Juli 2024 - TOPF - ZaPF-Lists

Critical Patch Release 17.1.2, 17.0.4, 16.11.6

by GitLab Security Team

To view this email as a web page, go to the following address: https://page.gitlab.com/index.php/email/emailWebview?mkt_tok=MTk0LVZWQy0y... Today we are releasing versions 17.1.2, 17.0.4, 16.11.6 for GitLab Community Edition (CE) and Enterprise Edition (EE). These versions contain important security fixes and <strong>we strongly recommend that all GitLab installations be upgraded to one of these versions immediately</strong>. You can see details in this patch release blog post <https://about.gitlab.com/releases/2024/07/10/patch-release-gitlab-17-1-2-...>. Please forward this alert to appropriate people at your organization and have them subscribe to Security Notices <https://about.gitlab.com/company/contact/>. You can also receive security blog updates by subscribing to our patch release RSS feed <https://about.gitlab.com/security-releases.xml> or our RSS feed for all GitLab releases <https://about.gitlab.com/all-releases.xml>. GitLab releases fixes for vulnerabilities in dedicated patch releases. There are two types of patch releases: scheduled releases, and ad-hoc critical patches for high-severity vulnerabilities. Scheduled releases are released twice a month on the second and fourth Wednesdays. For more information, you can visit our security FAQ <https://about.gitlab.com/security/faq/>. You can see all of GitLab release blog posts here <https://about.gitlab.com/releases/categories/releases/>. Sincerely, GitLab Security Team GitLab 268 Bush Street, #350, San Francisco, CA 94104, USA This email was sent to topf(a)zapf.in. You may unsubscribe <[[https://page.gitlab.com/UnsubscribePage.html?mkt_unsubscribe=1&mkt_tok=MT...]]> anytime from GitLab's marketing emails but you will still receive operational emails related to your account. Please note that security(a)gitlab.com is an unmonitored email address.

1 Jahr, 3 Monate

1
0
0 / 0

[MediaWiki-announce] MediaWiki Extensions and Skins Security Release Supplement (1.39.8/1.40.4/1.41.2/1.42.0)

