Bug

Bug a zlib-ben

 ( trey | 2002. március 12., kedd - 8:40 )

A CNET jelentése szerint ``buffer overflow" hibát találtak a linuxos zlib programban, amelyet hálózati tömörítéshez használunk (network compression). A dolog azért nem szerencsés, mert számos hálózatos program dependel rá, használja. Ilyenek pl. a mozilla, X11 és más programok (ha jól rémlik az ssh is?). Ezek a programok könnyen puffer túlcsorulás áldozatai lehetnek.

A Debian, SuSE, Red Hat már bejelentette a hibát...

DSA 121-1 - xtell buffer overflow

 ( szogi | 2002. március 11., hétfő - 21:43 )




Csomag: xtell
Támadhatóság: buffer overflow, symlink probléma
Probléma típus: távoli
Debian-specifikus: nem

Bővebb információ a DSA 121-es hibajelentésben.


A frissítés mikéntjéről bővebb információt találsz a FAQ-ban.

DSA-120-1

 ( gyu | 2002. március 11., hétfő - 10:56 )

Csomag: libapache-mod-ssl, apache-ssl

Támadhatóság: puffer-túlcsordulás

Probléma típus: távoli

Debian specifikus: nem



A hibáról a DSA-120-1 jelentésben olvashatsz.

A frissítésről a FAQ idevonatkozó fejezetét olvasd el.

DSA 119-1: ssh channel bug

 ( trey | 2002. március 9., szombat - 12:52 )

Csomag: openssh
Sebezhetőség: local root exploit, távoli kliens exploit
Debian-specikus: nem

Joost Pol bejelentette, hogy az OpenSSH a 2.0 verziótól a 3.0.2 verzióig bugot tartalmaz a csatorna allokációs kódban. Ezt kihasználva az autentikált lokális felhasználó root jogokhoz juthat, és a távoli felhasználó rosszszándékú támadást intézhet a szerver ellen.

A Debian 2.2 (potato) az OpenSSH (az "ssh" csomag) 1.2.3 verzióját tartalmazza, ez nem sebezhető, így frissítés nem szükséges.

A Debian Woody felhasználóknak viszont legalább a 3.0.2p1-8 patchlet verziót kell használniuk. A debian archivok már ez a verziót tartalmazzák.

A frissítés mikéntjéről lásd a FAQ idevonatkozó részét.

A hiba eredeti leírását a DSA-119-1 hibajelentésben találod meg.

OpenSSH root exploit

 ( bra | 2002. március 7., csütörtök - 21:50 )

Hibát talált az OpenSSH-ban Joost Pol. Az általa kiadott közlemény erről itt olvasható. A hiba az OpenBSD-ben három napja, a FreeBSD-ben tegnap lett javítva. A Debian még nem adott ki hibajegyet.

A javított verzió az OpenSSH 3.1-es, ajánlott mindenkinek erre a verzióra frissíteni. A hiba javítása igen könnyű, lásd az OpenBSD CVS-ében történt változtatást.

DSA 118-1

 ( trey | 2002. március 6., szerda - 8:30 )

Csomag : xsane

Sebezhetőség : nem biztonságos átmeneti fileok

Probléma-típus : helyi

Debian-specifikus : nem

Tim Waugh több nem biztonságos átmeneti filet talált az xsane programban, amelyet scannelésre használhatunk.

A problémát az 0.50-5.1 verzió javítja a debian stable disztribúciójában, és az 0.84-0.1 verzió az unstable/testing verziókban.

A frissítés mikéntjéről lásd a FAQ idevonatkozó részét.

A hiba eredeti leírását a DSA-118-1 hibajelentésben találod meg.

DSA-117-1

 ( gyu | 2002. március 5., kedd - 13:05 )

Csomag: cvs

Támadhatóság: nem megfelelő változó inicializálás

Probléma típus: távoli

Debian specifikus: nem



Ezúttal Kim Nielsen talált a CVS szerverében egy hibát amit a vuln-dev levelezési listára jelentett be. A problémát egy nem megfelelően inicializált globális változó okozza. A problémát kihasználó "felhasználó" megtörheti a szervert, és ezen keresztül a cvs pservert futtató távoli user id-hez is hozzáférhet. Még nem bizonyított, hogy a távoli user idt ezen keresztül meg lehetne törni.

