CRITICAL BUGFIX RELEASE: Serendipity 0.8.2
Posted by Sebastian Nohn in Announcements, Security
Comments (11)
Trackbacks (30)
A serious security issue has been discovered in our bundled library XML-RPC. This issue allows for possible remote code execution.
We have upgraded the XML-RPC component to the fixed version and released Serendipity 0.8.2. The old SourceForge CVS HEAD branch now contains 0.8.2, and the SVN branches 0.8 and trunk also contain the changes.
The files can be found here:
http://www.s9y.org/12.html
or
http://sourceforge.net/project/showfiles.php?group_id=75065
Every user is urged to upgrade. As a temporary hotfix you can delete your serendipity_xmlrpc.php file so that your blog will not easily allow execution of maliclius XML-RPC method calls.
We are very sorry for this inconvenience and need to point out that many PHP applications using this common XML-RPC PEAR class are affected by this bug. Please check your webspace for any outdated versions of that PEAR class and upgrade other related applications as soon as possible. Also read this advisory.
Changelog
Version 0.8.2 (June 29th, 2005)
------------------------------------------------------------------------
* fixed remote code execution vulnerability. Thanks to Gulftech
Research for pointing out that bug and Stefan Esser for helping
fix it (nohn)
* Updated Spartacus to most recent version (nohn)
* fixed serendipity_traversePath() - PHP5 issue with array_merge()
Thanks to jdhawk for the fix (flotsam)
* CSS does no longer emit cache-restricting headers, so that the
stylesheets can be cached by the browser for followup-requests
Thanks to Sencer for pointing this out! (garvinhicking)
* Patch/Bug #1209410 by swiesinger: When using shortcut admin URL,
use https:// when specified by user
* Fix deleting categories when having privileges but not being
administrator (Patch #1205347, many thanks to Penny Leach)
* Increased level of output message from the Spartacus plugin
(garvinhicking)
* Patched XML-RPC functions, thanks to Tim Putnam. This should enable
XML-RPC services to properly fetch existing articles and edit them.
* Fix Plugin API call performing too many unneeded SQL queries
(garvinhicking)
* Fix missing authorname when previewing entry. Thanks to winkiller,
aquatic, thomas, wurstprinz and hansi for fixing this!http://blog.csloh.com/archives/55-Flickr-and-Serendipity-8.02.html
Unknown column 'a.realname' in 'field list'
and an sql error. I am guessing it hasn't upgraded the old database format, and of course the upgrade.sh script is broken. Is there any WORKING documentation on how to perform this db upgrade?
This is something that REALLY should be in the upgrade instructions file.
The upgrade document helps not at all and neither does the rest of the documentation. I can't see how I can get around doing a fresh install, and redoing all the changes I did then :(
Dank eines ziemlich kritischen Bugs in einem PEAR-Paket musste eine neue Version vom besten Blog der Welt her.
Tracked: Jun 29, 15:51
Diese Woche wurde ein gravierender Bug in den PEAR XML-RPC Klassen gefunden, der es ermöglicht beliebigen Code auf dem Webserver ausfzuführen. Da diese XML-RPC Klasse sehr verbreitet ist, wird sie unter anderem auch von Serendipity eingesetzt. Heute wu
Tracked: Jun 29, 16:12
In der Blog-Software Serendipity (S9Y) ist ein Fehler entdeckt worden welcher Zugriff auf den Rechner ermöglicht auf welchem S9Y läuft. Genauere Infos im offiziellen Blog von S9Y. Blogs die S9Y benutzen sollten schnellstens auf die neue stabile Version 0.
Tracked: Jun 29, 16:47
Auch S9Y ist gegen die in Schwachstelle in PHP Nuke verwundbar. Es handelt sich um einen Fehler in der auch von S9Y verwendeten XML RPC Bibliothek aus PEAR. Der in Sebastian Nohns Blog genannte Fix behebt das Problem. Bis dahin ist ein Löschen oder ein
Tracked: Jun 29, 16:56
No babbling, just fixing: http://www.nohn.net/downloads/serendipity-0.8.2.tar.bz2 Workaround: Delete serendipity_xmlrpc.php (does not fix all problems with this issue but the most significant one).
Tracked: Jun 29, 17:05
Wie im Serendipity-Blog zu lesen ist (und auch bei Krischan), hat Serendipity eine ernsthafte Sicherheitslücke. Update auf Version 0.8.2 dringlichst angeraten (und hier bereits in Arbeit).
Tracked: Jun 29, 17:13
BEEP BEEP *BEEP* There's a serious vulnerability in the PEAR XML-RPC code. Serendipity uses this code, so a Update is available. Blogs on this server have been updated. You know who you are. We now return you to your regularly scheduled program
Tracked: Jun 29, 18:21
Wenn auch spät, dann auch hier der Hinweis auf eine Sicherheitslücke in der besten Blogsoftware der Welt - auch bei Master Kris nachzulesen. Entweder auf Version 0.8.2 updaten oder die serendipity_xmlrpc.php löschen.
Tracked: Jun 29, 23:18
Aufgrund eines kritischen Fehlers in der mitgelieferten XML-RPC Bibliothek wurde gestern Version 0.8.2 von Gottes eigenem Weblog, Serendipty, veröffentlicht. Es wird geraten, entweder auf Version 0.8.2 upzudaten oder die Datei serendipity_xmlrpc.php zu
Tracked: Jun 30, 09:55
War ja klar. Kaum installiert man alles und macht es lauffertig... schon kommt eine neue Version der benutzten Software heraus.Serendipity, die hier genutzte Blog-Software, wurde aktualisiert, da es einen erheblichen Bug in der genutzten XML-RPC-Libr
Tracked: Jun 30, 11:49
Dieser Tage galt es, zweierlei kritische Sicherheitslücken durch das Einspielen aktueller Updates auf verschiedenen Servern zu schließen. Wer die Freude hat, das Forensystem phpBB administrativ beaufsichtigen zu dürfen, dem ist das Ausmerzen der regelmäss
Tracked: Jun 30, 12:47
Achtung: Serendipity 8.1 enthält einen Fehler in der XML-RPC Komponente. [Link]. Ich habe hier noch nicht komplett upgedated, sondern nur die entsprechenden Dateien ausgetauscht.