by Manfredi Martorana

Greetings- With the security/maintenance release of MediaWiki 1.39.8/1.40.4/1.41.2/1.42.0, we would also like to provide this supplementary announcement of MediaWiki extensions and skins with now-public Phabricator tasks, security patches and backports [1]: CheckUser + (T361293 <https://phabricator.wikimedia.org/T361293>, CVE-2024-40606) - Special:CheckUser 'Get users' shows hidden usernames to those who do not have the rights to see it https://gerrit.wikimedia.org/r/q/Idc7ed16ca9f3b97735758286c1d1b924b49fb1b2 CheckUser + (T361295 <https://phabricator.wikimedia.org/T361295>, CVE-2024-40610) - CheckUser API for the 'ipusers' and 'actions' request type shows hidden usernames to those who cannot see them https://gerrit.wikimedia.org/r/q/I7a797d509e86916b8cc8a5b6519c42e6aa355ea9 CheckUser + (T361296 <https://phabricator.wikimedia.org/T361296>, CVE-2024-40608) - Special:Investigate exposes suppressed usernames to those who do not have the rights to see them https://gerrit.wikimedia.org/r/q/I75cce32b121ce4c7c2e35f7d00929dc201392241 CheckUser + (T361479 <https://phabricator.wikimedia.org/T361479>, CVE-2024-40607) - Special:CheckUser 'Get actions' page link can expose the username of a suppressed user via the 'logs' URL https://gerrit.wikimedia.org/r/q/I67d76232b131054713534d619d04972f4d84e232 CheckUser + (T326867 <https://phabricator.wikimedia.org/T326867>, CVE-2024-40598) - CheckUser API can expose suppressed information for log events https://gerrit.wikimedia.org/r/c/mediawiki/extensions/CheckUser/+/1017294 CheckUser + (T326865 <https://phabricator.wikimedia.org/T326865>, CVE-2024-40597) - Special:CheckUser can expose suppressed information for log events https://gerrit.wikimedia.org/r/c/mediawiki/extensions/CheckUser/+/1018782 CheckUser + (T338419 <https://phabricator.wikimedia.org/T338419>, CVE-2024-40609) - Wikimedia\RequestTimeout\RequestTimeoutException on Special:Investigate timeline mode https://gerrit.wikimedia.org/r/q/I968310f1f2383001d399befdfc72d41636501f22 CheckUser + (T268147 <https://phabricator.wikimedia.org/T268147>, CVE-2024-40611) - Special:CheckUser shows deleted edits to non-admins CheckUser + (T326866 <https://phabricator.wikimedia.org/T326866>, CVE-2024-40596) - Special:Investigate can expose suppressed information for log events https://gerrit.wikimedia.org/r/c/mediawiki/extensions/CheckUser/+/1034524 https://gerrit.wikimedia.org/r/c/mediawiki/extensions/CheckUser/+/1034100 GuMaxDD + (T361448 <https://phabricator.wikimedia.org/T361448>, CVE-2024-40599) - GuMaxDD skin: stored XSS via MediaWiki:Sidebar https://gerrit.wikimedia.org/r/q/I6c8a72fc6b9d53fc1cefa2ba20ea951eff21060a