Selon le CERT et d'après un rapport de Rapid7, de nombreuses version de logiciels SSH possède une faille permettant de lancer des commandes de l'extérieur avec les privilèges de l'utilisateur du processus SSH ou de permettre des attaques par saturation (DOS). Cette faille touche autant des clients que des serveurs SSH utilisant la version 2 du protocole.
La bonne nouvelle est que OpenSSH n'est pas touché par cette faille. Une preuve de plus de la qualité des logiciels libres ?
Par contre Putty (client Windows très utilisé) est victime de cette faille.
Les solutions proposées sont, pour le moment, de restreindre les accès sur les serveurs (par ip par exemple) et de se connecter qu'à des serveurs bien connus pour les clients.
Aller plus loin
- La dépèche du CERT (158 clics)
- Le rapport de Rapid7 (66 clics)
- OpenSSH (79 clics)
# Re: Faille SSH
Posté par pasBill pasGates . Évalué à 0.
Ca depend, faudrait aussi compter les failles qui ont touche OpenSSH et qui n'ont pas touche les autres implementations.
Et honnetement, vu le nombre de fois que j'ai entendu parler de OpenSSH l'annee passee, je suis pas sur qu'il sorte gagnant.
[^] # Re: Faille SSH
Posté par rootix . Évalué à 10.
On pourrait très bien ne rien dire sur les failles de Windows et faire tout un plat à la moindre faille sour Linux, ce n'est pas pour autant qu'il faille en déduire que Linux est moins solide.
Le fait qu'on parle plus des failles de OpenSSH quand il y en a, est dans le simple but d'informer et de mettre à jour rapidement.
Attention à bien rester dernier juge de ses lectures.
Les journalistes windosiens prennent du plaisir à casser Linux à la moindre bourde. Toujours relativiser.
[^] # Re: Faille SSH
Posté par Vincent (site web personnel) . Évalué à 4.
[^] # Re: Faille SSH
Posté par pasBill pasGates . Évalué à 4.
Je vois un gars qui sur une faille voit que OpenSSH n'est pas vulnerable alors que XY l'est, et hop il nous sort la phrase habituelle: "Une preuve de plus de la qualité des logiciels libres ? "
Moi je ne fais que lui dire de regarder les autres bugs de securite et de tirer ses conclusions sur l'ensemble.
[^] # Re: Faille SSH
Posté par Olivier Meunier (site web personnel) . Évalué à 0.
Si j'avais voulu être afirmatif, j'aurais omis le point d'intérogation et là aurait mérité une critique justifiée.
[^] # Re: Faille SSH
Posté par pasBill pasGates . Évalué à -1.
Quand il s'agit de rembarrer quelqu'un qui raconte une connerie, je suis d'habitude bcp plus cynique.
[^] # Re: Faille SSH
Posté par okhin . Évalué à 1.
[oki je sors...-1]
[^] # Re: Faille SSH
Posté par Xavier Poinsard . Évalué à 8.
[^] # Re: Faille SSH
Posté par Pierre Tramo (site web personnel) . Évalué à 6.
[^] # Re: Faille SSH
Posté par Herve Lebrie . Évalué à 3.
[^] # Re: Faille SSH
Posté par Jean-Pierre Schwickerath (site web personnel) . Évalué à 2.
Encore faut-il que les administrateurs appliquent les correctifs.
On dit souvent que 1/3 des versions à risques sont patchées lorsque la faille est découverte, 1/3 est patché lorsque un exploit est découvert et 1/3 restent incorrigés... C'est bien triste :-(
[^] # Re: Faille SSH
Posté par Xavier Poinsard . Évalué à 1.
# Re: Faille SSH
Posté par Milo . Évalué à 6.
j'intuite que non ou plutot que le risque est faible mais ce n'est pas très clair ...
sinon pour répondre à PBPG : on parle ici des failles découvertes, pas de toutes celles potentiellment cachées dans le code secret des applis propriétaires. Ne parlons pas de la rapidité de correction des trous et des choix liés au classement de la sévérité des problèmes (http://www.osopinion.com/perl/story/20251.html(...)) ...
Il est probable que openssh convergera plus vite vers un état exempt de problème sévère. Dans ce modèle on peut penser que un maximum de failles sont découvertes au début du cycle de vie du logiciel. Ceci raccourci le temps de maturation du projet pour aboutir plus rapidement à un état fiable du produit (cf openbsd ) .
[^] # Re: Faille SSH
Posté par Raphaël SurcouF . Évalué à 1.
installer GNUWin32 partout où on est forcé d'avoir un poste sous Windows...
[^] # Re: Faille SSH
Posté par zeiram . Évalué à 4.
Conclusion : sous Windows, on peut très bien continuer à travailler avec PuTTY (contrairement à ce que laisse supposer le rapport du CERT).
[^] # Re: Faille SSH
Posté par Moby-Dik . Évalué à 2.
[^] # Re: Faille SSH
Posté par pasBill pasGates . Évalué à 0.
Le truc est que ce que tu dis serait vrai si les gens qui avaient decouvert les failles rendues public l'avaient fait en lisant le code source plutot qu'en essayant en "black box", et que je sache ce n'etait pas forcement le cas.
Sinon quand a ce qui est de converger vers un soft sans trous de securite, tu iras expliquer ca a sendmail, bind et wu_ftpd, a premiere vue eux n'ont pas encore fini de converger.
[^] # Re: Faille SSH
Posté par Paul Andre . Évalué à 1.
c'est vrai le développement d'OpenBSD à été fulgurant :
(1978) 1BSD ... 4.3BSD -fork-> (1990) BSD Net/2 -renomage-> (1991) NetBSD -fork-> (1995) OpenBSD
soit à la louche 25 ans.
(d'apres l'excellent www.levenez.com)
# Re: Faille SSH
Posté par outs . Évalué à 2.
# Re: Faille SSH
Posté par Gruik Man . Évalué à 2.
J'vais repasser à Telnet, moi ^^
[^] # Re: Faille SSH
Posté par Lol Zimmerli (site web personnel, Mastodon) . Évalué à 2.
La gelée de coings est une chose à ne pas avaler de travers.
Suivre le flux des commentaires
Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.