Címlap

SquirrelMail 1.4.13 - a régebbi kiadásokba idegen kódokat csempésztek

 ( trey | 2007. december 16., vasárnap - 9:53 )

A SquirrelMail 1.4.11 és 1.4.12 felhasználóinak mielőbb érdemes frissíteniük, mert kiderült, hogy ezeket a csomagokat (valószínűleg) az egyik maintainer feltört account-ján keresztül rosszindulatú támadók módosították. A dologra úgy derült fény, hogy a 1.4.12-es csomagok MD5 sum-ja nem egyezett meg az aktuális csomagéval.

A vizsgálat során kiderült, hogy a kiadás után a csomagot módosították, és abban olyan idegen kódokat helyeztek el, amelynek lehetővé teszik, hogy a támadók a módosított SquirrelMail-en keresztül az áldozat gépére idegen kódokat telepítsenek és futtassanak. Mivel nem csak az 1.4.12-es, hanem az 1.4.11-es csomagot is piszkálták, a projekt úgy döntött, hogy a kavarodás elkerülése érdekében kiadják az 1.4.13-as verziót.

Érdemes azonnal frissíteni azoknak, akik a fent említett verziókat futtatják a SquirrelMail-ből.

Bővebb infók a projekt weboldalán.

 »
  • A hozzászóláshoz belépés szükséges
  • 3450 olvasás

Hozzászólás megjelenítési lehetőségek

A választott hozzászólás megjelenítési mód a „Beállítás” gombbal rögzíthető.
 ( -Atis- | 2007. december 16., vasárnap - 11:35 )

azt hittem, nyílt forrású cuccnál ilyesmi nem fordulhat elő, mert mindenki elolvassa "a programot" használatbavétel előtt, hiszen így tudja ellenőrizni, nincsen semmiféle rosszindulatú kód a programban, ellentétben a csúnya, zárt, csak binárisan terjesztett szemetekkel, ahol a mocskos gyártó ezt nem teszi lehetővé és telenyomja szpájverrel a stuffot

 ( kikke | 2007. december 16., vasárnap - 11:39 )

Asszem zárt forrású kódnál sose derülne ki ilyen, hacsak nem olyan bután van megoldva hogy hálózati forgalma alapján elcsípik.

 ( -Atis- | 2007. december 16., vasárnap - 11:43 )

viszont nyíltnál minden esetben azonnal ki kéne, right? hiszen ez az egyik fő előnye

 ( kikke | 2007. december 16., vasárnap - 11:54 )

Kiderült. Kíváncsi lennék egy diff-re, mégis miket raktak bele.

 ( Elbandi | 2007. december 16., vasárnap - 12:09 )

letoltod a 1.4.12, es a 1.4.13-at, kicsomagolod, es nyomsz egy diffet.
ha meg "fertozott" a 1.4.12 akkor megtalalod. nekem egyedul eztunt gyanusnak:

@@ -31,7 +31,9 @@
     }

     /* This needs to be first, for all non_options pages */
-    if (defined('PAGE_NAME') && PAGE_NAME=='administrator_options') {
+    //if (!defined('PAGE_NAME') || strpos(PAGE_NAME, 'options') === FALSE) {
+    if (!defined('PAGE_NAME')
+     || (PAGE_NAME != 'administrator_options' && PAGE_NAME != 'options')) {
         $auth = FALSE;
     } else if (file_exists(SM_PATH . 'plugins/administrator/admins')) {
         $auths = file(SM_PATH . 'plugins/administrator/admins');

--
A vegtelen ciklus is vegeter egyszer, csak kelloen eros hardver kell hozza!

 ( -Atis- | 2007. december 16., vasárnap - 12:10 )

otthon, letöltés után, telepítés előtt

 ( trey | 2007. december 16., vasárnap - 11:40 )

troll és lame:

s/olvassa a programot/checksum ellenőrzést végez/;

Itt is így derült ki.

--
trey @ gépház

 ( -Atis- | 2007. december 16., vasárnap - 11:46 )

vagyis egy helyre sem kerülhetett fel "fertőzött kód", hisz mindenki ellenőrzi az md5 checksumot telepítés előtt

 ( trey | 2007. december 16., vasárnap - 11:49 )

Nem, sajnos nem mindenki. De ezt ne varrd már a nyílt forráskód nyakába... A nyílt forráskód hibája lenne, hogy vannak felelőtlen emberek?

