Sicherheitslücke in Wordpress?!

Moin!

Immer auf neueste Version updaten?

Finde ich nicht gut!

Warum das?

Weil man sich mit einer Neuinstallation - gemäß Murphys Gesetz - meist auch neue Problemchen in Haus holt. Die Tücke steckt dabei immer im Detail.

Eine hohe Updatefrequenz mag ich auch bei anderer Software nicht, solange es nicht sehr deutlich (!) meine Ergebnisse steigert. Ich betreibe die Computerei ja nicht als Selbstzweck.

Ich fände es besser, offensichtliche Sicherheitslücken zu beschreiben und dafür gezielt 'Reparaturkits' anzubieten.

Gibt es solche patches vielleicht irgendwo? (kenn' mich mit WP noch nicht so gut aus).

Grüße, Hansjörg

Die Reparaturkits sind doch die Updates, z.B. 2.3.1 auf 2.3.2.

Das "Problem" bei Software ist aber generell, dass Sicherheitslücken irgendwann auftauchen, auch in alten Versionen oder es kommt heraus, dass ein Fehler schon in alten Version vorhanden war. Der Aufwand wäre zu groß, für jede Version einen Patch anzubieten, deswegen die neuen Versionen.

Was mich nervt, ist, wenn alle acht Wochen für eine Software eine neue Version herauskommt. Und es gibt nicht wenig davon, die so handeln.

Ok Syntronica,

jetzt mal andersrum: Ich fand es bequem, dass man bei Strato neuerdings in zwei Minuten (ohne Übung) das wordpress 2.2.3 aktivieren kann, ohne sich genauer darum zu kümmern wie die Dateistruktur ist etc.

Ich befürchte halt, dass ich nicht einfach die neueste Version irgendwo mit FTP hinschieben kann, und der Blog funzt wie gehabt.

Hat es schon mal jemand gemacht und beschrieben?
Die early adaptors sind bei Software meist die Dummen.

Grüße, Hansjörg

Zitat von Hansjörg

Weil man sich mit einer Neuinstallation - gemäß Murphys Gesetz - meist auch neue Problemchen in Haus holt. Die Tücke steckt dabei immer im Detail.

nunja..... im detail steckt vieles ;) ein detail eines updates ist das anfertigen von vollständigen backups - möglichst im vorfeld des updates.... ein weiteres liegt darin, das man updates zunächst lokal vorbereiten und nicht sofort auf dem server durchführen sollte.... das erspart einem unliebsame überraschungen, während der produktivsetzung.....

Zitat von Hansjörg

Ich betreibe die Computerei ja nicht als Selbstzweck.

aber deine website betreibst du für welchen zweck? wer auf seiner website keine unliebsamen überraschungen erleben will, muss sich darauf einlassen die verwendete software regelmässigen securityupgrades zu unterziehen. die verantwortung für die sicherheit seiner software obliegt immer dem betreiber einer software, es sei denn er hat entsprechende verträge mit dem lieferanten seines vertrauens... mea culpa, aber bei opensourcesoftware dürfte es dir schwer fallen solche verträge zu bekommen ;) upgradepakete bedienen sich immer der entsprechenden vorgängerversion als grundlage für das update...

wenn man statt dessen hingehen würde und beschreibungen der exploits (und ihrer beseitigung) herausgeben würde, könnte man direkt eine anleitung zur nutzung der exploits veröffentlichen und somit mehr schaden als nutzen anrichten. einfach nur weil diese anleitung von noch mehr kaspern für das kapern fremder seiten ausgenutzt würde. mal ganz abgesehen davon, das die exploits ohnehin einer mehr oder minder grossen leserschaft zugänglich sind, welche sich dieser bedienen.

