1 июля эксперты из компании Qualys заявили о том, что найдена критическая уязвимость (CVE-2024-6387) в OpenSSH. Она позволяет удаленно выполнить код с правами root без аутентификации. Уязвимость, известная как regreSSHion, проявляется в конфигурации по умолчанию с OpenSSH 8.5 на системах с Glibc.

Атака была успешно проведена на 32-разрядной системе с Glibc и включенной защитой ASLR. Для атаки хватило 6-8 часов — в течение этого периода с сервером непрерывно устанавливались соединения с максимально допустимой в конфигурации sshd интенсивностью. Совершение атаки упрощается и требует меньше времени на системах без ASLR или в дистрибутивах, использующих модифицированный OpenSSH, в котором отключена повторная рандомизация ASLR для каждого соединения.
www.opennet.ru/opennews/art.shtml?num=61470

Затронутые версии отличаются в зависимости от используемой ОС. Рабочего эксплоита для 64-битных систем нет, но его появление не исключено. Рабочий эксплоит уязвимости не публикуется, но доступно подробное описание проблемы, что также не исключает появления сторонних эксплоитов.

Патч против уязвимости представлен в выпуске OpenSSH 9.8. Проблема связана с регрессивным изменением в OpenSSH 8.5, приводящим к состоянию гонки в коде обработки сигналов. OpenBSD не подвержен уязвимости, а системы с Musl не подвержены технике эксплуатации, используемой в Glibc.
lists.mindrot.org/pipermail/openssh-unix-dev/2024-July/041430.html

Мы, в свою очередь, также обновили репозитории. Паниковать не стоит, но рекомендуем запланировать обновление. Если остались вопросы — обратитесь в нашу службу поддержки.

Да, вы не ослышались! На ограниченное время PQ.Hosting раздает БЕСПЛАТНЫЕ VPS-серверы новым и существующим клиентам! Пройдите верификацию учетной записи и получите БЕСПЛАТНЫЙ сервер сроком на 1 месяц! А если вы уже счастливый обладатель статуса «Верификация пройдена», то у вас есть уникальный шанс получить 50% скидки на продление или заказ VPS в любой из локаций!

Действует для тарифов до Palladium во всех 38 странах!
Это ещё не всё — в дополнение к бесплатному серверу мы дарим лицензии ispmanager сроком на 1 месяц и Alpha SSL-сертификат! Ура-ура-ура!

А для наших участников реферальной программы мы приготовили отдельный розыгрыш — чем больше вы приведете рефералов, тем выше ваши шансы получить денежный приз от PQ.Hosting в размере 1 111 евро! Для ваших клиентов также безоговорочно распространяются условия бесплатных серверов — двойная выгода для ваших рефералов!
Обратите внимание на необходимость подписанных документов/подтвержденных партнёрских отношений.

Это невероятное предложение действует ограниченное время. Получите свой БЕСПЛАТНЫЙ VPS уже сегодня и почувствуйте мощь PQ.Hosting!

Как пройти верификацию?

• 1. Авторизуйтесь в личном кабинете.
• 2. Перейдите на главный экран биллинга и в панели «Быстрый доступ» нажмите «Пройти KYC».

После прохождения процедуры идентификации, обратитесь в нашу службу технической поддержки и вам активируют ваши подарки!

https://pq.hosting

В рамках наших постоянных усилий по улучшению наших услуг мы запланировали профилактическое электротехническое обслуживание на объекте ВАРШАВА – WAW1, запланированное на 5 этапов.

Расписание:

• W16 container scheduled for 03/07/24
• W15 container scheduled for 09/07/24
• W13 container scheduled for 16/07/24
• W11 container scheduled for 13/08/24
• W01 container scheduled for 20/08/24

Мы выявили риск отключения электроэнергии для каждого контейнера, указанного выше.