DSA-116-1

 ( gyu | 2002. március 4., hétfő - 11:03 )

Csomag: cfs

Támadhatóság: puffer-túlcsordulás

Probléma-típus: távoli

Debian specifikus: nem



A Zorgon számos puffer-túlcsordolási hibát talált a cfsd-ben, ami egy olyan démon ami a Unix™ fájlrendszerek számára titkosítási szolgáltatásokat nyújt. Bár nem biztos, hogy ezekkel a hibákkal lehet olyan exploitot találni ami root-hozzáférést nyújt azon a gépen ami a cfs démont futtatja. Azonban a cfs démont könnyen térdre lehet vele készíteni, és így DoS típusú támadást előidézni.

DSA 115-1: új, javított PHP csomagok

 ( trey | 2002. március 3., vasárnap - 11:10 )

Csomag: php3, php4
Sebezhetőség: hiba az ellenőrző kódban és egyéb más
Probléma-típusa: távoli
Debian-specifikus: nem

Stefan Esser, aki a PHP csapat tagja, különböző hibákat talált abban a eljárásban, ahogy a PHP a ``multipart/form-data POST requests"-eket (POST file feltöltés) kezeli (RFC1867). Mindegyik hiba lehetővé teszi azt, hogy a támadó nem kivánatos kódot futtasson az áldozat gépén.

A PHP3, és a PHP4 csomagok is tartalmaznak hibát.

Azonnali frissítés javasolt.

A frissítéssel kapcsolatban olvas el ezt a FAQ-t.

Bővebb információ itt.

DSA-111-2

 ( gyu | 2002. február 28., csütörtök - 19:10 )




Csomag: ucd-snmp
Probléma-típus: ABI/API javítások az előző biztonsági folthoz
Debian specifikus: igen

Még alig száradtak meg a bitek az ucd-snmp javításán (2 hete), máris biztonsági frissítés jött ki hozzá. A probléma az, hogy az előző foltban a javításkor megváltoztatták az SNMP könyvtárat (library) így ennek következtében megesik, hogy néhány ezt használó alkalmazás nem működik.

A hiba leírását megtalálod a DSA-111-2 jelentésben.
A frissítésről lásd a FAQ idevontakozó részét.

PHP bug!

 ( Vudumen | 2002. február 27., szerda - 17:51 )

A PHP-ben új biztonsági rést találtak, mely a multipart/form-data típusú formoknál használható ki.



A PHP 3-as és 4-es verziói is érintettek, javasolt a mielőbbi frissítés a 4.1.2-re, vagy megpatchelni a 3.0.18, 4.0.6, 4.1.0, 4.1.1 verziókat.



Akik a CVS-ből elérhetõ 4.2.0-ás fejlesztői változatot használják, azok nem érintettek, mivel a kérdéses rész abban már teljesen újra van írva.



A hiba nem Debian specifikus.



- bõvebb infó a hibáról

- PHP HomePage, javítás, patch

Hiba a Squidben

 ( bra | 2002. február 21., csütörtök - 21:11 )

Három hibát is felfedeztek a Squid HTTP proxy cache programban. A biztonsági hiányosságok a Squid 2.4.STABLE3-as verzióig minden 2.x-es kiadást érintenek. A hibával kapcsolatos hivatalos bejelentést a program weblapján lehet megtalálni.

DSA-114-1

 ( gyu | 2002. február 21., csütörtök - 17:06 )




Csomag: gnujsp

Támadhatóság: ellenőrizhetetlen fájlhozzáférés

Probléma típusa: távoli

Debian-specifikus: nem

Thomas Springer egy hibát talált a gnujsp-ben. Ez egy java servlet, ami lehetőve teszi, hogy java kódot ágyazz a htmlbe. (Hasonlóan a php-hez). A probléma az, hogy a támadó, a webszerver ellenőrzési mechanizmusát megkerülve hozzáférhez a fájlokhoz, így pl. elolvashatja a servlet forrását is.

A hibát Stefan Gybas javította ki. Aki a Debianban levő gnujsp maintainere. A stabil kiadásban az 1.0.0-5 verzió tartalmazza a javítást.