--
trey @ gépház

 ( buran | 2007. december 17., hétfő - 11:17 )

Mindenkinek megvan a lehetősége rá - na ezért tényleg jobb az opensource. Ha ennek nem tudsz örülni, lehet bármi mást használni és annak örülni.
---
;-(

 ( willy | 2007. december 16., vasárnap - 11:55 )

Nem, mar megint sikerult forditva felulnod a lora, es aminek parancsokat adsz az a segge a lonak. A nyilt forraskod lehetoseget biztosit arra, hogy te mint felhasznalo ellenorizhesd a kodot. Ennyi. Ezzel tobb mint a zart forraskod. Semmit nem garantal.

 ( -Atis- | 2007. december 16., vasárnap - 12:00 )

egy md5 csekket azért lefuttatsz a nyílt forráskódon telepítés előtt?

 ( trey | 2007. december 16., vasárnap - 12:01 )

Van aki a zárt forráskódún is. Pl. Total Commander-en, DaemonTools-on... Az ember igyekszik óvatos lenni. Teljes biztonság nincs, törekedni azonban lehet rá.

--
trey @ gépház

 ( willy | 2007. december 16., vasárnap - 13:25 )

Ami forrasbol van azon 90% felett ami disztribuciobol azt megoldja mas.

 ( vomberg | 2007. december 16., vasárnap - 13:37 )

Nem értem, hogy minek kötözködsz... szó sincs arról, hogy ez 100%-os biztonságot adna, viszont a jelek szerint pillanatokon belül kiderül a disznóság mert egyáltalán ki tud derülni!

És most mesélj nekünk így a tűz körül, kukoricafosztás közben azokról az izgalmas nevű függvényekről amiket anno az NT (bináris) kódjai közt találtak, valami nsa_backdoor_open() és hasonlók voltak.

 ( sibike | 2007. december 16., vasárnap - 13:50 )

vomberg írta:
És most mesélj nekünk így a tűz körül, kukoricafosztás közben azokról az izgalmas nevű függvényekről amiket anno az NT (bináris) kódjai közt találtak, valami nsa_backdoor_open() és hasonlók voltak.

Ez már kezd nagyon unalmas lenni.

 ( bastya_elvtars | 2007. december 16., vasárnap - 13:55 )

Új lehetsz errefelé, én az "automatikus beállításmegváltoztató NT-szolgáltatás" óta nem lepődöm meg semmin.

It doesn't matter if you like my song as long as you can hear me sing

 ( trey | 2007. december 16., vasárnap - 13:57 )

Nem különben az ilyen bullshitek.

--
trey @ gépház

 ( bastya_elvtars | 2007. december 16., vasárnap - 14:00 )

Ezt nem ő találta ki.

It doesn't matter if you like my song as long as you can hear me sing

 ( sibike | 2007. december 16., vasárnap - 14:00 )

+1

 ( -Atis- | 2007. december 16., vasárnap - 14:02 )

hát ezt hallom errefelé :)

 ( -Atis- | 2007. december 16., vasárnap - 14:01 )

> pillanatokon belül kiderül a disznóság

"ANNOUNCE: SquirrelMail 1.4.11 Released
Sep 29, 2007 by Thijs Kinkhorst"

geez!

 ( trey | 2007. december 16., vasárnap - 14:07 )

Ez semmit nem jelent. A kiadáskor nem volt benne, az eredeti forráskód nem érintett, később került bele a letöltésre kirakott csomagokba. Feltehetően december 8 körül.

"we strongly recommend everybody that has downloaded the 1.4.12 package after the 8th December, to redownload the package. "

--
trey @ gépház

 ( -Atis- | 2007. december 16., vasárnap - 14:09 )

akkor jó

 ( trey | 2007. december 16., vasárnap - 14:10 )

Jónak nem jó, de ez van.

--
trey @ gépház

 ( -Atis- | 2007. december 16., vasárnap - 14:05 )

> És most mesélj nekünk így a tűz körül, kukoricafosztás közben azokról az izgalmas nevű függvényekről amiket anno az NT (bináris) kódjai közt találtak, valami nsa_backdoor_open() és hasonlók voltak.

ms = evil, emiatt nt-t, illetve egyéb ms terméket nem használunk, veszély nem fenyeget, vírus nincs, hackolni nem lehet. jól mondom?

 ( Ago | 2007. december 16., vasárnap - 16:10 )

itt nem erről van szó, de jól trollkodsz és próbálod bizonygatni, hogy a linux userek és kiváltképpen a hup-on fent lévő linux userek mind trollok. Fordított logikával. Nem rossz. Azért vegyük észre, hogy ez volt 7 nap, míg az MS-nél volt olyan bug, ami 286 napig ott figyelt, úgy, hogy az MS tudott(!) róla. Elég ha guglizol fél percet, beírod a megfelelő szöveget és készen is vagy.