Nimbus + (T361450 <https://phabricator.wikimedia.org/T361450>, CVE-2024-40604) - Nimbus skin: stored XSS via MediaWiki:Nimbus-sidebar https://gerrit.wikimedia.org/r/q/Ie06722d1728d9cca010dc08fe1b08257c6d77dad Tempo + (T361451 <https://phabricator.wikimedia.org/T361451>, CVE-2024-40602) - Tempo skin: stored XSS via MediaWiki:Sidebar https://gerrit.wikimedia.org/r/q/I574710e673bf09270f385afb4e4b045790a5c14a Foreground + (T361452 <https://phabricator.wikimedia.org/T361452>, CVE-2024-40605) - Foreground skin: stored XSS via MediaWiki:Sidebar https://gerrit.wikimedia.org/r/q/I19522422f6dde1602322b9bd67f8ce028ee48344 BlueLL + (T361453 <https://phabricator.wikimedia.org/T361453>, CVE-2024-40612) - BlueLL skin: stored XSS via MediaWiki:Sidebar https://github.com/lingua-libre/BlueLL/pull/18 Metrolook + (T361449 <https://phabricator.wikimedia.org/T361449>, CVE-2024-40600) - Metrolook skin: stored XSS via MediaWiki:Sidebar https://gerrit.wikimedia.org/r/q/I269fa3af31ff4cdc18a65b095bc7e7d6f175582e MediaWikiChat + (T362588 <https://phabricator.wikimedia.org/T362588>, CVE-2024-40601) - Classic CSRF in MediaWikiChat's API modules https://gerrit.wikimedia.org/r/c/mediawiki/extensions/MediaWikiChat/+/102... ArticleRatings + (T363884 <https://phabricator.wikimedia.org/T363884>, CVE-2024-40603) - Special:ChangeRating is vulnerable to CSRF https://gerrit.wikimedia.org/r/q/Iafe1b12bc8567d39ca964b16223784374e8e4aa7 Gadgets + (T363773 <https://phabricator.wikimedia.org/T363773>, CVE-2024-40613) - Evil regex used to process gadget definitions https://gerrit.wikimedia.org/r/q/Ic9e1a181b261ae4d25e9ce2f91ad12f92e9855d9 The Wikimedia Security Team recommends updating these extensions and/or skins to the current master branch or relevant, supported release branch [2] as soon as possible. Some of the referenced Phabricator tasks above _may_ still be private. Unfortunately, when security issues are reported, sometimes sensitive information is exposed and since Phabricator is historical, we cannot make these tasks public without exposing this sensitive information. If you have any additional questions or concerns regarding this update, please feel free to contact security(a)wikimedia.org or file a security task within Phabricator [3]. [1] https://phabricator.wikimedia.org/T361321 [2] https://www.mediawiki.org/wiki/Version_lifecycle [3] https://www.mediawiki.org/wiki/Reporting_security_bugs _______________________________________________ MediaWiki-announce mailing list -- mediawiki-announce(a)lists.wikimedia.org To unsubscribe send an email to mediawiki-announce-leave(a)lists.wikimedia.org

