|
Op 12 november werd een ernstig lek bekend in de HTTP/2-module van webserver Apache (versies 2.4.55 tot en met 2.4.70). Via dit lek kon een aanvaller op afstand code uitvoeren op een server.
Wat wij hebben gedaan
- Op 12 november hebben we op alle DirectAdmin servers Apache bijgewerkt naar versie 2.4.71, waarin het lek is opgelost.
- Waar die update niet mogelijk was, hebben we HTTP/2 tijdelijk uitgezet. Websites bleven daarbij gewoon bereikbaar via HTTP/1.1.
- Op 13 november hebben we die servers voorzien van een eigen geschreven, door onze technici, beveiligingspatch voor dit lek. Daarna is HTTP/2 weer ingeschakeld.
- Plesk-servers en servers met LiteSpeed waren niet kwetsbaar. Hetzelfde geldt voor servers met een Apache versie ouder dan 2.4.55.
Zelf controleren (alleen voor klanten met een eigen DirectAdmin server)
Log in via SSH en voer uit: httpd -v
- Versie 2.4.55 tot en met 2.4.70: voer dan ook dit commando uit:
grep -a -c cve119618 /usr/sbin/httpd
Geeft dit 1, dan bevat uw server onze patch. Geeft het 0, neem dan contact op met onze support en dan kijken wij waarom uw server niet gepatched kon worden.
Het advies is en blijft om wel te kijken naar een eventuele server migratie van uw oude DirectAdmin omgeving naar een nieuwere omgeving, zie ook hier: https://helpburo.eu/Knowledgebase/Article/View/directadmin-server-vpsdps-migratie-naar-nieuwe-os-besturingssysteem.
| 