Чтобы избежать каких-либо последствий, мы советуем выключать ваш сервер перед каждой из операций, упомянутых ниже:

• Временной интервал: 07.03.24 с 07:00 UTC до 09:00 UTC (Страница состояния будет обновлена, чтобы объявить об окончании технического обслуживания. Как только обновление будет опубликовано, вы сможете перезапустить службу. )
• Центр обработки данных: WAW1 – строки WA16A и W16B
• Ожидаемое влияние: на некоторых серверах могут возникнуть перебои в подаче электроэнергии.
• Затронутые службы: выделенные серверы.
• Страница статуса: network.status-ovhcloud.com/incidents/87bc4zb9v8z9

Наши команды центров обработки данных и поддержки будут полностью мобилизованы на всех этапах технического обслуживания, чтобы ограничить любое влияние на ваши услуги.

Заранее приносим извинения за возможные неудобства и благодарим вас за понимание.

Благодарим вас за выбор OVHcloud.
Команда OVHcloud

С 9 июля 2024 года стоимость аренды VDS и резервного копирования увеличится в среднем на 25%. Изменение коснётся всех VDS, в том числе и архивных тарифов. Исключение составят VDS ARM и спецтарифы «Freddy», «Jason», «First John» и «Восток» во всех версиях.

Автоматическое резервное копирование тоже будет рассчитываться по новой стоимости. Цена услуги, как и сейчас, будет зависеть от тарифа и объёма накопителя.






Также изменения коснутся и программы реселлинга, стоимость таких тарифов увеличится в среднем на 25%. Но немного позднее — 9 августа 2024 года.

firstvds.ru

Уязвимость CVE-2024-6387 типа Race Condition обнаружена в серверном компоненте OpenSSH (sshd). Она может привести к удаленному выполнению кода с root-привилегиями на системах Linux с glibc. Уязвимость затрагивает версии OpenSSH от 8.5p1 до 9.7p1, а также некоторые более старые версии.

Для защиты необходимо срочно обновить OpenSSH до версии 9.8p1 или выше.
Если обновление невозможно, следует установить параметр LoginGraceTime в 0 в конфигурационном файле sshd.

Команды для обновления OpenSSH на RedHat (включая CentOS и Fedora):

yum update openssh -y && systemctl restart sshd

Debian (включая Ubuntu):

apt update && apt install openssh-server -y && systemctl restart ssh

Клиентам на осблуживании (на всех тарифах) мы уже произвели необходимые обновления.

https://systemintegra.ru

Здравствуйте, уважаемые пользователи.



Спешим Вам сообщить, что у нас появились новые собственные бюджетные серверы-монстры в Москве, ДЦ Selectel.

В сервер-монстр включено:
— один выделенный ipv4 адрес;
— канал 1 Гбит/с и 30 ТБ трафика либо 100 Мбит/c и безлимитный трафик на выбор;
— бесплатный IP-KVM 10 часов/мес.

Скидки при оплате на 3/6/12 месяцев!

Подробнее — hostiman.ru/server-monster

Если вас заинтересовало наше предложение или есть вопросы, создайте тикет из личного кабинета в отдел продаж для получения консультации.

С уважением, Ваш хостинг-провайдер HostiMan.

Судя по тому, что это июньский дайджест, 30% лета уже пройдено. И пройдено не зря — за нашими плечами множество выполненных задач, написанных статей и запланированных проектов.



Остался один нерешённый вопрос: успеют ли эти плечи загореть до конца лета. Но об этом мы расскажем вам в конце августа.

Статьи и инструкции


10 лучших конструкторов сайтов в 2024 году
Для создания сайта с нуля нужно много времени и ресурсов — найти специалистов, продумать структуру, выбрать стиль, разместить сайт на домене и подключить сервисы оплаты. Если нужна простая страница для рекламы или акции, лучше использовать современные конструкторы сайтов, где можно быстро и легко создать сайт без навыков веб-дизайна и разработки.
В статье расскажем о лучших, по нашему мнению, конструкторах сайтов — опишем их плюсы, минусы, особенности и стоимость.
firstvds.ru/blog/top-luchshikh-konstruktorov-saytov

