|
Berlin (ots) - Betroffene Webdienste aktualisieren oder vorübergehend vom Netz
nehmen - Notrufversorgung und Einsatzfähigkeit sicherstellen
Der Deutsche Feuerwehrverband (DFV) ruft Kommunen, Feuerwehren, Leitstellen
sowie Behörden und Organisationen mit Sicherheitsaufgaben (BOS) dazu auf, ihre
IT-Systeme unverzüglich auf die kritischen PHP-Sicherheitslücken "PHP2Shell"
überprüfen zu lassen. Betroffene Anwendungen müssen schnellstmöglich durch die
verfügbaren Sicherheitsupdates abgesichert werden. Ist dies kurzfristig nicht
möglich, empfiehlt der DFV, gefährdete Webdienste vorübergehend vom Internet zu
trennen oder kontrolliert außer Betrieb zu nehmen.
Die Sicherheitslücken können es Angreifern ermöglichen, ohne Anmeldung eigenen
Programmcode auf betroffenen Servern auszuführen und sensible Informationen
auszulesen. Mit einem Schweregrad von 9,2 von 10 gelten sie als kritisch. Da die
Fehler in der PHP-Laufzeitumgebung selbst liegen, reicht es nicht aus, lediglich
Webseiteninhalte oder einzelne Erweiterungen zu aktualisieren.
Nach Angaben der Entdecker reicht die Betroffenheit bis zu PHP 5.4 zurück. Diese
Version erschien im März 2012 und ist damit mehr als 14 Jahre alt. Auch neuere,
bislang ungepatchte Installationen sind betroffen. Das Alter der Fehler
verdeutlicht ihre lange Vorgeschichte, ist jedoch kein Beleg dafür, dass sie
bereits seit damals ausgenutzt wurden.
Der DFV empfiehlt folgende Sofortmaßnahmen:
* Betroffenheit feststellen: IT-Verantwortliche und Dienstleister müssen prüfen,
wo PHP eingesetzt wird. Einzubeziehen sind Internetauftritte, Bürgerportale,
interne Webanwendungen, Verwaltungsoberflächen und Fremdsysteme. Hosting- und
Softwareanbieter sollten die Betroffenheit und den Stand der Absicherung konkret
bestätigen.
* Sicherheitsupdates unverzüglich einspielen: Öffentlich erreichbare Anwendungen
haben höchste Priorität. Nach der Aktualisierung müssen die tatsächlich
eingesetzte PHP-Version und die Funktionsfähigkeit der Dienste überprüft werden.
Für veraltete Systeme ist mit dem Anbieter eine unterstützte und abgesicherte
Lösung herzustellen.
* Gefährdete Dienste gezielt vom Netz nehmen: Kann eine betroffene Anwendung
nicht umgehend aktualisiert werden, sollte ihre öffentliche Erreichbarkeit
vorsorglich unterbunden werden. Zusätzliche Schutzfilter können Risiken
reduzieren, ersetzen aber keine vollständige Behebung der Schwachstellen.
* Notrufversorgung und Einsatzfähigkeit gewährleisten: Maßnahmen an
einsatzkritischen Systemen müssen mit Leitstellenleitung, IT-Betrieb und
Herstellern abgestimmt werden. Vor einer erforderlichen Außerbetriebnahme sind
technische Abhängigkeiten zu prüfen und geeignete Rückfallebenen oder
Ersatzverfahren zu aktivieren. Eine pauschale Abschaltung der Leitstellen-IT
wird nicht empfohlen. Notrufannahme, Alarmierung und Einsatzkommunikation müssen
sichergestellt bleiben.
* Hinweise auf Angriffe untersuchen: Ungewöhnliche Zugriffe, unerklärliche
Systemfehler und Veränderungen an Anwendungen sollten fachkundig geprüft werden.
Bei Verdacht auf einen Sicherheitsvorfall sind Beweismittel zu sichern und die
zuständigen Stellen zur IT-Vorfallbearbeitung einzubeziehen. Ein
Sicherheitsupdate allein beseitigt keine bereits erfolgte Kompromittierung.
* Beschäftigte und Bevölkerung informieren: Bei Einschränkungen digitaler
Angebote sind sichere alternative Kontaktwege bekannt zu machen. Beschäftigte
und Partnerorganisationen müssen über betroffene Dienste und geltende
Ersatzverfahren informiert werden.
Die Experten des DFV Andreas Fick und Dr. Alexander Beck appellieren an die
Verantwortlichen, die Prüfung und Absicherung mit höchster Priorität zu
veranlassen. Ziel ist, Angriffswege schnell zu schließen, sensible Daten zu
schützen und die Handlungsfähigkeit der Gefahrenabwehr jederzeit
aufrechtzuerhalten.
Pressekontakt:
Deutscher Feuerwehrverband e. V. (DFV)
Presse- und Öffentlichkeitsarbeit
Silvia Oestreicher
Telefon: 030-28 88 48 823
E-Mail: oestreicher@dfv.org
Facebook: www.facebook.de/112willkommen
Hinweis aus gegebenem Anlass: feuerwehrverband.de ist offline
Weiteres Material: http://presseportal.de/pm/50093/6375676
OTS: Deutscher Feuerwehrverband e. V. (DFV)
|
