PCextreme beveiligingslek

[seba]

Hallo,

PcExtreme kampt met een security exploit waar het vertikt iets aan te doen.

Ik ben al even klant bij pcextreme (shared hosting). Ik ben zelf beveiligingsonderzoeker en ik draai de laatste versie van symfony standard edition, waarvan toch mag gesteld worden dat het veilig is (http://symfony.com/blog/symfony2-security-audit).

Mijn eigen code bovenop symfony geeft enkel statische pagina's weer. Ik gebruik het vooral om de caching, routing & templates te regelen voor deze pagina's.

Opeens was mijn site gehackt. De indexpagina gaf 'fatal error owns you' terug. De ftp toonde aan dat er bestanden waren bijgeplaatst (index.php) en verder werkten mijn rewrite rules niet meer en waren directory listings ingeschakeld, maar er was geen .htaccess bestand aangepast of bijgeplaatst. Dit moet dus in de globale configuratie zijn, iets waar ik als shared hosting klant geen toegang tot heb.

Ik melde dit aan pcextreme en ze melden mij dat het probleem bij mijn software moet liggen, met als reden: 'Anders gingen we het wel gemerkt hebben en er zijn geen andere klanten getroffen'.
Sowieso lijkt het mij onmogelijk aangezien mijn code nergens input van de gebruiker ontvangt en symfony 2 zelf geen gekende lekken heeft.

Even zoeken later, bleek al dat hun stelling dat 'er geen andere klanten' getroffen waren een grote leugen was.
Deze pagina: http://zone-h.org/archive/notifier=Fatal%20Error toont getroffen websites. Zowat elke Nederlandse website in die lijst die op een linux platform gehost is, blijkt een klant te zijn van pcextreme (de x-server head tag is telkens: web18.vhosting.pcextreme.nl).

Ik heb hier opnieuw melding van gemaakt, maar nu sluiten ze gewoon mijn tickets zonder antwoord te geven...
Ik zal verhuizen van host, maar wou toch even anderen op de hoogte brengen van deze schandalige manier van werken.

[RvdH]

Hmm interessant.

Het hoeft niet te betekenen dat precies jouw website is gebruikt om de sites te defacen. Het kan ook zijn, als websites onder dezelfde user draaien, dat een andere website "lek" was en dat daarop een php script is geplaatst en gebruikt om andere websites met dezelfde uid te defacen.

Ik werk zelf voor een webhoster en heb dit ook vaker zien gebeuren, vandaar dat we nu alle websites onder een eigen uid draaien mbv mpm-itk.

Ik vind de reactie van PCextreme in deze ernstig, maar niet onbegrijpelijk. Wellicht ben je een van de eerste gebruikers die het gemeld hebben en wisten ze nog niet dat er meerdere sites gedefaced waren. De kans is groot dat wij in een dergelijke situatie in eerste instantie ook een dergelijk antwoord gestuurd zouden hebben. Er zijn namelijk *erg* veel klanten die zelf vinden dat ze "veilig zijn" maar uiteindelijk toch zelf voor de defacement hebben gezorgd door een virus op de computer o.i.d.

[seba]

Ja, ik had wel zo'n reactie verwacht, Ik snap wel dat 90% van de klanten van een budget hoster een gratis scriptje draaien dat ze ergens gevonden hebben en dan problemen krijgen die ze op de hoster steken.

Echter reageren ze ook niet nadat ik hen wees op de pagina met getroffen sites, die toch duidelijk wijst op een groter probleem, en dat vind ik onaanvaardbaar.

Je moet weten dat ik hiervoor al 3 weken nodig heb gehad op mijn domein naar hen te verhuizen. De verhuis token werd maar niet geaccepteerd. Toen kreeg ik ook steeds als antwoord dat het mijn schuld was. Het heeft me tientallen telefoontjes naar hen (0900 nummer) en naar dns.be gekost om aan te tonen dat de schuld echt niet bij mij lag.

[Tuvow]

Wat zegt PCExtreme hier dan wél over? Ik werk zelf ook bij een andere webhoster en ik zou deze kans natuurlijk mooi aan kunnen grijpen om PCExtreme even lekker door het slijk te halen, maar in mijn optiek is het een capabele partij. Ik zou dus ook niet 1-op-1 de conclusie willen trekken (op basis van de zone-h listings) dat hun volledige platform gedefaced is via 1 gehackte website. Het zou goed kunnen dat één lek in één softwarepakket massaal exploited is, dat is iets waar PCExtreme op zich weinig tegen kan doen.

[HaterFrame]

Idd, PCExtreme is wat dat betreft niet het 13 in een dozijn budget hostertje... Ikzelf heb er alleen maar goede ervaringen mee op een professioneel niveau!

[Question Mark]

seba schreef op woensdag 06 februari 2013 @ 11:24:
Ik ben zelf beveiligingsonderzoeker en ik draai de laatste versie van symfony standard edition, waarvan toch mag gesteld worden dat het veilig is (http://symfony.com/blog/symfony2-security-audit).

Afgezien van de rest van je verhaal is dit nu natuurlijk een behoorlijk dappere uitspraak.... Van hun site:

Security release: Symfony 2.0.22 and 2.1.7 released
by Fabien Potencier – January 17, 2013

Symfony 2.0.22 and Symfony 2.1.7 have just been released and they both contain security fixes for the YAML component (CVE-2013-1348 and CVE-2013-1397).

Ze geven hier toch immers zelf toe dat er security fixes uitgebracht zijn.... Tot 17 januari bevatte de software dus gewoon security issues. Wie zegt dan dat alle issues opgelost met deze versies opgelost zijn, of dat deze patches geen nieuwe issue's geintroduceerd heeft?

Ondanks dat sommige bedrijven security heel hoog in het vaandel hebben staan, is er altijd kans dat software security issue's bevat.