Meines Erachtens wären zwei Wege gangbar gewesen:
- Veroeffentlichung von OpenSSH 3.4 mit dem Bugfix
- Veroeffentlichung eines Patches fuer die aktuelle Version
Die Distributoren haben dann die Wahl, ob sie auf 3.4 schwenken oder den Patch fuer ihre Lieblingsversion anpassen.
Der Patch wird zusammen mit dem Advisory veroeffentlicht und nicht diese halbgaren Announcements.
All diejenigen, die jetzt "Feurio!" schreien ob der vielen betroffenen Server: Sind es denn jetzt weniger?
Diejenigen, die zeitnah Updates auf 3.3 durchgefuehrt haben, sind auch diejenigen, die zwei oder drei Optionen in der sshd.conf deaktiviert haetten.
Denjenigen, die
- einen unbeschränkten SSH-Zugang (Packetfilter etc.) anbieten und
- sich nicht um Updates kuemmern
ist mit Privilege Separation auch nicht geholfen.
Niemand zwingt einen dazu, die Versionen der Distributoren einzusetzen, ein SSH aus dem Source fuer die eigene Plattform zu bauen, sollte jedem halbwegs geeigneten Admin mit links von der Hand gehen.
Also: So richtig, wie die Einfuehrung von privsep ist, so falsch ist der Weg, den das OpenSSH-Team gegangen ist, um sie zu forcieren. Viele werden wegen der uebereifrig rausgebrachten Pakete wieder auf eine sauber gepatchte Vorgaengerversion zurueckschwenken, bis wirklich alle Probleme (PAM, MD5 etc.) behoben sind.
|
