behebung von CVE-2021-44228. Weitere Informationen finden Sie im Blogeintrag von cPanel.

Verwaltet VPS und Dedizierte Server

Wenn Sie einen Managed VPS oder Managed Dedicated Server haben, müssen Sie höchstwahrscheinlich nichts unternehmen – Ihr Server wird automatisch mit Patches für die Log4j 2-Sicherheitslücke aktualisiert. Die einzige Ausnahme ist, wenn Sie eine Software installiert haben, die log4j außerhalb von cPanel/WHM verwendet, sollten Sie sicherstellen, dass diese Installationen aktualisiert werden. Die gesamte Software, die von The Core Hosting installiert und verwaltet wird, wurde bereits aktualisiert.

cPanel veröffentlichte am Tag der Bekanntgabe der Sicherheitslücke ein Update zur Behebung von CVE-2021-44228 (und die nachfolgenden Patches). Weitere Informationen finden Sie im Blogeintrag von cPanel.

Unverwaltete VPS und Dedizierte Server

Wenn Sie einen nicht verwalteten VPS- oder nicht verwalteten Dedicated-Server haben, stellen Sie sicher, dass Sie ihn mit den neuesten Sicherheitspatches auf dem neuesten Stand halten. Wenn Sie dabei Hilfe benötigen, steht Ihnen unser fantastisches Team von Support-Mitarbeitern zur Verfügung! Wir wissen, dass diese Art von Missbrauch gefährlich und manchmal schwer zu beheben sein kann. Lassen Sie uns also helfen.

Wenn Sie Log4j 2 verwenden, ist es sehr wichtig, dass Sie auf die neueste Version aktualisiert haben. Der erste Patch enthielt eine weitere Sicherheitslücke, die einen zweiten Patch erforderlich machte.

Benutzer von Java 8 (oder höher) sollten auf Version 2.17.0 oder höher aktualisieren.

Benutzer von Java 7 sollten auf Version 2.12.3 oder höher aktualisieren.

Benutzer von Java 6 sollten auf Version 2.3.1 oder höher aktualisieren.

Weitere Informationen finden Sie unter Apache.

Informationen über die Installation von Updates auf nicht verwalteten Servern finden Sie in diesem Knowledge Base-Artikel.

Die Quintessenz

Heartbleed, Shellshock; Die Log4j-Schwachstelle ist nur die jüngste in einer langen Reihe von Sicherheitslücken. Es ist nicht das erste Mal, und es wird sicher nicht das letzte Mal sein.

Wenn Sie einen verwalteten Hosting-Account haben, können Sie sicher sein, dass wir uns um die Serverkonfiguration und die Updates für Sie kümmern. Wenn Sie jedoch einen nicht verwalteten Server haben, empfehlen wir dringend, dass Ihr Team so schnell wie möglich ein Upgrade durchführt oder sich an unseren Support wendet, um Hilfe bezüglich dieses Zero-Day-Exploits zu erhalten.

Was sind die PHP 8 Verbesserungen und Funktionen?

Schnellere Codeausführung

Die neueste PHP-Version bringt viele neue Dinge, aber die, von der wir besessen sind, ist JIT (Just in Time Compiler). Es ist das erste Mal, dass die PHP-Version einen Compiler – JIT – hat, der eine Version Ihres bereits interpretierten Codes zwischenspeichert und einen Maschinencode als Ausgabe generiert (Maschinencode ist nur mit 0 und 1 eingeschaltet). Der “just in time”-Compiler verspricht Geschwindigkeitsverbesserungen für komplexe Aufgaben und Algorithmen und eröffnet der PHP-Sprache neue Möglichkeiten, ihre Reichweite und Anwendungen zu erweitern.

Einige von Ihnen fragen sich vielleicht, wie JIT mit dem Opcache zusammenhängt, der vielen Websites erhebliche Leistungssteigerungen gebracht hat? Die Hauptaufgabe des Opcache besteht darin, die Prozesse der Tokenisierung, des Parsings und des Kompilierens von Opcodes zu unterbinden, die dann von der Zend-Engine verarbeitet werden. Die Rolle von JIT besteht darin, die Ausführung der Opcodes durch die Zend-Engine zu sparen, so dass sie sich zusammenschließt und eingreift, um Ressourcen zu schonen, wo der Opcache nicht helfen kann.

Es lohnt sich, ein paar Nachteile zu erwähnen, die wir bisher bemerkt haben:

• Das Ausführen von PHP 8 mit JIT kann es für Sie schwieriger machen, Codefehler zu beheben, da es schwieriger sein kann, herauszufinden, welcher Teil Ihres Codes in dieser interpretierten Version tatsächlich fehlerhaft ist.
• Wenn Sie eine WordPress-Site betreiben, können Sie dank JIT möglicherweise keine signifikanten Leistungsverbesserungen feststellen. Die WP-Entwickler arbeiten immer noch daran, WP mit PHP 8 kompatibel zu machen und fordern jetzt Tester, was bedeutet, dass Sie PHP8 nicht sofort auf Ihrer WP-Site testen können. Aufgrund der Art und Weise, wie WP mit MySQL interagiert, kommt ein Großteil der Wartezeit nicht von der PHP-Kompilierung, sondern von der MySQL-Antwortzeit, die mit Hilfe des JIT-Compilers nicht gelöst werden kann.

