Весёленький вчера выдался денёк. Точнее вечерок. Разом насыпало целый ворох уязвимостей. Экстренно обновлял все подопечные сервера.

1️⃣ Начну с самой эпичной уязвимости PHP, про которую вы все уже скорее всего слышали - PHP2Shell. Не буду повторяться, а сразу приведу ссылку, где есть вся необходимая информация - php2shell.ru. Там всё подробно, по-русски.

На поддерживаемых версиях ничего особенного, просто обновился и всё. Во все дистрибутивы экстренно привезли обновления. Но PHP такая вещь. На нём есть куча старья, которое давно не обновляется и уже не будет обновляться. К сожалению, у меня есть такие сервера и с ними ничего не поделать. Обновить их уже невозможно, никто не будет тратить на это деньги деньги. Там пока просто добавил в настройки:





; php2shell
memory_limit = -1
post_max_size = 8M
upload_max_filesize = 6M
session.upload_progress.enabled = 0

На 100% это не защищает, но и область атаки сильно сужает. Надеюсь в ближайшее время появятся какие-то более надёжные методы защиты старых версий PHP. Я уверен, это очень актуально для огромного числа пользователей. Что-то должно появиться.

2️⃣ Была какая-то критичная уязвимость в MariaDB. Про неё даже ФСТЭК написал. В Debian новые пакеты приехали совсем недавно. Пару недель назад я их ещё не видел. И всё бы ничего, но на части серверов у меня обновление тупо зависало и вешало сервис mariadb намертво.

Конкретно у меня это воспроизводилось на части серверов с Debian 12. В момент обновления с версии 10.11.18 на 10.11.19 какой-то скрипт из нового пакета выключал службу и запускал заново. И этот первый пуск в рамках работы менеджера пакетов apt намертво зависал. Я ждал минут 20, думал, может таблицы обновляет или ещё что-то делает. Боялся прерывать. Но дольше уже не мог ждать, надо было что-то решать.

Если отправить сервер в reboot, то завершение работы подвисает, ожидая ответа от службы mariadb. Потом по окончании таймаута минут в 10, всё же перезапускается и нормально работает. Каким-то образом штатно остановить службу не получалось. Она ни на что не реагировала. В логах пусто, никаких ошибок. Приходилось тушить через SIGKILL. Слава богу, ни один сервер не умер от таких манипуляций.

Разбираться с этой проблемой не было времени. Раз зависнув, это больше не повторялось. Это явно какая-то проходная ошибка, возникающая на конкретных версиях пакетов. В Debian 13 я с этим не столкнулся.

В итоге на части серверов я получил развлечение в виде зависшего процесса с apt и упавшей СУБД, чего никак не ждёшь от обновлений безопасности (передаю привет тем, кто их ставит автоматически ✋😃). Вкупе с невозможностью обновить на некоторых серверах PHP, это добавило лишних переживаний.

3️⃣ Про компрометацию ключей удостоверяющего центра eMudhra, думаю, вы тоже уже слышали. Повсюду новость разлетелась. Соответственно, в дистрибутивы прилетело обновление пакета ca-certificates.

Вот эти три вещи по идее обязательны к обновлению, причём экстренному, что я вчера и сделал. ❓А у вас какие отношения с обновлениями? Обновились внепланово или пока ждёте? Были проблемы?

#security #debian