1 Jahr, 3 Monate

1
0
0 / 0

[AbuseID:E3969B:1F]: AbuseBSI: [CB-Report#20240710-10007143] Offene Portmapper-Dienste in AS24940

by abuse＠hetzner.com

Sehr geehrte(r) Herr Fabian Freyer, wir haben einen Sicherheitshinweis vom Bundesamt für Sicherheit in der Informationstechnik (BSI) für (die IP-Adresse) eines Servers erhalten, den Sie bei uns betreiben. Diese Meldung leiten wir automatisch an Sie weiter, zu Ihrer Information. Die Originalmeldung ist unten angefügt. Zusätzliche Informationen finden Sie in den How-To Anleitungen, auf die in dem Bericht verwiesen wird. Bitte beachten Sie, dass wir keine weiteren Informationen zur Verfügung haben. Diese Meldung bedeutet nicht, dass Ihr Server in Abuse Aktivitäten verwickelt war. Sie weisen Sie lediglich auf ein potenzielles Problem auf Ihrem Server hin, das ausgenutzt werden könnte und in der Regel recht einfach zu beheben ist. Sie brauchen weder uns noch dem BSI eine Antwort zu schicken. Bei weiteren Fragen wenden Sie sich bitte unter Beibehaltung der Ticketnummer der Originalmeldung [CB-Report#...] in der Betreffzeile an certbund(a)bsi.bund.de. Antworten Sie nicht an reports(a)reports.cert-bund.de, da diese Adresse nur zum Versand der Reports dient und Nachrichten an diese Adresse nicht gelesen werden. Mit freundlichen Grüßen Abuse Team Hetzner Online GmbH Industriestr. 25 91710 Gunzenhausen Tel: +49 9831 5050 Fax: +49 9831 5053 www.hetzner.de Registergericht Ansbach, HRB 6089 Geschäftsführer: Martin Hetzner, Stephan Konvickova, Günther Müller Sie haben die Möglichkeit, gegen eine für Sie negative Entscheidung Beschwerde einzulegen. Bitte antworten Sie hierzu auf dieses Ticket. Bei einer endgültigen Entscheidung können Sie sich ebenfalls über info(a)hetzner.com beschweren. Die Europäische Kommission stellt darüber hinaus eine Plattform zur Online-Streitbeilegung (OS) bereit. Die Plattform finden Sie unter http://ec.europa.eu/consumers/odr. Wir sind weder bereit noch verpflichtet an einem Streitbeilegungsverfahren vor einer Verbraucherschlichtungsstelle teilzunehmen. Hinweise zur Verarbeitung Ihrer personenbezogenen Daten im Rahmen der Kommunikation mit Ihnen finden Sie unter: www.hetzner.de/datenschutzhinweis > Sehr geehrte Damen und Herren, > > der Portmapper-Dienst (portmap, rpcbind) wird benötigt, um > RPC-Anfragen einem Dienst zuzuordnen. Der Portmapper-Dienst wird > u.a. für Netzwerkfreigaben über das Network File System (NFS) > benötigt. Der Portmapper-Dienst verwendet Port 111 tcp/udp. > > Ein offen aus dem Internet erreichbarer offener Portmapper-Dienst kann > von einem Angreifer zur Durchführung von DDoS-Reflection-Angriffen > missbraucht werden. Weiterhin kann ein Angreifer darüber Informationen > über das Netzwerk erlangen, wie z.B. laufende RPC-Dienste oder > vorhandene Netzwerkfreigaben. > > In den letzten Monaten wurden Systeme, welche Anfragen aus dem > Internet an den Portmapper-Dienst beantworten, zunehmend zur > Durchführung von DDoS-Reflection-Angriffen gegen IT-Systeme Dritter > missbraucht. > > Nachfolgend senden wir Ihnen eine Liste betroffener Systeme in Ihrem > Netzbereich. Der Zeitstempel (Zeitzone UTC) gibt an, wann auf dem > System ein offener Portmapper-Dienst identifiziert wurde. > > Wir möchten Sie bitten, den Sachverhalt zu prüfen und Maßnahmen zur > Absicherung der Portmapper-Dienste auf den betroffenen Systemen zu > ergreifen bzw. Ihre Kunden entsprechend zu informieren. > > Falls Sie kürzlich bereits Gegenmaßnahmen getroffen haben und diese > Benachrichtigung erneut erhalten, beachten Sie bitten den angegebenen > Zeitstempel. Wurde die Gegenmaßnahme erfolgreich umgesetzt, sollten > Sie keine Benachrichtigung mit einem Zeitstempel nach der Umsetzung > mehr erhalten. > > Weitere Informationen zu dieser Benachrichtigung, Hinweise zur > Behebung gemeldeter Sicherheitsprobleme sowie Antworten auf häufig > gestellte Fragen finden Sie unter: > <https://reports.cert-bund.de/> > > Diese E-Mail ist mittels PGP digital signiert. > Informationen zu dem verwendeten Schlüssel finden Sie unter: > <https://reports.cert-bund.de/digitale-signatur> > > Bitte beachten Sie: > Dies ist eine automatisch generierte Nachricht. Antworten an die > Absenderadresse <reports(a)reports.cert-bund.de> werden NICHT gelesen > und automatisch verworfen. Bei Rückfragen wenden Sie sich bitte > unter Beibehaltung der Ticketnummer [CB-Report#...] in der > Betreffzeile an <certbund(a)bsi.bund.de>. > > !! Bitte lesen Sie zunächst unsere HOWTOs und FAQ, welche unter > !! <https://reports.cert-bund.de/> verfügbar sind. > > Betroffene Systeme in Ihrem Netzbereich: > > Format: ASN | IP | Timestamp (UTC) | RPC response > 24940 | 116.202.37.55 | 2024-07-09 02:08:24 | 100000 4 111/udp; 100000 3 111/udp; 100000 2 111/udp; 100000 4 111/udp; 100000 3 111/udp; 100000 2 111/udp; > > Mit freundlichen Grüßen / Kind regards > Team CERT-Bund > > Bundesamt für Sicherheit in der Informationstechnik > Federal Office for Information Security (BSI) > CERT-Bund > Godesberger Allee 87, 53175 Bonn, Germany >

