|
Diese Diskussion wurde archiviert.
Es können keine neuen Kommentare abgegeben werden.
|
 |
|
|
|
Von Anonymer Feigling am Monday 22. September, 11:59 MET (#1)
|
|
|
|
|
Schau doch einfach mal in's Web-CVS:
http://www.openbsd.org/cgi-bin/cvsweb/src/usr.bin/ssh
|
|
|
|
|
|
|
|
|
|
|
|
|
Den Patch findest du sicher im unterschied zwischen den verschiedenen diff.gz in
http://security.debian.org/pool/updates/main/o/openssh/
Das orig.tar.gz (im selben Verzeichnis) schein nälich von 2002 zu sein.
--
Kühe geben keine Milch, die Bauern nehmen sie ihnen weg!
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Stimmt, da hatte ich auch schon dran gedacht. Aber der Patch für die Version .woody.4 scheint dort noch nicht zu sein. Aber das ist zumindest eine deutlich übersichtlichere Quelle als das OpenBSD-CVS. ;-)
Außerdem hätte ich wirklich gerne mal die Quelle von Debian & Co. gesehen. Denn der Debian-Patch ist halt für die 3.4er OpenSSH... Trotzdem Danke.
--
There is no place like $HOME.
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Nein, sorry, mein Fehler: Das war nicht das ssh-Paket sondern das ssh-krb5-Paket. Das ist bereits bei .woody.4: DSA-383-2.
--
There is no place like $HOME.
|
|
|
|
|
|
|
|
|
|
Von Anonymer Feigling am Monday 22. September, 17:44 MET (#7)
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Selber kompilieren. (Die sollten dazu faehig sein).
|
|
|
|
|
|
|
|
|
Von Anonymer Feigling am Monday 22. September, 18:16 MET (#9)
|
|
|
|
|
schon, bloß wo gibts die patches? Von offizieller Seite ist noch nichts verkündet worden.. oder bei mir nur nichts angekommen ;)
|
|
|
|
|
|
|
|
|
|
|
|
|
Eben genau das ist das Problem, das ich meinte. Die sind nirgends zu finden.
--
There is no place like $HOME.
|
|
|
|
|
|
|
|
|
Von Anonymer Feigling am Monday 22. September, 18:18 MET (#11)
|
|
|
|
|
augen aufmachen und patchen
ftp://ftp.freebsd.org/pub/FreeBSD/CERT/advisories/FreeBSD-SA-03:12.openssh.asc
|
|
|
|
|
|
|
|
|
|
|
|
|
Das ist doch der Bug von letzter Woche.
--
Den Symlink-Autoren bei der Arbeit zuhören? MP3 hier
|
|
|
|
|
|
|
|
|
Von Anonymer Feigling am Monday 22. September, 18:32 MET (#13)
|
|
|
|
|
der existiert auch schon seit letzter woche.
dass er heute auf symlink erscheint, heisst
ja nicht, dass er neu ist.
|
|
|
|
|
|
|
|
|
|
|
|
|
Wie neu? Ist die Lücke in OpenSSH nun neu oder ist die Meldung eigentlich ein alter Hut und Debian hat gepennt? (Grummel, Debian!)
--
Den Symlink-Autoren bei der Arbeit zuhören? MP3 hier
|
|
|
|
|
|
|
|
|
Von Anonymer Feigling am Monday 22. September, 19:08 MET (#16)
|
|
|
|
|
der "neue" bug (can-2003-0682) wurde am 17. durch
ein openpkg security advisory veroeffentlicht. also
kurz nach openssh 3.7.1. da es noch kein 3.7.2 gibt,
kann man wohl davon ausgehen, dass der bug nicht
wirklich kritisch ist.
noch mal zum mitschreiben, im aktuellen freebsd
patch sind die fixes enthalten.
|
|
|
|
|
|
|
|
|
|
|
|
|
Nochmal nachgefragt: Ich hab meine Kisten letzten Freitag gepatcht. Damit ist der neueste Bug also auch beseitigt?
--
Den Symlink-Autoren bei der Arbeit zuhören? MP3 hier
|
|
|
|
|
|
|
|
|
Von Anonymer Feigling am Tuesday 23. September, 13:07 MET (#18)
|
|
|
|
|
ja, da gabs das revidierte advisory schon.
wenn du sicher gehen willst, guck in deine
sources. im ersten patch wurde nur buffer.c
angefasst. im aktuellen auch channels.c und
eine handvoll anderer files.
erstes advisory: can-2003-0693
revidiertes advisory: can-2003-0693 +
can-2003-0695 + can-2003-0682
in zukunft lies bitte die einschlaegigen mls:
http://www.freebsd.org/security/index.html#ml
|
|
|
|
|
|
|
|
|
Von Anonymer Feigling am Monday 22. September, 18:42 MET (#14)
|
|
|
|
|
ups... dann ist wohl Debian wieder mal um einiges hinterher... Debian-Security-Announcement datiert auf 21. Sept. und für BSD-User war die Sache schon am 19. erledigt...
Kann das wirklich bei dieser kritischen Sicherheitslücke tatsächlich so sein?? Bevor ich Debian lobe, möchte ich wissen, ob es denn gerecht ist ;)
|
|
|
|
|
|
|
|
|
Von Anonymer Feigling am Tuesday 23. September, 13:51 MET (#19)
|
|
|
|
|
Vielleicht ist ja dieses gemeint:
Subject: Portable OpenSSH Security Advisory: sshpam.adv
This document can be found at: http://www.openssh.com/txt/sshpam.adv
1. Versions affected:
Portable OpenSSH versions 3.7p1 and 3.7.1p1 contain multiple
vulnerabilities in the new PAM code. At least one of these bugs
is remotely exploitable (under a non-standard configuration,
with privsep disabled).
The OpenBSD releases of OpenSSH do not contain this code and
are not vulnerable. Older versions of portable OpenSSH are not
vulnerable.
2. Solution:
Upgrade to Portable OpenSSH 3.7.1p2 or disable PAM
support ("UsePam no" in sshd_config).
Due to complexity, inconsistencies in the specification and
differences between vendors' PAM implementations we recommend
that PAM be left disabled in sshd_config unless there is a need
for its use. Sites only using public key or simple password
authentication usually have little need to enable PAM support.
|
|
|
|
|