 ( snq- | 2007. december 16., vasárnap - 16:17 )

ráadásul nem is muszáj pont ms-tal keresni ilyent

 ( trey | 2007. december 16., vasárnap - 16:18 )

"Azért vegyük észre, hogy ez volt 7 nap, "

Sokat nem számít, de valójában 5 nap. Az eddigi infók szerint december 8-tól 13-ig. Akkor jelentették be a problémát és akkor már volt javítás.

--
trey @ gépház

 ( -Atis- | 2007. december 16., vasárnap - 16:26 )

most úgy csinálsz, mintha nem lenne egyértelmű, hogy m$ winfo$ egy fos. mindenki ismeri a rendszeres BOSD-t :) én biztos vagyok benne, hogy sokkal régebbi szándékos backdoorok is vannak benne, amin keresztül az fbi mindenkit!!! figyel

 ( trey | 2007. december 16., vasárnap - 16:29 )

Már egyszer szóltam valakinek ezért a színezésért. Most szólok neked is, hogy mielőtt még beleéled magad, gyorsan fejezd is be.

--
trey @ gépház

 ( -Atis- | 2007. december 16., vasárnap - 16:31 )

ne haragudj, egy kicsit elragadtattam. többé nem fordul elő, esküszöm

 ( Lacyc3 | 2007. december 16., vasárnap - 21:45 )

kicsit off, de miért nem szereted a szinezést? Szvsz jól néz ki :-)

 ( Yume | 2007. december 16., vasárnap - 17:28 )

Hmm, te ugylatszik nem elegge, mert az BSOD :P

 ( -Atis- | 2007. december 16., vasárnap - 22:08 )

sejtettem, hogy vmelyik okostojás nem állja meg. bejött :)

 ( Yume | 2007. december 17., hétfő - 10:54 )

ha sejtetted, akkor van szerkesztes gomb is a vilagon. amugy, nem sejted veletlenul a jovo heti keno/lottoszamokat? ;P
amugy nem vallom magam se okosnak, se hulyenek, a tojasaim meg koszi jolvannak... ;))

 ( -Atis- | 2007. december 17., hétfő - 16:50 )

direkt írtam így :)

 ( Hunger | 2007. december 17., hétfő - 0:12 )

És most mesélj nekünk így a tűz körül, kukoricafosztás közben azokról az izgalmas nevű függvényekről amiket anno az NT (bináris) kódjai közt találtak, valami nsa_backdoor_open() és hasonlók voltak.

Fenébe, még a Google-t is benne van az NSA buliban, mert rákeresve a függvényre nulla találatot ad... :))

 ( bastya_elvtars | 2007. december 17., hétfő - 0:16 )

Pedig ők nem doznak evilt. :-P

It doesn't matter if you like my song as long as you can hear me sing

 ( snq- | 2007. december 17., hétfő - 0:18 )

ingyen

 ( bastya_elvtars | 2007. december 17., hétfő - 0:19 )

Az nem fontos. A forrás legyen nyílt.

It doesn't matter if you like my song as long as you can hear me sing

 ( Replaced | 2007. december 17., hétfő - 1:39 )

viszont mar a bsd-kbe is beferkoztek ezek
szerintem ez egy globalis osszeeskuves

--
Bow down and admit defeat. | Old, weak and obsolete.

 ( turul16 | 2007. december 17., hétfő - 23:09 )

http://www.heise.de/tp/r4/artikel/5/5263/1.html

Rosszul googléztek :)

 ( gee | 2007. december 17., hétfő - 10:45 )

Ezek szerint korabbi verzio (konkretan Debianbol telepitett 1.4.9 nem erintett). Ugye?

Ha tegyuk fel most egy 1.4.12-es verzio lenne a gepemen, akkor hogy lehetne megtudni, hogy felnyomtak-e? Illetve ha felnyomtak volna, akkor milyen merteku lenne a gond?
Csak a webszerver altal irhato dolgokat kellene nezni?
Vagy ujra kene telepiteni az egesz gepet a biztonsag kedveert?

Gee da szerencsere csak elmeleti kerdes, de elgondolkoztam.

 ( Huncraft | 2007. december 17., hétfő - 20:30 )

Deja Vu..
____________________________________
Az embert 2 éven át arra tanítják hogyan álljon meg a 2 lábán, és hogyan beszéljen... Aztán azt mondják neki: -"Üllj le és kuss legyen!"..

 ( Hunger | 2007. december 18., kedd - 14:54 )

;)