В конце месяца истекла поддержка ОС Centos 7
Официальная оболочка от компании 1С-Битрикс — «1С-Битрикс: Веб-окружение» (BitrixEnv) и «1С-Битрикс: Битрикс24» (BitrixCRM) при этом доступна только для Centos 7. На сегодняшний день анонсов о выпуске оболочки для других операционных систем не публиковалось.
Поэтому мы добавили свой рецепт — Bitrix Setup. С его помощью вы сможете установить всё необходимое ПО для работы сайтов на CMS Битрикс. Рецепт доступен на Debian 11 и 12 версий.
Больше полезных статей и инструкций вы можете найти в нашей Базе знаний.
firstvds.ru/technology

Habr: самое интересное за июнь
Несмотря на сезон отпусков, наши авторы продолжают радовать вас новыми материалами на Хабре. Лучшие, как всегда, попадают в дайджест.
Колонизация Марса: 10 проблем, с которыми столкнется человечество
Самый дешёвый радиоконструктор с Али
Wolfenstein 3D: Начало эры шутеров от первого лица

Стань автором FirstVDS
Ищем технических писателей для блога на Хабре
Откликнуться firstvds.ru/blog/ischem-avtorov-dlya-bloga-firstvds-na-habr-i-vc

Новости мая
Кешбэк 10% на платежи с рекомендованной суммой
До 11 июля на платежи с рекомендованными суммами и выше будет начисляться кешбэк 10%. Пополнить баланс можно любым доступным способом, количество платежей в течение акции не ограничено.
firstvds.ru/actions/kanikuly-s-keshbekom
Кешбэк зачислится на баланс аккаунта сразу же после поступления основных средств.

DNS-хостинг: изменение условий предоставления
25 июня изменились условия размещения доменов на наших серверах имён. Теперь бесплатно можно разместить до 10 доменов, а каждый следующий домен будет стоить 2 рубля в месяц.
Максимальный лимит на одном сервере — 1000 доменов. У пользователей с большим количеством доменов лимит был автоматически увеличен.
firstvds.ru/services/dns-hosting

Новости из мира IT
Как говорят, предупреждён — значит, вооружён. Поэтому счастье неведения оставим для кого-то другого. А для тех, кто согласен с поговоркой, собрали топ новостей об уязвимостях июня. На десерт — приятная новость об OpenSSH, так что советуем дочитать до конца.

Уязвимость в PHP позволяет выполнить код при работе в режиме CGI
В PHP найдена уязвимость (CVE-2024-4577), которая позволяет выполнить собственный код на сервере или просмотреть исходный код PHP-скрипта в режиме CGI на Windows (mod_php, php-fpm и FastCGI не затрагивает). Сама уязвимость связана с проблемой CVE-2012-1823, которая была исправлена в 2012 году. Правда, добавленной защиты от атак на Windows оказалось в этот раз недостаточно. Атака основана на подмене аргумента командной строки при запуске PHP-интерпретатора через запрос к скрипту. Старая уязвимость позволяла указывать опции командной строки вместо параметров запроса, новая использует автоматическое преобразование символов в Windows, что позволяет обойти защиту и использовать запросы с символами, заменяемыми на "-", для атаки.
Проблема в конфигурации проявляется по умолчанию в XAMPP и других Apache-конфигурациях с php-cgi в качестве обработчика CGI-скриптов. В обновлениях PHP 8.3.8, 8.2.20 и 8.1.29 устранены уязвимости CVE-2024-5458, CVE-2024-5585 и CVE-2024-1874.
www.opennet.ru/opennews/art.shtml?num=61332

Уязвимость в UEFI-прошивках Phoenix затрагивает устройства с CPU Intel
В UEFI-прошивках Phoenix SecureCore на устройствах с процессорами Intel обнаружена уязвимость (CVE-2024-0762), позволяющая выполнить код на уровне прошивки и установить бэкдор, обходящий защиту ОС. Уязвимость вызвана некорректным использованием переменной TCG2_CONFIGURATION в конфигурации TPM, что приводит к переполнению буфера и выполнению кода на уровне SMM. Проблема проявляется в прошивках Phoenix SecureCore на устройствах с процессорами Intel, включая семейства AlderLake, CoffeeLake, CometLake, и другие. Уязвимость устранена в последних обновлениях прошивок от Technologies и Lenovo.
www.opennet.ru/opennews/art.shtml?num=61432