Code mit höherer Qualität

Einer der Hauptunterschiede, die Sie feststellen werden, ist, dass viele der Warnungen und Hinweise, die nicht auffangbar waren, jetzt Ausnahmen oder Fehler sind, die abgefangen und protokolliert werden können. Es ist möglich, dass aufgrund dieser Änderung nun viele Probleme auftauchen, die bei den vorherigen PHP-Versionen verborgen geblieben sind. Dies ist eine große Verbesserung, da Entwickler potenzielle Probleme leichter erkennen können. Beachten Sie jedoch, dass es eine gute Idee sein kann, display_errors=Off zu setzen, wenn Sie sich entscheiden, PHP 8 auf einer Live-Site zu verwenden, um Ihren Website-Besuchern solche Fehler nicht anzuzeigen.

Saubererer, kürzerer Code

Einige der neuen Elemente, wie der nullsafe-Operator, verbessern die Lesbarkeit des Codes erheblich und machen ihn kürzer und übersichtlicher. Anstatt mehrere “ifs” zu verschachteln, können Sie den “null” -Operator verwenden, um alle diese in nur 1 Codezeile zu schreiben.

Der “Typ”-Trend

Seit mehreren Versionen versucht PHP, die Argumente zu definieren, die jede Methode anpassen und mehr zu einer typisierten Sprache machen könnte. In dieser neuesten Version gibt es eine Funktion namens “Union-Typen”, mit der Sie 2 Werttypen für jede Funktion definieren können, was eine natürliche Fortsetzung dieses Trends darstellt. Wie das folgende Beispiel zeigt, kann die Funktion eine ganze Zahl oder einen Gleitkommawert zurückgeben:

public function getNumber(): int|float {
$this-Nummer> zurückgeben;
}

Die Liste der neuen Funktionen geht weiter und wir empfehlen diesen Artikel als guten Bezugspunkt für PHP-Entwickler:

https://stitcher.io/blog/new-in-php-8
https://stitcher.io/blog/php-jit
https://wiki.php.net/rfc/nullsafe_operator

Wie können Sie PHP 8 auf unserer Plattform nutzen?

Alle unsere Kunden können die PHP-Version ihrer Websites über ihr Control Panel ändern – Für verwaltete WordPress-Clients gehen Sie zu Ihrem Control Panel, wählen Sie PHP-Einstellungen und ändern Sie dann die Version – Für Shared Hosting, cPanel Control Panel –> MultiPHP Manager, um Ihre PHP-Version zu ändern. Da PHP8 immer noch ein Release Candidate ist, empfehlen wir Ihnen dringend, es nicht für Ihre Live-Sites zu aktivieren, sondern Tests damit in unserer Staging-Umgebung durchzuführen (Staging-Umgebungen können nach jedem Plan erstellt werden, wenn Sie Probleme dabei haben, wenden Sie sich bitte an unser Support-Team, um Informationen dazu zu erhalten.). Oder erstellen Sie Kopien Ihrer Websites in Ihren Konten, wenn Sie nicht über die Staging-Funktion verfügen.

Derzeit nicht verfügbar in PHP 8

Die folgenden Erweiterungen und Module sind derzeit nicht für PHP 8 verfügbar:

• PHP-PSR
• Schnupftabak
• Phalcon 4
• ionCube 10
• Memcache
• SourceGuardian

Inkompatibel mit PHP 8

Die folgende Software funktioniert derzeit nicht mit PHP 8. Diese Liste ist nicht vollständig.

• DSO — cPanel & WHM unterstützt den DSO-Handler mit PHP 8 nicht .
• Die XMLRPC-Erweiterungen – Diese Erweiterung wurde in PECL verschoben.
• Die JSON-Erweiterung — Diese Funktionalität ist standardmäßig in PHP 8 enthalten.

Beginnen Sie mit dem Erlernen von PHP

Beginnen Sie mit dem Erlernen von PHP an diesen großartigen Orten:

• https://jobtensor.com/Tutorial/PHP/en/Introduction

Sagen Sie uns, was Sie denken

Wir haben versucht, Ihnen einen Überblick darüber zu geben, worum es beim neuen PHP 8 geht. Jetzt würden wir gerne hören, was Sie tatsächlich darüber denken, sobald Sie die Chance haben, es auszuprobieren. Was magst du und was magst du nicht? Wie funktioniert es auf Ihrer Website? Sehen Sie Leistungsverbesserungen? Wir möchten untersuchen, wie unsere erfahreneren Benutzer diesen Early Release Candidate nutzen, bevor er offiziell wird.