URL: https://www.opennet.ru/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 115057
[ Назад ]
Исходное сообщение
"Уязвимость в OpenSSH, позволяющая определить наличие пользов..."
Отправлено opennews , 16-Авг-18 08:18 
В OpenSSH выявлена (http://seclists.org/oss-sec/2018/q3/124) проблема с безопасностью, позволяющая удалённому атакующему определить существует ли пользователей с данным именем в системе.

Метод базируется на разности поведения при обработке запроса на аутентификацию для существующего и неизвестного пользователя. Атакующий может отправить некорректный запрос аутентификации (например, отправить повреждённый пакет), в случае отсутствия пользователя в системе выполнение функции userauth_pubkey() завершиться сразу с отправкой ответа SSH2_MSG_USERAUTH_FAILURE. Если пользователь присутствует в системе  произойдёт сбой при вызове функции sshpkt_get_u8() и сервер просто молча закроет соединение.


Напомним, что для противодействия попыткам перебора пользователей в OpenSSH присутствует защита - для несуществующих пользователей выполняется проверка по фиктивному хэшу пароля, что позволяет выровнять время обработки операции проверки для существующего и несуществующего пользователя. Без выравнивания времени проверки атакующий может проанализировать время выполнения операции и если очередная проверка выполняется дольше обычного, сделать вывод о наличии запрошенного пользователя в системе и перейти к подбору пароля для конкретного логина.

URL: http://seclists.org/oss-sec/2018/q3/124
Новость: https://www.opennet.ru/opennews/art.shtml?num=49142

Содержание
Сообщения в этом обсуждении
"Уязвимость в OpenSSH, позволяющая определить наличие пользов..."
Отправлено bar0metr , 16-Авг-18 08:18 
Ну вот, приехали...
"Уязвимость в OpenSSH, позволяющая определить наличие пользов..."
Отправлено Аноним , 16-Авг-18 12:30 
Посоветуйте достойную открытую альтернативу OpenSSH. Там уязвимость на уязвимосте.
"Уязвимость в OpenSSH, позволяющая определить наличие пользов..."
Отправлено A.Stahl , 16-Авг-18 12:37 
Приехали. Гражданин, освободите вагон.
>на уязвимосте

Гражданина, выходяйте из трамвавайа. Чух-чух ездяет у деппо.

"Уязвимость в OpenSSH, позволяющая определить наличие пользов..."
Отправлено Аноним , 16-Авг-18 12:42 
Не кривляйся
"Уязвимость в OpenSSH, позволяющая определить наличие пользов..."
Отправлено Аноним , 16-Авг-18 13:24 
telnet
"Уязвимость в OpenSSH, позволяющая определить наличие пользов..."
Отправлено sdog , 16-Авг-18 15:33 
over ssl
"Уязвимость в OpenSSH, позволяющая определить наличие пользов..."
Отправлено Anonymouss , 16-Авг-18 17:27 
ssh over ssl...
есть ли смысл?
"Уязвимость в OpenSSH, позволяющая определить наличие пользов..."
Отправлено Аноним , 17-Авг-18 12:56 
осциллограф овер ССЛ

(ну, я лично знавал электронщиков 90-го уровня, которые используют осциллограф вместо дебаггера, так что подумал, что аналоговый аутентификатор, и туннель канального уровня с глубинным обучением вполне реальны)

"Уязвимость в OpenSSH, позволяющая определить наличие пользов..."
Отправлено Аноним84701 , 16-Авг-18 20:33 
> telnet

тогда уж rlogin, rsh - там уже лет 20 как уязвимостей не находили!

"Уязвимость в OpenSSH, позволяющая определить наличие пользов..."
Отправлено ыртулз , 16-Авг-18 21:04 
Дадад, это обалденная альтернатива. 20 лет как никто этим не хочет в здравом уме пользоваться.
"Уязвимость в OpenSSH, позволяющая определить наличие пользов..."
Отправлено Аноним , 16-Авг-18 08:18 
> Напомним, что для противодействия попыткам перебора пользователей в OpenSSH присутствует защита

Так, а вот с этого места, пожалуйста, по подробнее и с консольными командами.