mal ganz abgesehen davon nutzt dir die beste beseitigungsanleitung nichts, wenn die versionsabhängigen reparaturbeschreibungen auf dein release nicht zutreffen, bei dir aber ähnliche probleme, wie im exploit beschrieben, anhängig sind. es ist nicht gesagt, das der exploit bei entsprechend älteren versionen durch die reparaturanleitung auch beseitigt wird oder durch selbige anleitung nicht andere lücken gerissen werden, welche deine site noch anfälliger machen würden.

vG

Arno

Zitat von Hansjörg

Ich fand es bequem, dass man bei Strato ......

sorry, aber..... strato ist ein thema für sich ;) such mal im forum nach entsprechenden threads....

ehrlich gesagt halte ich persönlich von der firma nicht all zu viel.....

vG

Arno

Zitat von divB

Jede Software die ich verwende und nicht unter der Kontrolle des Paketmanagements des Betriebssystems (apt, Debian, security.debian.org) steht beobachte ich über announce-Mailinglisten (horde, gallery2, phpbb, osCommerce, ...) GENAU DESWEGEN auf Sicherheitslücken. Gibts das echt nicht oder wieso schafft das Wordpress nicht?

doch... AFAIR gibt es so was... durchsuch mal den blog nach den letzten securityUpgrades, da müsste immer ein link auf den englischen Blogeintrag zu finden sein. Spätestens dort dürfte ein Link auf den entsprechenden Wordpress-Verteiler zu finden sein, in dem die Lücken (aber auch andere Probleme) besprochen werden.

vG

Arno

Zitat von Arno Simon

wenn man statt dessen hingehen würde und beschreibungen der exploits (und ihrer beseitigung) herausgeben würde, könnte man direkt eine anleitung zur nutzung der exploits veröffentlichen und somit mehr schaden als nutzen anrichten. einfach nur weil diese anleitung von noch mehr kaspern für das kapern fremder seiten ausgenutzt würde. mal ganz abgesehen davon, das die exploits ohnehin einer mehr oder minder grossen leserschaft zugänglich sind, welche sich dieser bedienen.
vG

Arno

Moin Arno,

was Du schreibst ist auch plausibel....

MFG Hj

Zitat von Arno Simon

sorry, aber..... strato ist ein thema für sich ;) such mal im forum nach entsprechenden threads....
ehrlich gesagt halte ich persönlich von der firma nicht all zu viel.....

Seltsamerweise habe ich noch keine Problem damit, aber ich warte immer drauf.

Zitat von HansJörg

Ich fand es bequem, dass man bei Strato neuerdings in zwei Minuten (ohne Übung) das wordpress 2.2.3 aktivieren kann, ohne sich genauer darum zu kümmern wie die Dateistruktur ist etc.

DAmit sind aber Sicherheitslücken nicht gedeckt. Wann spielt Strato schon ein Update/Sicherheitspack ein?

Warum nicht den Feed abonnieren?
WordPress Development Blog

Zitat von Arno Simon

sorry, aber..... strato ist ein thema für sich ;) such mal im forum nach entsprechenden threads....

ehrlich gesagt halte ich persönlich von der firma nicht all zu viel.....

vG

Arno

Hallo Arno,

die von mir geschilderte Problematik hat mit Strato nichts zu tun. Ich bin mir aber bewusst, dass diese Firma für viele Leute ein Reizthema ist.

Ich kann den Kosten/Nutzwert ganz gut abwägen, da ich seit dem frühen Aufkommen des Internet mit ziemlich vielen verschieden Providern gearbeitet habe. Zuerst mangels deutschen Hostern mit solchen in USA.

Um es kurz zu sagen: Ich hatte deutlich mehr Grund zur Klage bei den teuren 'Edelprovidern' - eben weil sie so teuer waren aber trotzdem manches Leistungsversprechen nicht einhielten!

Bei Strato hatte, und habe ich unzählige Webprojekte am laufen. War auch bei denen einer der ersten Kunden. In den letzten Jahren läuft es ganz gut, finde ich.

Wie gesagt, das sind meine eigenen Erfahrungswerte.

Grüße, Hansjörg

divB,

war das "iframe" nur in einem Beitrag?