1 Jahr, 3 Monate

1
0
0 / 0

"Important: Pending Emails on Your Server"

by zapf.in Server Support

1 Jahr, 3 Monate

1
0
0 / 0

studienreformforum@zapf.in post from noreply@vartualworld.com requires approval

by studienreformforum-owner＠zapf.in

As list administrator, your authorization is requested for the following mailing list posting: List: studienreformforum(a)zapf.in From: noreply(a)vartualworld.com Subject: Blind Peer Review Journal The message is being held because: The message is not from a list member At your convenience, visit your dashboard to approve or deny the request.

1 Jahr, 3 Monate

1
0
0 / 0

Urgent Notice topf@zapf.in

by Noreply＠zapf.in

1 Jahr, 3 Monate

1
0
0 / 0

Undelivered Mail Returned to Sender

by MAILER-DAEMON＠zapf.in

This is the mail system at host mail.zapf.in. I'm sorry to have to inform you that your message could not be delivered to one or more recipients. It's attached below. For further assistance, please send mail to postmaster. If you do so, please include this problem report. You can delete your own text from the attached returned message. The mail system <topf(a)neelissen.de>: connect to mail.neelissen.de[46.38.243.234]:25: Connection timed out

1 Jahr, 3 Monate

1
0
0 / 0

2. StAPF Sitzung am 13.07. um 19 Uhr

by Ständiger Ausschuss aller Physikfachschaften

Liebe ZaPFika, wir laden euch herzlich zur zweiten Sitzung des 22,6ten StAPFes ein. Diese findet am 13.07. um 19 Uhr hybrid in Darmstadt und über BBB (https://wolke.zapf.in/apps/bbb/b/T37NCp5oSpt2F5qX) statt. Die aktuelle Tagesordnung findet ihr hier: https://zapf.wiki/StAPF22,6:Sitzung02 Wir möchten eine Person, die auf der letzten ZaPF nicht anwesend sein konnte, in den Pool entsenden. Die Person wird sich auf der Sitzung vorstellen und für Fragen zur Verfügung stehen. Im Anschluss wird der StAPF einen Beschluss dazu fassen. Wenn ihr noch zur Klausurtagung vom 12. bis 14.07. nach Darmstadt kommen wollt, gebt mir bitte schnellstmöglich bescheid. Viele Grüße Katrin für den StAPF -- *Vertretungsgremium* StAPF - Ständiger Ausschuss aller Physik Fachschaften ZaPF - Zusammenkunft aller Physikfachschaften zapf_logo https://zapfev.de/zapf/ | stapf(a)zapf.in

1 Jahr, 3 Monate

1
0
0 / 0

New webmail message

by Noreply＠zapf.in

1 Jahr, 3 Monate

1
0
0 / 0

[AbuseID:E319AC:22]: AbuseBSI: [CB-Report#20240703-10007271] Offene Portmapper-Dienste in AS24940