Tracked: Jun 30, 13:05
Der zweite Release Candidate (RC) für PHP 4.4.0 wurde veröffentlicht. Nach einem Bug in PEARs XML_RPC (und zwei kleineren Fehlern) reichte leider ein RC nicht aus. Eine Final ist für den 11.07.05 geplant.Der Bug befindet sich in PEAR XML_RPC <= 1.3
Tracked: Jul 01, 19:28
Well, as you can see, the site has had a makeover. I have been contemplating this for some time, and while I was not planning on having it happen for months, the simultaneous crash of the blog earlier this morning (due to user error, i.e. me poking becau
Tracked: Jul 01, 20:41
Due to a security hole in the s9y weblog software, I just updated to the latest version.The s9y urges to update as soon as possible. Read more about the issue in the s9y weblog:S9Y-Weblog: http://blog.s9y.org/archives/36-CRITICAL-BUGFIX-RELEASE-Serendipit
Tracked: Jul 01, 21:25
In der Version 0.8.1 von s9y scheint ne entsprechende Luecke im XML-RPC Krams zu sein. Hier werden Daten nicht richtig validiert bevor sie durch eval gejagt werden. Naehere Infos finden sich im Web Developer Blog hier: http://blog.s9y.org/archives/36-C
Tracked: Jul 01, 23:52
via hardened-php.net Ein XMLRPC Bug erlaubt die entfernte Ausführung von Code. http://secunia.com/advisories/15852/ Zu angreifbaren Applikationen gehören: Serendipity WeblogWorldpressPost Nukeund andere Der Bug befindet sich in PEAR XML_R
Tracked: Jul 02, 00:58
Habe grade bei Doomshammer gelesen, dass Serendipity ein Sicherheitsloch hat und es deshalb geupdated. Nur falls sich einer ueber die Downtime gewundert haben sollte.. ;)
Tracked: Jul 02, 12:13
Here you can find more information. I recommend this upgrade highly. To upgrade, just install the files, copy all over the existing install (I removed templates before that, so it won't be overwritten) and visit your blog. Then just follow the directions
Tracked: Jul 02, 13:27
Wegen einer kritischen Sicherheitslücke in der Weblogsoftware Serendipity wird ein Update auf die Version 0.8.2 empfohlen. Hier habe ich die neue Version soeben aufgespielt. Das anschließende Update lief problemlos.
Tracked: Jul 03, 09:35
Ich hasse programmieren. Trotzdem habe ich hier auf “Mein Parteibuch” gerade drei Bugfixes eingebaut. Mein Parteibuch verwendet jetzt die neueste Version der xmlrpc.php von Wordpress 1.3 . Ich hoffe, dass sich damit der Security Bug der xm...
Tracked: Jul 04, 15:11
There ahve been some exploits discovered in some of the bundled libraries that provide some functionality to many php based blogging tools, including serendipity. All users are encouraged to download the newest version and upgrade...it is a painless proce
Tracked: Jul 05, 03:01
Tracked: Jul 05, 18:59
Ich habe soeben S9Y auf die neue Version aktualisiert. Dieses Release behebt einen kritischen Fehler im XML-RPC-Modul, mit dem möglicherweise hätte Code ausgeführt werden können. Bei der Gelegenheit habe ich etwas mit Spartacus experimentiert und ich m
Tracked: Jul 07, 13:07
Just saw that my website frontpage was defaced on July 4th at 16:05EST. Wow. Great 5ki11z h4x0r! F'ing script kiddies need to find something better todo. The script kiddie was so proud he submitted the site 5mins later to a defacement tracking website
Tracked: Jul 07, 23:49
Ik heb gisteravond maar even de nieuwe versie van Serendipity geinstalleerd, en de voorbereiding gemaakt voor nog een Weblogger (wie dat gaat worden is nog even geheim!). Die nieuwe software was nodig omdat er in serendipity een lek zat waardoor kwaad w
Tracked: Jul 11, 10:30
Hoffentlich kommt mir keiner und wirft mir vor, dass ich ziemlich spät bin, denn das Security Release ist immerhin schon vier Wochen alt.Aber dem würde ich antworten, dass ich es natürlich schon vor dreieinhalb Wochen eingespielt habe, nur eben nicht er
Tracked: Jul 23, 13:00
After almost no trouble at all, I configured Serendipity 0.8.2 for this blog. As you can see, I used the defaults in most places, maybe later I will change some of them. I hope to write more things down, hopefully this blog will be a good thing.
Tracked: Jul 26, 19:47
Das freundliche Serendipity Team empfiehlt die Datei serendipity_xmlrpc.php zu löschen. Diese Datei stellt eine RPC-Schnittstelle für andere Anwendungen dar und ermöglicht Sachen wie w.bloggar. Gleichzeitig ist dies aber auch eine mögliche Schwachstelle u
Tracked: Aug 10, 21:36
Nachdem im Verlauf der letzten Woche ein dickerer Bug in den PEAR XMLRPC-Klassen gefunden wurde, waren durch diesen Bug auf einen Schlag diverse, in PHP geschriebene Applikationen von außen angreifbar. Leider fiel auch Serendipity darunter. Nachdem ic
Tracked: Aug 11, 07:52