Уязвимость в GitLab позволяет запустить pipeline-работы под другим пользователем
Опубликованы обновления GitLab 17.1.1, 17.0.3, 16.11.5, и другие, устраняющие 14 уязвимостей, включая CVE-2024-5655. Эта уязвимость, начиная с версии 15.8, позволяет запускать pipeline jobs от имени другого пользователя, что может привести к доступу к внутренним репозиториям и закрытым проектам. Информацию об уязвимости обещают раскрыть через 30 дней после публикации исправления. Также в обновлениях устранены три уязвимости с высоким уровнем опасности: XSS-атаки, CSRF и утечка данных через использование поиска в открытых проектах.
www.opennet.ru/opennews/art.shtml?num=61445

OpenSSH получила встроенную защиту от автоматизированных атак по подбору паролей
В файл конфигурации sshd_config добавлен параметр PerSourcePenalties для блокировки IP-адресов с множеством неудачных попыток соединения. Новый механизм защиты будет включен по умолчанию в OpenBSD 7.6. Процесс sshd теперь отслеживает статус завершения дочерних процессов для обнаружения подбора паролей и эксплуатации уязвимостей. Параметр PerSourcePenalties задает минимальный порог аномальных событий для блокировки IP-адресов, а PerSourceNetBlockSize позволяет блокировать целые подсети. Для исключения блокировки определенных подсетей предлагается параметр PerSourcePenaltyExemptList.
www.opennet.ru/opennews/art.shtml?num=61331

Summer Sale 2024. Скидки до 50%
С волнением и радостью мы объявляем о запуске нашей грандиозной летней распродажи «Summer Sale 2024» от компании Friendhosting LTD. С первого июля по последний день августа каждый из вас получит уникальную возможность воспользоваться нашими выгодными предложениями.

Не упустите свой шанс сэкономить и заказать Progressive SSD VDS, Storage HDD VDS или виртуальный хостинг со скидкой 50%. Для получения скидки во время заказа используйте промо-код summer24
Обратите внимание, что скидка активируется исключительно для первого периода оплаты, поэтому для получения максимальной выгоды рекомендуем заказывать vds на максимальный период действия промо-кода, который составляет 3 месяца.
friendhosting.net/ru/vps.php

Если у вас уже есть активный заказ, то вы также можете получить скидки при его продлении. Продлевая vds или виртуальный хостинг на длительный период — 3, 6 или 12 месяцев, вы получаете скидку 3%, 5% или 10%, которая суммируется с вашей скидкой по программе лояльности до 25% (Подробнее о том как формируется скидка по программе лояльности читайте тут). Скидки применяются автоматически на последнем шаге оплаты без обращения в финансовый отдел.
Акция действует с 01.07.2024 по 31.08.2024.
friendhosting.net/ru/promo/summer24.php

• Только в Июле 2024 года
• Только для Ryzen 9 7950x тарифов
• Оплатите сразу на 3 года, создайте тикет
• И получите 2 года бесплатно

Выделенных серверов акция не касается.
Только виртуалок.
Для дедиков и вечных дедиков советую копить на черную пятницу

Можно заказывать как новые ВМ и продять на 3 года, либо текущие заказы продлить на 3 года и отписаться в тикет
666.ponaehali.moscow/billmgr
bill.yacolo.net/billmgr
yacolo.billmanager.cloud/billmgr

• Только в Июле 2024 года
• Только для Ryzen 9 7950x тарифов
• Оплатите сразу на 3 года, создайте тикет
• И получите 2 года бесплатно

Выделенных серверов акция не касается.
Только виртуалок.

Можно заказывать как новые ВМ и продять на 3 года, либо текущие заказы продлить на 3 года и отписаться в тикет
bill.yacolo.net/billmgr