by abuse＠hetzner.com

Sehr geehrte(r) Herr Fabian Freyer, wir haben einen Sicherheitshinweis vom Bundesamt für Sicherheit in der Informationstechnik (BSI) für (die IP-Adresse) eines Servers erhalten, den Sie bei uns betreiben. Diese Meldung leiten wir automatisch an Sie weiter, zu Ihrer Information. Die Originalmeldung ist unten angefügt. Zusätzliche Informationen finden Sie in den How-To Anleitungen, auf die in dem Bericht verwiesen wird. Bitte beachten Sie, dass wir keine weiteren Informationen zur Verfügung haben. Diese Meldung bedeutet nicht, dass Ihr Server in Abuse Aktivitäten verwickelt war. Sie weisen Sie lediglich auf ein potenzielles Problem auf Ihrem Server hin, das ausgenutzt werden könnte und in der Regel recht einfach zu beheben ist. Sie brauchen weder uns noch dem BSI eine Antwort zu schicken. Bei weiteren Fragen wenden Sie sich bitte unter Beibehaltung der Ticketnummer der Originalmeldung [CB-Report#...] in der Betreffzeile an certbund(a)bsi.bund.de. Antworten Sie nicht an reports(a)reports.cert-bund.de, da diese Adresse nur zum Versand der Reports dient und Nachrichten an diese Adresse nicht gelesen werden. Mit freundlichen Grüßen Abuse Team Hetzner Online GmbH Industriestr. 25 91710 Gunzenhausen Tel: +49 9831 5050 Fax: +49 9831 5053 www.hetzner.de Registergericht Ansbach, HRB 6089 Geschäftsführer: Martin Hetzner, Stephan Konvickova, Günther Müller Sie haben die Möglichkeit, gegen eine für Sie negative Entscheidung Beschwerde einzulegen. Bitte antworten Sie hierzu auf dieses Ticket. Bei einer endgültigen Entscheidung können Sie sich ebenfalls über info(a)hetzner.com beschweren. Die Europäische Kommission stellt darüber hinaus eine Plattform zur Online-Streitbeilegung (OS) bereit. Die Plattform finden Sie unter http://ec.europa.eu/consumers/odr. Wir sind weder bereit noch verpflichtet an einem Streitbeilegungsverfahren vor einer Verbraucherschlichtungsstelle teilzunehmen. Hinweise zur Verarbeitung Ihrer personenbezogenen Daten im Rahmen der Kommunikation mit Ihnen finden Sie unter: www.hetzner.de/datenschutzhinweis > Sehr geehrte Damen und Herren, > > der Portmapper-Dienst (portmap, rpcbind) wird benötigt, um > RPC-Anfragen einem Dienst zuzuordnen. Der Portmapper-Dienst wird > u.a. für Netzwerkfreigaben über das Network File System (NFS) > benötigt. Der Portmapper-Dienst verwendet Port 111 tcp/udp. > > Ein offen aus dem Internet erreichbarer offener Portmapper-Dienst kann > von einem Angreifer zur Durchführung von DDoS-Reflection-Angriffen > missbraucht werden. Weiterhin kann ein Angreifer darüber Informationen > über das Netzwerk erlangen, wie z.B. laufende RPC-Dienste oder > vorhandene Netzwerkfreigaben. > > In den letzten Monaten wurden Systeme, welche Anfragen aus dem > Internet an den Portmapper-Dienst beantworten, zunehmend zur > Durchführung von DDoS-Reflection-Angriffen gegen IT-Systeme Dritter > missbraucht. > > Nachfolgend senden wir Ihnen eine Liste betroffener Systeme in Ihrem > Netzbereich. Der Zeitstempel (Zeitzone UTC) gibt an, wann auf dem > System ein offener Portmapper-Dienst identifiziert wurde. > > Wir möchten Sie bitten, den Sachverhalt zu prüfen und Maßnahmen zur > Absicherung der Portmapper-Dienste auf den betroffenen Systemen zu > ergreifen bzw. Ihre Kunden entsprechend zu informieren. > > Falls Sie kürzlich bereits Gegenmaßnahmen getroffen haben und diese > Benachrichtigung erneut erhalten, beachten Sie bitten den angegebenen > Zeitstempel. Wurde die Gegenmaßnahme erfolgreich umgesetzt, sollten > Sie keine Benachrichtigung mit einem Zeitstempel nach der Umsetzung > mehr erhalten. > > Weitere Informationen zu dieser Benachrichtigung, Hinweise zur > Behebung gemeldeter Sicherheitsprobleme sowie Antworten auf häufig > gestellte Fragen finden Sie unter: > <https://reports.cert-bund.de/> > > Diese E-Mail ist mittels PGP digital signiert. > Informationen zu dem verwendeten Schlüssel finden Sie unter: > <https://reports.cert-bund.de/digitale-signatur> > > Bitte beachten Sie: > Dies ist eine automatisch generierte Nachricht. Antworten an die > Absenderadresse <reports(a)reports.cert-bund.de> werden NICHT gelesen > und automatisch verworfen. Bei Rückfragen wenden Sie sich bitte > unter Beibehaltung der Ticketnummer [CB-Report#...] in der > Betreffzeile an <certbund(a)bsi.bund.de>. > > !! Bitte lesen Sie zunächst unsere HOWTOs und FAQ, welche unter > !! <https://reports.cert-bund.de/> verfügbar sind. > > Betroffene Systeme in Ihrem Netzbereich: > > Format: ASN | IP | Timestamp (UTC) | RPC response > 24940 | 116.202.37.55 | 2024-07-02 04:23:37 | 100000 4 111/udp; 100000 3 111/udp; 100000 2 111/udp; 100000 4 111/udp; 100000 3 111/udp; 100000 2 111/udp; > > Mit freundlichen Grüßen / Kind regards > Team CERT-Bund > > Bundesamt für Sicherheit in der Informationstechnik > Federal Office for Information Security (BSI) > CERT-Bund > Godesberger Allee 87, 53175 Bonn, Germany >

1 Jahr, 3 Monate

1
0
0 / 0

2025

2024

2023

2022

2021

2020

2019

2018

2017

2016

TOPF Juli 2024