"Уязвимость в OpenSSH, позволяющая определить наличие пользов..."
Отправлено KonstantinB , 16-Авг-18 08:40 
С какими командами? Защита там из коробки. То, что сейчас обнаружили и исправили - это то, что защита не срабатывает, если специальным образом повредить пакет.
"Уязвимость в OpenSSH, позволяющая определить наличие пользов..."
Отправлено Аноним , 16-Авг-18 11:40 
> То, что сейчас обнаружили и исправили

Еще не исправили.

"Уязвимость в OpenSSH, позволяющая определить наличие пользов..."
Отправлено PereresusNeVlezaetBuggy , 17-Авг-18 14:18 
Как раз именно что кто-то обратил внимание на один из коммитов и понял, что решаемая им проблема больше, чем может показаться на первый взгляд. Пройдите по ссылке к новости, что ли...
"Уязвимость в OpenSSH, позволяющая определить наличие пользов..."
Отправлено Аноним , 16-Авг-18 08:46 
Читаем чуть дальше и ...это тоже не панацея
"Уязвимость в OpenSSH, позволяющая определить наличие пользов..."
Отправлено Харитон , 16-Авг-18 08:55 
4k ключ поможет...
"Уязвимость в OpenSSH, позволяющая определить наличие пользов..."
Отправлено Аноним , 20-Авг-18 22:49 
От квантового компьютера то? :)
"Уязвимость в OpenSSH, позволяющая определить наличие пользов..."
Отправлено Нанобот , 16-Авг-18 09:00 
"присутствует защита" - слишком громко сказано. просто оно спроектировано так, чтобы по ответу сервера нельзя было определить, было ли указано неправильное имя пользователя или неправильный пароль.
"Уязвимость в OpenSSH, позволяющая определить наличие пользов..."
Отправлено Аноним , 16-Авг-18 10:27 
Ну а как бы ты сделал?
"Уязвимость в OpenSSH, позволяющая определить наличие пользов..."
Отправлено Аноним , 16-Авг-18 10:56 
"что-то пошло не так" вместо ответа на оба варианта
"Уязвимость в OpenSSH, позволяющая определить наличие пользов..."
Отправлено Аноним , 16-Авг-18 11:04 
нужно не просто одинаково ответить, нужно еще и по времени одинаково обрабатывать запрос. т.к. если на существующего пользователя ты отвечаешь за 200мс, а на несуществующего - 50мс, то вообще плевать, что ты там отвечаешь.
"Уязвимость в OpenSSH, позволяющая определить наличие пользов..."
Отправлено Аноним , 16-Авг-18 13:02 
> нужно не просто одинаково ответить, нужно еще и по времени одинаково обрабатывать

ну добавить 150с ожидания в первом случае. Или рандомное время ожидания (до определенного значения) добавлять ко всему


"Уязвимость в OpenSSH, позволяющая определить наличие пользов..."
Отправлено PereresusNeVlezaetBuggy , 16-Авг-18 15:10 
Ну вот примерно так и сделано было. Только промахнулись с одним вариантом развития событий.
"Уязвимость в OpenSSH, позволяющая определить наличие пользов..."
Отправлено Аноним , 16-Авг-18 16:36 
Кривая обработка от тайминг аттак.
"Уязвимость в OpenSSH, позволяющая определить наличие пользов..."
Отправлено Ан , 16-Авг-18 15:36 
Не добавить, а фиксированное время обработки ввести. Например, 2 минуты =)
"Уязвимость в OpenSSH, позволяющая определить наличие пользов..."
Отправлено Нанобот , 17-Авг-18 13:36 
> Ну а как бы ты сделал?

