Bug

Úgy látszik a 3.7p1 illetve 3.7.1p1 változatok kissé kapkodós kiadása újabb - ezúttal távolról is kihasználható - hibát eredményezett. A probléma a hordozható változat PAM kódját érinti, a megoldás a PAM kikapcsolása, vagy a 3.7.1p2 verzió telepítése. A hiba csak kikapcsolt privstep-pel használható ki távolról (alapbeállításokkal tehát nem).A 3.7.1p2 verzióban a kikapcsolt PAM lesz az alapértelmezett beállítás, a jelszavas, illetve nyilvános kulcsú autentikáció e nélkül is használható.

Eredeti hibabejelentés itt, a 3.7.1p2 változásairól pedig itt található bővebb információ.

[2003. szeptember 21.] DSA-383 ssh-krb5 - lehetséges távoli sebezhetőség (új kiadás)

[2003. szeptember 21.] DSA-382 ssh - lehetséges távoli sebezhetőség (új kiadás)

[2003. szeptember 20.] DSA-389 ipmasq - nem biztonságos csomagszűrő szabályokA frissítésről szóló FAQ-nk itt.

A múlt héten bukkant fel az OpenSSH-ban egy puffer kezelési hiba, amelynek az eredménye egy két napos patch-fest lett.

Akkor különböző levelezési listákon többen is ajánlották, hogy érdemes cserélni OpenSSH-ról lsh-ra. Az lsh a GNU projekt OpenSSH helyettesítője, egy szabadon felhasználható ssh2 protokol implementáció. Úgy tűnik, hogy akik lecserélték az OpenSSH-t, rossz lóra tettek.Az lsh csapat egy ún. heap túlcsorulási hibát fedezett fel a lsh-ban, amelyet a rosszindulatú támadó kihasználva távolról "root" fiókhoz juthat az áldozat rendszerén. Sajnos ez nem csak elméleti hiba, készült az lsh 1.4.x-hez 'proof of concept' exploit is. Az lsh felhasználóknak azonnali frissítés javasolt!

A PATCH ITT.

Csomag: kdebase

Sebezhetőség: számos

Probléma-Típus: távoli

Debian-specifikus: nem

CVE Idk: CAN-2003-0690 CAN-2003-0692Két új hibát találtak a KDM-ben.

Matt Zimmerman levele a debian-security-announce listán.

A frissítésről szóló FAQ-nk.

Mozgalmas hét volt ez a biztonsági hibák terén, több kritikus figyelmeztetés is világot látott:

[2003. szept. 18.] DSA-387 gopher - puffer túlcsorulás

[2003. szept. 18.] DSA-386 libmailtools-perl - bemenet érvényesítési hiba

[2003. szept. 18.] DSA-385 hztty - puffer túlcsordulás

[2003. szept. 17.] DSA-384 sendmail - puffer túlcsordulás

[2003. szept. 17.] DSA-383 ssh-krb5 - lehetséges távoli sebezhetőség

A tegnapi OpenSSH sebezhetőség után itt egy újabb sebezhetőség. Most a Sendmail van soron. Úgy tűnik, hogy távolról kihasználható hibát tartalmaz a Sendmail. A hibát Michal Zalewski találta meg.

A hiba bejelentését megtalálod itt.

Az OpenBSD projekt máris reagált a hibára. A javításhoz letöltheted a patchet FTP szerverről, majd újrafordíthatod a sendmail-t. Az OpenBSD security-announce listán megtalálod a bejelentést.

A nemrég DSA hibajegyben közreadott ssh-ban további két puffer-kezelési hibát találtak. Nem tudni, hogy van-e rá exploit, de jobb az elővigyázatosság.


A javított változat verziószáma: 1:3.4p1-1.woody.2Figyeljünk arra, hogy ha valakinek a proposed-updates is hozzá van adva az apt sources.listjéhez, akkor nem fog megtörténni automatikusan a frissítés.


Wichert Akkerman levele a debian-security-announce listán.

A frissítésről szóló FAQ-nk.



Mint ismeretes, a Debianban nem mennek az új verziók után, mert új feature -> új hibalehetőség. Arról azonban nem láttam sehol infót, hogy az a hiba amit a Debian Security Team talált a 3.4-ben, létezik-e a későbbi verziókban. Ha valaki erről lát/hall valamit, tud linket, stb. az írja be a hozzászólásba.

Csomag: ssh

Sebezhetőség: puffer kezelés

Probléma típusa: lehetéges távoli

Debian specifikus: nem

CVS referenciák: CAN-2003-0693

Ma megjelent az OpenSSH 3.7-es verziója. Az oka az, hogy a korábbi verziók puffer kezelési hibában szenvedenek.

Csomag: mysql

Sebezhetőség: puffer túlcsorulás

Probléma típusa: távoli

Debian specifikus: nem

CVE Id-k: CAN-2003-0780Puffer túlcsorulási hiba van a MySQL adatbázis-kezelőben. A hibát távolról kihasználva a támadó "ALTER TABLE" parancsot tud végrehajta a "mysql" adatbázis tábláin. Ezen kívül a támadó a hibát kihasználva tetszőleges parancsot tud futtatni annak a felhasználónak a nevében, aki a MySQL processzt futtatja. Ez a alapértelmezetten a "mysql" felhasználó.

Javasoljuk a mysql csomagok mielőbbi frissítését!

Matt Zimmerman bejelentése itt. A frissítésről szóló FAQ-nk itt.