bug pour cron et openssh - updatez !

Posté par  . Modéré par I P.
Étiquettes :
0
18
nov.
2000
Sécurité
Une nouvelle version de OpenSSH est disponible. Un bug permet au serveur accedé en ssh de forcer le client en mode agent ainsi que la redirection X11. Des updates sont disponibles pour Debian et certainement d'autres distributions.
De meme pour le programme cron qui est attaquable localement.

A vos updates !

Aller plus loin

  • # Pour Mandrake

    Posté par  . Évalué à 1.

    Mandrake est pas affecté par le bug de cron et nous avons deja fait une update pour OpenSSh depuis un bon bout de temp.

    • [^] # Re: Pour Mandrake

      Posté par  . Évalué à 0.

      Je rêve ou debian est completement à la loose, concernant OpenSSH ?

      Selon freshmeat, la version stable actuelle est la 2.3.0p1, sortie le 06 novembre.

      L'info de debian, daté du 18 novembre parle du paquet 1.2.3 qui date du 26 mars !!!

      Et apparement, les distribs sur lesquels tout ces messieurs amateurs de debian sont toutes les 2 à jour à ce niveau. Mandrake, comme Red Hat (7.0 = openssh-2.1.1p4).

      On rigole on rigole !

      http://freshmeat.net/projects/opensshunixport/?highlight=openssh(...)

      • [^] # Re: Pour Mandrake

        Posté par  . Évalué à 0.

        fallait lire 'sur lesquelles tout ces messieurs amateur de deb aiment cracher...'

        (désolé, oublié de me relire)

        • [^] # Re: Pour Mandrake

          Posté par  . Évalué à 1.

          encore un qui a rien compris

          • [^] # Re: Pour Mandrake

            Posté par  . Évalué à 0.

            Y a quoi à comprendre ?

            Qu'on arrete les blagues avec "la" distrib sécurisée parce qu'elle ne sort pas de version tout les 6 mois.. Parce que dans ces cas là, c'est pas genant, la nouvelle version tout les six mois.

            • [^] # Re: Pour Mandrake

              Posté par  (site web personnel) . Évalué à 1.

              http://packages.debian.org/unstable/non-us/ssh.html(...)

              dans la debian tu as le choix, soit tu prends la version tres tres stable mais en retard de 6 mois au niveau des versions, le temps que celles-ci soient mures, soit tu prends une unstable, qui malgre le nom est tres stable aussi, qui elle est plus a jour que n'importe-qu'elle autre distrib... de plus, pas de version de distrib: enfin c'est transparent..., l'update se fait en une ligne de commande.

              si tant de gens pensent tant de bien de la debian, c'est qu'il y a des raisons, celle-ci en fait sans doute partie.

      • [^] # Re: Pour Mandrake

        Posté par  . Évalué à 0.

        Eh bien, moi aussi, je me suis posé cette question. Je suis donc allé voir les vulnerabilites linux sur www.securityfocus.com, et en fait la vulnerabilite dont il est question semble affecter toutes les versions d'OpenSSH avant la 2.3.0 (qui est sortie début novembre).

        Toutes les distributions sont donc affectées par ce bug (selon securityfocy=us : Trustix 1.x, Solaris 8, SuSE 7, RH 7, OpenBSD 2.7 et 2.8, NetBSD 1.42, Mandrake 7.x, HP UX 11.11, FreeBSD 4.x et 5).

        On remarquera aussi que MandrakeSoft et Trustix ont été les premiers à réagir, le matin qui a suivi l'annonce de la faille.

        Enfin, on remarquera aussi que le fait que plusieurs versions de Mandrake, de FreeBSD et d'OpenBSD soient vulnérables à cette faille est surtout lié au choix d'utiliser OpenSSH (eh oui, RedHat installe toujours par défaut un serveur telnet !). Enfin, des packages de OpenSSH pour RedHat sont dispos sur http://www.openssh.com(...) . Je vous conseille de les recompiler avec OpenSSL 0.9.6.

        Gwen - gwen@pris-and-gwen.net

        • [^] # Re: Pour Mandrake

          Posté par  . Évalué à 0.

          redhat inclu lui aussi openssh depuis la
          version 7.0 ...
          faut rien affirmer sans verifier :-)

          • [^] # Re: Pour Mandrake

            Posté par  . Évalué à 0.

            La RH 7.0 est sortie avant la openssh 2.3.0, pas choquant que cette version ne soit pas incluse.

            Ce qui est surprennant, c'est que la liste de debian parle d'une version hyper vieille..

            • [^] # Et potato dans tout ça ?

              Posté par  . Évalué à 1.

              julien@arrakis:~$ cat /etc/debian_version
              2.2
              julien@arrakis:~$ dpkg -l ssh
              Desired=Unknown/Install/Remove/Purge/Hold
              | Status=Not/Installed/Config-files/Unpacked/Failed-config/Half-installed
              |/ Err?=(none)/Hold/Reinst-required/X=both-problems (Status,Err: uppercase=bad)
              ||/ Name Version Description
              +++-===================-===================-======================================================
              ii ssh 1.2.3-9 Secure rlogin/rsh/rcp replacement (OpenSSH)

              Alors, "à la loose"...

              Si assurer le support sur la version courante, c'est être "à la loose"...

Suivre le flux des commentaires

Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.