A testing és unstable kiadásokban ugyanaz a verzió volt mint a stabilban, és ennélfogva szintén támadhatók. Így a javítást is ugyanaz a verzió tartalmazza.

A frissítésről lásd a FAQ idevonatkozó részét.

A hibáról lásd a DSA-114-1 hibajelentést.

Debian Security Advisory: ncurses (DSA 113-1)

 ( trey | 2002. február 19., kedd - 8:53 )

Csomag : ncurses

Támadhatóság : buffer overflow

Probléma típus : local

Debian-specifikus: no

Számos puffer túlcsordulási hibát fixáltak az ``ncurses" libekben 2000. novemberben, egy viszont kimaradt. Ez a hiba ahhoz vezet, hogy az ncurses applikációk összeomolhatnak ha nagyobb ablakokkal dolgozunk.

A hibát a stabil disztribúcióban a 5.0-6.0potato2 verzió javítja, míg a fejlesztői változatban az 5.2-es verzió nem tartalmazza a hibát.

A frissítés mikéntjéről lásd a FAQ ide vonatkozó részét.



A hibáról bővebben itt olvashatsz.

DSA-112-1

 ( gyu | 2002. február 18., hétfő - 12:03 )




Csomag: hanterm

Támadhatóság: Puffer-túlcsordulás

Probléma típus: helyi

Debian-specifikus: nem

Számos puffertúlcsordulási hibát találtak a hanterm nevű terminálemulátor programban, ami egy xterm származék, és amely koreai karakterek írását-olvasását is tudja.

A hiba lehetőséget ad arra, hogy a felhasználók az utmp csoport lehetőségeivel éljenek, és így az utmp és wtmp fájlokat módosítsák.

A hibát a stabil disztribúcióban a 3.3.1p17-5.2 verzió javítja, míg a fejlesztői változatban a 3.3.1p18-6.1 verzió.

A frissítés mikéntjéről lásd a FAQ ide vonatkozó részét.

A hibáról a DSA-112-1 hibajelentésben olvashatsz.

Debian Security Advisory: Multiple SNMP vulnerabilities

 ( trey | 2002. február 15., péntek - 0:19 )

Ahogy arról tegnap beszámoltunk, az Oulu University Biztonsági Programozó Csoportja hibát talált több gyártó, és operációs rendszer SNMP implementációjában. Ahogy az várható volt, sorra meg fognak jelenni a Linux disztribútorok is a saját hibajavításukkal. Ahogy az lenni szokott, a Debian (és a Caldera) ébredt legelőször.

Csomag neve: ucd-snmp

Probléma típus: remote exploit

Debian-specifikus: nem

CERT Advisory: CA-2002-03

A hibát kihasználva, távoli DoS (Denial of Service) támadás kezdeményezhető.

Debian Security Advisory: cupsys

 ( trey | 2002. február 13., szerda - 23:26 )

A CUPS (Common Unix Printing System) alkotói hibát találtak saját munkájukban. Egy potenciális buffer overflow hibát fedeztek fel a CUPS daemon kódjában.

A hiba az összes eddigi CUPS verziót érinti!!!

Mivel a hiba nem Debian specifikus, az összes disztribúció hibás csomagot tartalmazhat. A hiba típusa távoli (remote).

A stabil Debian disztribúcióban a 1.0.4-10-es verzió, a testing debian disztribúcióban pedig a 1.1.13-2-es verzió tartalmazza a javításokat.

Azonnali frissítés javasolt.

[DSA-109-1] faq-o-matic hiba

 ( gyu | 2002. február 13., szerda - 17:23 )

Csomag neve:faqomatic

Támadhatóság: Siteon keresztüli támadhatóság

Probléma típusa: távoli

Debian specifikus: nem

A program nem kódolja vissza a html kódot. Ennek következtében olyan adatok is belehelyezhetôk, amik segítségével pl. az adminisztrátor sütijeit (cookie) megszerezheti a gonosz támadó.

A siteok közti támadhatóság egy hibatípus amely pl. a fent említett módon Javascriptekkel lehetôvé teszi, hogy ilyen jellegű adatokat el lehessen csenni.

