Wochennotiz 2025.02
Posted on So 12 Jänner 2025 in Blog
Das Jahr ist angelaufen. Woran man das merkt? Die erste Dienstreise liegt bereits hinter mir. Dienstreisen machen das Leben nicht unbedingt angenehmer. Sieht man auch sehr gut an den Parametern, die meine Uhr misst.
Inhaltlich sieht man auch, es geht brav weiter mit Data Leaks. Und es geht weiter mit Problemen bei Herstellern von "Sicherheitssoftware". Diese Woche Ivanti.
Zusätzlich gibt es einige Neuveröffentlichungen von Tools im Postgres-Umfeld.
Inhalt:
Postgres und die Datenwelt
Transparent Data Encryption in Community Postgres
Bei Percona berichtet man von der Veröffentlichung der Beta-Version ihrer TDE-Lösung. Bisher waren Indexes von der Verschlüsselung ausgenommen. Das hat sich mit der Beta-Version geändert. Dafür versucht man auch zwei Patches zu committen, damit es auch in Standard-Postgrs funktioniert. Your Data’s Not Safe Until It’s TDE-Safe — Here’s How.
Effiziente Nutzung der http-Extension
Paul Ramsey von Crunchy Data hat wieder einmal einen sehr lesenswerten Beitrag geschrieben.
Es geht um seine http extension und wie man diese zeiteffizient einsetzen kann.
An einem Geocoding-Beispiel zeigt er, wie man Procedures
und pg_cron
in Kombination nutzen kann, um die Abfragen möglichst effizient zu gestalten.
Running an Async Web Query Queue with Procedures and pg_cron.
Service-Namen in psql ausgeben lassen
Depesz berichtet in seiner Waiting for PostgreSQL 18
-Serie von einem neuen Patch für psql
.
Vor einiger Zeit habe ich schon über Service-Files einen kurzen Beitrag geschrieben und in diesem Bereich setzt der Patch an.
Man hat jetzt die Möglichkeit in psql
sich den Namen des Services, mit dem verbunden ist, ausgeben zu lassen:
\echo :SERVICE
Waiting for PostgreSQL 18 – psql: Add more information about service name
Postgres Release Monitor
- powa-archivist 5.0.1 is out!
- pgspot 0.9.0 released
- PostgreSQL Anonymizer 2.0: Better, Faster, Safer
- pg_partman 5.2.4 released
- SQLPage v0.32: build web apps in SQL, now with more style !
Security und Privacy
Weltweiter Ausfall bei Proton
Proton hatte diese Woche einen massiven Ausfall der eigenen Dienste. Ursache soll eine Umstellung auf Kubernetes sein, berichtet Sergiu Gatlan bei Bleeping Computer:
While Proton would have had enough extra capacity to handle all the new connections, an ongoing migration to Kubernetes, which required running "two parallel infrastructures at the same time," made it impossible to balance the load.
Proton worldwide outage caused by Kubernetes migration, software change.
Sicherheitsprobleme bei Ivanti-Produkten
Diese Woche gibt es Warnungen vor Angriffen auf Ivanti Secure Connect-Systeme. Hier wird offensichtlich eine Sicherheitslücke in der VPN-Software Ivanti Connect Secure ausgenutzt. Bei Heise wird über die Lücke berichtet:
In einer Sicherheitsmitteilung erörtert Ivanti Details zu den Schwachstellen. Angriffe hat das Unternehmen auf einen Stack-basierten Pufferüberlauf entdeckt, der den bösartigen Akteuren ohne vorherige Anmeldung das Einschleusen und Ausführen von Schadcode ermöglicht (CVE-2025-0282, CVSS 9.0, Risiko "kritisch").
Jonathan Greig von The Record schreibt noch über einen Beitrag von Mandiant, dass diese festgestellt haben, die Lücke wird sehr stark von chinesischen APTs ausgenutzt. Chinese spies targeting new Ivanti vulnerability, Mandiant says.
Researcher bekommt 100.000 Dollar von Facebooks Bug-Bounty-Programm
Lorenzo Franceschi-Bicchierai berichtet bei TechCrunch von einem Researcher und einer schwerwiegenden Lücke, die er gefunden hat.
In October 2024, security researcher Ben Sadeghipour was analyzing Facebook’s ad platform when he found a security vulnerability that allowed him to run commands on the internal Facebook server housing that platform, essentially giving him control of the server.
Facebook hat ihm immerhin 100.000 Dollar über ihr Bug-Bounty-Programm zukommen lassen.
Facebook awards researcher $100,000 for finding bug that granted internal access
Einblicke in Wi-Fi 7
Bei Cloudi-Fi gibt es Einblicke zu Wi-Fi 7. Der Weg zu Wi-Fi 7 führt auch über Wi-Fi 6E, wo bereits das 6GHz Frequenzbereich mitbenutzt wird.
For guest connectivity, the Wi-Fi 6E spectrum allows for creating separate, high-speed guest networks that do not interfere with the leading corporate network. This ensures that guest devices do not impact the performance of critical business operations.
Und auch WPA3, das unter anderem Forward Secrecy unterstützt.
The Future of Wi-Fi Networks: Enhancing Guest and BYOD Connectivity
4.000 ausgelaufene Backdoor-Domains registriert
Bill Toulas berichtet bei Bleeping Computer davon, dass die The Shadowserver Foundation
und WatchTowr Labs
diese Domains übernommen haben, um die Kontrolle über die Backdoors zu übernehmen.
Over 4,000 abandoned but still active web backdoors were hijacked and their communication infrastructure sinkholed after researchers registered expired domains used for commanding them.
Some of the live malware (web shells) was deployed on web servers of high-profile targets, including government and university systems, ready to execute commands from anyone who took control of the communication domains.
Over 4,000 backdoors hijacked by registering expired domains
Data breach ticker
- Wegen Fehler konnten alle auf Kennzeichen-Scanner der Polizei zugreifen
- Casio warns employees, customers about data leak from October ransomware attack
- Data of more than 8,500 customers breached on Green Bay Packers shopping website
- PowerSchool hack exposes student, teacher data from K-12 districts
- Telefónica confirms internal ticketing system breach after data leak
- Medical billing firm Medusind discloses breach affecting 360,000 people
AI
Open Source Reasoning Modell
Kyle Wiggers von TechCrunch berichtet, es gibt jetzt ein Open Source reasoning Modell:
On Friday, NovaSky, a team of researchers based out of UC Berkeley’s Sky Computing Lab, released Sky-T1-32B-Preview, a reasoning model that’s competitive with an earlier version of OpenAI’s o1 on a number of key benchmarks.
Es wurden sowohl die Daten, als auch der Code veröffentlicht, mit dem das Modell trainiert worden ist. Researchers open source Sky-T1, a ‘reasoning’ AI model that can be trained for less than $450
Diverses
Die Aufregung steigt schon beim Lesen. Der Bau des Nancy Grace Roman Space Telescope liegt im Zeitplan und erreicht laut Heise einen Meilenstein, da es mit seinem Raumschiff verbunden wurde. In einem nächsten Schritt werden alle Funktionen getestet und ob sie im Zusammenspiel mit dem Raumschiff auch funktionieren. Voll im Zeitplan: Nächstes großes NASA-Weltraumteleskop absolviert Meilenstein