Post by @kuketzblog@social.tchncs.de

@kuketzblog bin gespannt wann das Update bei Debian 12 und im Docker Hub von PHP aufschlägt. Dachte eigentlich das wäre direkt um 16 Uhr am start

@kuketzblog Da draußen sind zahlreiche "intelligente" Haushaltsgeräte mit Netzzugang, die nie irgendwelche Updates erhalten. Die haben oft Webinterfaces für die Konfiguration, welche mit uralten PHP-Versionen laufen, und sind auch ansonsten voller Sicherheitslücken, viele davon ewig bekannt und dokumentiert. An die Dinger denkt kaum jemand. Wer z.B. einen "dummen" Fernseher von vor 10-15 Jahren hat und irgendwann eine kleine Box per HDMI angestöpselt hat, um Videos direkt auf den Fernseher streamen zu können, wird diese Box kaum austauschen, solange sie und der Fernseher beide noch funktionieren...

@LordCaramac @kuketzblog das habe ich auch - wunderbarer Fernseher von 2012, SmartTV, ich weiß warum der seit langem nicht mehr am Netz hängt.

@NiWo90 @kuketzblog Mein Fernseher aus dem Jahre 2014 ist überhaupt kein SmartTV, sondern komplett "dumm", hat keinerlei Hardware für Netzzugang eingebaut, weder WLAN noch Ethernet, und keine Möglichkeiten, Apps zu installieren. Damals konnte man noch überall diese Boxen kaufen, um so einen Fernseher schlau zu machen, und die meisten von damals funktionieren immer noch irgendwie, nur bekommen die seit vielen Jahren keine Updates mehr.

@LordCaramac @kuketzblog mein Smart-TV funktioniert auch noch irgendwie, und das hat selbe Problem, keine Updates mehr...

@kuketzblog ist halt lustig wenn Hoster das an ein Abo knüpfen. Und man immer noch bei V7.4 liegt.

@kuketzblog manchmal bin ich froh, keine Homepage zu haben.

@olafruhl@mastodon.social
Glücklicherweise ist es auch möglich, Internetseiten ganz ohne PHP zu erstellen (sondern zB einfach "nur" mit HTML und CSS :)

@kuketzblog@social.tchncs.de

@fasnix @olafruhl @kuketzblog oh ja, ich bin so froh, dass ich vor 2 Wochen auf ein System ohne PHP umgestiegen bin.

@kuketzblog Nicht nur bestimmte Bedingungen. Default settings reichen.
Patchs scheinen auch nur bedingt zu helfen. 8.5.12 schreint weiter angreifbar. 🙈

@scotty86 Wenn letzteres stimmt wäre das mal wieder typisch PHP: Bugs nicht fixen und gleichzeitig neue Bugs einbauen, weil Tests fehlen. Ich dachte eigentlich, die wären darüber hinweg …
@kuketzblog

@alvar @kuketzblog Ich konnte den UAF mit 8.5.12 und 8.4.27 leicht verschoben reproduzieren. Aber nur unter der Prämisse unserialize mit kontrolliertem Input aufrufen zu können.
"Meine" Anwendungen scheinen damit sicher, aber bei frameworks wie Nextcloud, Wordpress und Co wäre ich vorsichtig.

@scotty86 @alvar @kuketzblog Ich bin jetzt irgendwie total verunsichert. Ich hab auf 8.4.27 aktualisiert aber meinen Heimrechner mit nextcloud komplett vom Netz genommen. Was bedeutet "unserialize mit kontrollierten Input aufrufen"? Ich kann das Risikolevel nicht einschätzen. Danke für eine Einschätzung 👍

@t28c302 @scotty86 @kuketzblog wenn die Maschine nicht direkt von außen erreichbar am Internet hängt. Vollkommen vernachlässigbar.