я бы сделал именно так, как сделано в openssh

"Уязвимость в OpenSSH, позволяющая определить наличие пользов..."
Отправлено lone_wolf , 16-Авг-18 08:55 
Эм а патчи уже какие-то есть? И кто нибудь знает номер этой проблемы, чтоб можно было в ченжлоге к обновленному пакету смотреть исправлена эта проблема или нет.
"Уязвимость в OpenSSH, позволяющая определить наличие пользов..."
Отправлено yrii2121 , 17-Авг-18 10:45 
Tracked issues without a CVE name.
https://security-tracker.debian.org/tracker/TEMP-0906236-B6E4B3
"Уязвимость в OpenSSH, позволяющая определить наличие пользов..."
Отправлено PereresusNeVlezaetBuggy , 17-Авг-18 14:19 
В первоисточнике вполне чётко показано, что уязвимость нашли уже после её исправления.
"Уязвимость в OpenSSH, позволяющая определить наличие пользов..."
Отправлено Аноним , 16-Авг-18 09:12 
Ну узнает хацкир, что у меня есть в системе пользователи с именем root и "I+i4Jl[t5h>}|<" , дальше что? Потом узнает, что в системе работает fail2ban и  firewall настроенные, и пускают туда только по ключам.
"Уязвимость в OpenSSH, позволяющая определить наличие пользов..."
Отправлено Maxim , 17-Авг-18 15:30 
С такой энтропией (~84bit) на гигабитном канале (условно 1 000 000 пакетов в секунду) и при отсутствии fail2ban и DDoS protection - миллиарды лет.
"Уязвимость в OpenSSH, позволяющая определить наличие пользов..."
Отправлено A.Stahl , 16-Авг-18 09:28 
Совсем сайт поломали. Ну тогда сами исправляйте глупые ошибки в тексте.
"Уязвимость в OpenSSH, позволяющая определить наличие пользов..."
Отправлено Michael Shigorin , 16-Авг-18 12:17 
> Совсем сайт поломали. Ну тогда сами исправляйте глупые ошибки в тексте.

Гм, ну исправил, вроде "патч" ушёл...

"Уязвимость в OpenSSH, позволяющая определить наличие пользов..."
Отправлено A.Stahl , 16-Авг-18 13:01 
У тебя есть какой-то доступ ближе к сути? У меня вообще не было кнопки отправить изменения. Да и как-то последнее время сайт себя странно ведёт: там вылезет, там перекосит, там ещё фигня какая-то.
"Уязвимость в OpenSSH, позволяющая определить наличие пользов..."
Отправлено Michael Shigorin , 16-Авг-18 16:26 
> У тебя есть какой-то доступ ближе к сути? У меня вообще не
> было кнопки отправить изменения. Да и как-то последнее время сайт себя
> странно ведёт: там вылезет, там перекосит, там ещё фигня какая-то.

Это не кнопка, а ссылка -- справа внизу под текстом новости на основной её странице:

---
исправить  +11 +/–
--- https://www.opennet.ru/opennews/art.shtml?num=49142

"Уязвимость в OpenSSH, позволяющая определить наличие пользов..."
Отправлено A.Stahl , 16-Авг-18 16:47 
Неужели моё сообщение НАСТОЛЬКО невразумительно? Я могу зайти в режим редактирования, но там нет кнопки коммита.


"Уязвимость в OpenSSH, позволяющая определить наличие пользов..."
Отправлено Michael Shigorin , 16-Авг-18 16:50 
> Неужели моё сообщение НАСТОЛЬКО невразумительно?

Как минимум для меня, выходит, да.

> Я могу зайти в режим редактирования, но там нет кнопки коммита.

Всю дорогу были кнопки "сохранить" и "восстановить" опять же справа внизу под формой редактирования существующей новости.  Сломать или потерять не пробовал, правда.

"Уязвимость в OpenSSH, позволяющая определить наличие пользов..."
Отправлено Аноним84701 , 16-Авг-18 20:28 
> Неужели моё сообщение НАСТОЛЬКО невразумительно? Я могу зайти в режим редактирования, но
> там нет кнопки коммита.

У меня (но только в "нефорумном" режиме просмотра) есть. У Михаила есть. Даже у простого, неномерного анонима - тоже есть (зашел и проверил). И только у вас нет. Выводы прямо таки напрашиваются :)