Hibák több gyártó SNMP implementációjában

 ( bra | 2002. február 13., szerda - 10:04 )

A hét elején kezdtek el szivárogni azok a levelek, amelyek alapján látszott, hogy az egyes SNMP implementációk környékén nincs valami rendben, most pedig megjelent erről a témáról egy CERT Advisory is.

Debian Security Advisory: uucp

 ( gyu | 2002. február 8., péntek - 14:08 )

Ezúttal Zenith Parsec talált biztonsági hibát a jólismert UUCP-ben.

A hiba támadhatósága: uid/gid hozzáférés

A hiba típusa: helyi és távoli

Leírás:

Helyi felhasználónak megengedi, hogy hozzáférjen olyan fájlhoz, amihez az uucp uid-nek van hozzáférése, és így teljesen tönkretegye a rendszert ólymódon, hogy fájlokat cserél ki.

Ha egy távoli felhasználó képes fájlokat létrehozni a rendszeren és van fogalma a helyi fájlstrutktúráról is, akkor szintén képes károkat okozni. Az alapértelmezett konfigban képes fájlokat létrehozni.

Részletek: DSA 079-2



A hiba nem Debian specifikus.

Debian Security Advisory: wmtv

 ( trey | 2002. február 8., péntek - 8:41 )

Nicolas Boullis biztonsági hibát talált a wmtv csomagban (egy dockolható video4linux TV lejátszó windowmakerhez) amely a Debian GNU/Linux 2.2-vel terjesztenek. A wmtv jelenlegi verziója a konfigurációs filet superuser jogokkal írja vissza, mindenféle további ellenőrzés nélkül.

Ezt a hibát kihasználva rossz szándékú felhasználó tönkeretehet fontos fileokat.

Ez a probléma javítva van a 0.6.5-2potato2 verzióban, a program eldobja a jogokat amint lehetséges és csak akkor veszi fel őket újra ha szükséges.

A hiba típusa symlink sebezhetőség, a hiba nem Debian specifikus.

Operációs rendszer hibák éves szintre lebontva

 ( trey | 2002. február 4., hétfő - 21:31 )

A SecurityFocus csinált egy felmérést, amelyben összeszedte a napjaink operációs rendszereinek hibáit. Nézem a táblázatot és csodálkozom. A felmérés szerint a Windows rendszerek jóval kevesebb hibát tartalmaznak, mint a Linux.

Operációs rendszer hibák éves szintre lebontva:

Debian Security Advisory: frissített rsync javítás

 ( trey | 2002. február 4., hétfő - 8:54 )

Múlt héten bejelentették a Debian-nál (nem csak ott), hogy hibás az rsync csomag. Megjelent hozzá a javítás is, de a jelek szerint nem sikerült a legjobban, mert itt van a javítás javítása. Azonnali fissítés javasolt.

Tehát újra: a hiba típusa remote exploit, nem debian specifikus (bővebben lásd.: DSA-106-1).

Az előzőleg kiadott fix sajnos nem javítja a problémát, de a mostani 2.3.2-1.5 remélhetőleg már igen.

rsync remote exploit [DSA-106-1]

 ( szogi | 2002. január 26., szombat - 17:01 )

Sebastian Krahmer talált egy bugot a népszerű fájlszinkronizáló rsync csomagban.
A hiba nem Debian specifikus. A javítás természetesen elkészült, a 2.3.2-1.3-as verzióban.

Letölthető többekközött forrásban és .deb csomagban i386-ra.



Kapcsolódó link:

http://www.debian.org/security/

Debian bugok, javítások: enscript, icecast

 ( Friczy | 2002. január 22., kedd - 20:09 )

Megnövekedett a bogárpopuláció :-} ezúttal az enscript nevű programban találtak hibát (az átmeneti file-okat nem biztonságosan készíti, ami nem egészséges egy kódolóprogramnál) (DSA-105-1).

Elkészült a javítás az icecast-server már korábban ismert hibáinak javítására (a hiba remote exploittal támadhatóvá is tette a servert) (DSA-085-2).

Mindkét javítás már letölthető a szokásos debian mirrorokról.

http://www.debian.org/security/