"Уязвимость в OpenSSH, позволяющая определить наличие пользов..."
Отправлено КО , 17-Авг-18 08:15 
Ctrl+0 не помогает?
"Уязвимость в OpenSSH, позволяющая определить наличие пользов..."
Отправлено Аноним , 16-Авг-18 09:37 
Вы всё ещё используете ssh с паролем? Тогда мы идём к вам!
"Уязвимость в OpenSSH, позволяющая определить наличие пользов..."
Отправлено Аноним , 16-Авг-18 11:09 
во времена дырявых процессоров использовать ключи не слишком надежнее.
разве что использовать одноразовые пароли распечатанные на бумажке.
"Уязвимость в OpenSSH, позволяющая определить наличие пользов..."
Отправлено A.Stahl , 16-Авг-18 12:07 
Во вторую мировую британская разведка смогла пебедить даже шифрблокноты. Именно математически, а не кражей материалов.
Даже шифрблокнотам нет веры, хотя казалось бы...
"Уязвимость в OpenSSH, позволяющая определить наличие пользов..."
Отправлено Пользователь Debian , 16-Авг-18 12:26 
Шифроблокнот длиной с общую длину всех сообщений, зашифрованных с его использованием (или длиннее) невозможно победить математически — даже во Вторую Мировую.
"Уязвимость в OpenSSH, позволяющая определить наличие пользов..."
Отправлено A.Stahl , 16-Авг-18 12:33 
И?
"Уязвимость в OpenSSH, позволяющая определить наличие пользов..."
Отправлено anonymous , 16-Авг-18 13:50 
и значит что сказаное тобой лишь флюродросинг могучей сильной светлой и чистой как роса на утреннем солнце западной науке.
"Уязвимость в OpenSSH, позволяющая определить наличие пользов..."
Отправлено Пшшш , 16-Авг-18 16:53 
Использую SSH с паролем+TOTP RFC 4226. Приходите, буду рад.
"Уязвимость в OpenSSH, позволяющая определить наличие пользов..."
Отправлено имя , 16-Авг-18 17:57 
так не честно.

Мы для vpn тоже так, а вот для ssh как-то проще с ключами, хотя так наверное даже безопаснее.

"Уязвимость в OpenSSH, позволяющая определить наличие пользов..."
Отправлено Аноним , 16-Авг-18 17:33 
придут же ;)
"Уязвимость в OpenSSH, позволяющая определить наличие пользов..."
Отправлено Ilya Indigo , 16-Авг-18 20:58 
Апстрим на это как-то отреагировал?
"Уязвимость в OpenSSH, позволяющая определить наличие пользов..."
Отправлено PereresusNeVlezaetBuggy , 17-Авг-18 14:20 
На что? На то, что обнаружили уязвимость в коде, который был уже пропатчен?
"Уязвимость в OpenSSH, позволяющая определить наличие пользов..."
Отправлено Ilya Indigo , 17-Авг-18 14:27 
> На что? На то, что обнаружили уязвимость в коде, который был уже
> пропатчен?

1 Из текста новости не понятно исправлена она или нет.
2 Апстим должен выпускать обновления, а не патчить.

"Уязвимость в OpenSSH, позволяющая определить наличие пользов..."
Отправлено PereresusNeVlezaetBuggy , 17-Авг-18 14:32 
>> На что? На то, что обнаружили уязвимость в коде, который был уже
>> пропатчен?
> 1 Из текста новости не понятно исправлена она или нет.

Поправьте автора новости?

> 2 Апстим должен выпускать обновления, а не патчить.

И выпустит. Проблема критической не считается, так что внеочередного релиза, скорее всего, не будет (но я с djm@ водку по утрам не пью, так что зарекаться не буду).

"Уязвимость в OpenSSH, позволяющая определить наличие пользов..."
Отправлено Аноним , 16-Авг-18 22:29 
PoC: http://seclists.org/oss-sec/2018/q3/125
"Уязвимость в OpenSSH, позволяющая определить наличие пользов..."
Отправлено Ващенаглухо , 17-Авг-18 09:04 
чет paramiko не заработал
"Уязвимость в OpenSSH, позволяющая определить наличие пользов..."
Отправлено Аноним , 17-Авг-18 00:31 
Фейспалмище! То есть они специально работали над выравниванием времени в том и другом случае, но при этом оставили разное поведение?
"Уязвимость в OpenSSH, позволяющая определить наличие пользов..."
Отправлено Стоп , 17-Авг-18 01:30 
Это OpenSSH. А Фейспал за углом в трех кварталах отсюда.
"Уязвимость в OpenSSH, позволяющая определить наличие пользов..."
Отправлено КО , 17-Авг-18 08:17 
Поведение разное в третьем и четвертом случае. В первых двух выровняли.
"Уязвимость в OpenSSH, позволяющая определить наличие пользов..."
Отправлено Аноним , 17-Авг-18 03:48 
Похожая проблема openssh от 2016 года https: https//www.opennet.ru/opennews/art.shtml?num=44802
"Уязвимость в OpenSSH, позволяющая определить наличие пользов..."
Отправлено Аноним , 21-Авг-18 07:00 
Ты вручную адрес ссылки что ли писал?