Доступно (http://lists.mindrot.org/pipermail/openssh-unix-dev/2016-Jan...) экстренное обновление OpenSSH 7.1p2 (http://www.openssh.com/), в котором устранена одна из самых опасных уязвимостей (CVE-2016-0777) за историю существования проекта. Проблема проявляется только в реализации клиента SSH и позволяет инициировать передачу серверу содержимого памяти процесса при соединении пользователя с подконтрольным злоумышленнику сервером. В публичном доступе уже опубликован (https://www.qualys.com/2016/01/14/cve-2016-0777-cve-2016-077...) прототип эксплоита, подтверждающий возможность получения в результате атаки находящихся в памяти закрытых ключей клиента.
Проблема связана с работой появившейся в OpenSSH 5.4 недокументированной функции руминга, дающей возможность возобновлять ранее установленные SSH-соединения. Серверная реализация руминга так и не была включена в состав OpenSSH, но код клиента был добавлен в экспериментальном режиме и был включен по умолчанию. Уязвимости подвержены все версии с OpenSSH 5.4 по 7.1, включительно. В качестве обходного пути для блокирования уязвимости достаточно указать в ~/.ssh/config или /etc/ssh/ssh_config директиву "UseRoaming no", или при запуске ssh указывать опцию '-oUseRoaming=no'.Эксплуатация уязвимости через применение MITM-атак с перенаправлением клиента на подставные серверы в результате подмены данных в DNS или вклинивание в транзитный трафик (например, при работе в публичных сетях WiFi) признана невозможной при аутентификации сервера по ключам.
URL: http://lists.mindrot.org/pipermail/openssh-unix-dev/2016-Jan...
Новость: https://www.opennet.ru/opennews/art.shtml?num=43672
а libressh будет ?
А ведь по началу высказанная ими идея взять OpenSSH и выкинуть из него все ненужное казалось немного смешной.
Самое мерзкое в этом инциденте, что Roaming был добавлен молча и оставался недокументированным. В списке изменений OpenSSH 5.4 его нет http://marc.info/?l=openssh-unix-dev&m=126801438509606&w=2
Возникает резонный вопрос: а не специально ли?
Специальный пуск газеты "молния" «Спецслужбы Англии отказались платить донат Тео - за реализацию …».
Лучшая дырка за все существование проекта, еще и с активным эксплоитом за что спасибо!
Не, это https://www.opennet.ru/opennews/art.shtml?num=1293 было круче.
Олдфаги помнят sshnuke.
> Олдфаги помнят sshnuke.Старые фагготы еще и гонки на лафетах по Красной площади помнят. И чо?
CVE-2016-0777 как бы намекает нам 0777
0777 - это всмысле агентгентгент или что?
В смысле chmod )
Демон или утилита?
Ну если операторы резко не начнут собирать ключи, то все нормально.
А если достаточно обновить только клиенты, то даже можено избежать сомнительного посещения своих серверов через уязвимые версии ssh.
Откуда ты знаешь кто уже собрал ключи?
и сколько еще недокументированных функций в OpenSSH? Prism в действии и АНБ одобряет!
Настраивайте двухфакторную авторизацию и сам черт не будет страшен.
щмещная щутка! pam уже стал безопасен!
Не понимаю в чем причина твоей щенячей радости? Почему плохо использовать одноразовые коды?
> Не понимаю в чем причина твоей щенячей радости? Почему плохо использовать одноразовые
> коды?Есть такое слово: ирония.
(я - другой аноним, если что)
Походу, в шестёрке этого роуминга нету, ибо в strings почище чем в убунте.
Ну давайте, порекомендуйте опять шапочку из фольги... Они ж, падлы, уже в фольгу начали встраивать свои хреновины.
> Они ж, падлы, уже в фольгу начали встраивать свои хреновины.Загружайте наших слонов :)
http://packages.altlinux.org/ru/Sisyphus/srpms/openssh/chang...
А если серьёзно -- подключайтесь к Owl/ALT и помогайте купировать эти проблемы, а по возможности и решать в корне.
>> Они ж, падлы, уже в фольгу начали встраивать свои хреновины.
> Загружайте наших слонов :)А скалка в комплекте, чтобы раскатывать слонов в фольгу для шапочек? Или выточить скалку из бивня, обрезки слона раскатать скалкой в фольгу.... А сколько алюминия выходит из 1 Вашего слона? А сколько Ваших слонов надо, чтобы построить маааахонькую "электролизную ванну по выплавке алюминия"??! А электростанцию к ней?... А.... А-а-а-а!?^C
ЗЫЖ Ножик для бивня-скалки возьму на кухне.
Завидую! :-)
Некоторые вон - начинают в Пятницу, прямо с обеда! А мне ещё (глядя на TZ) ... :(
Гад ты Андрейко, просто злыденЬ! :-\
> Некоторые вон - начинают в пятницу, прямо с обеда!Угу, и заканчивают в субботу утром... (не то, что некоторые подумали, а чтоб https://www.opennet.ru/openforum/vsluhforumID3/106337.html#124)
и как эта фигня работает? если у юзера нет аккаунта - он может чего-нибудь дёрнуть?
Скорее всего передернуть он сможет тогда
а, или это сервер может тырить ключи у клиентов? ну, тогда это не баг, а фича. чужих серверов у меня нет
>сервер может
>чужих серверов у меня нетА со своими серверами ты mitm-а не боишься или ч-з чужие сети к ним не ходишь? Взлом (тыр) тебя после взлома "твоего" сервера ты считаешь невозможным потому, что ... ?
>>сервер может
>>чужих серверов у меня нет
> А со своими серверами ты mitm-а не боишься или ч-з чужие
> сети к ним не ходишь? Взлом (тыр) тебя после взлома "твоего"
> сервера ты считаешь невозможным потому, что ... ?А после взлома моего сервера уже станет неважно, через какие сети я до него ходил или не ходил.. Если авторизация по ключам (беспарольный вход) скомпрометирована в одном звене, то априорно считается, что скомпрометированы и все связанные звенья, и проверяются/изменяются все серверы/ключи, прямо или опосредованно связанные со взломанным. То есть все, которые есть и у "тебя".
Кстати, MITM-то здесь при чем? Мне казалось, что сие больше в атаках на OpenSSL и прочей вебне имеет место. SSH по-любому предупреждает, что отпечаток ключа сервера иной, и не дает с ним соединяься автоматом (скриптом, etc...). А если угнали закрытый ключ сервера, то играть в MITM и вовсе смысла нет - и так с сервером что угодно сделать можно, без лишних телодвижений.
> А после взлома моего сервера уже станет неважно, через какие сети яСтанет важно, что "они" _ещё_ смогут унести с лаптопа/десктопа. Ключи-пароли?
А после того, на какие _ещё_ твои серверы пройти с унесёнными ключами/паролями, какие документы (собранные пакеты, коммиты, денежные переводы, ... ... ... //да, ssh!=gpg, перегибаю) подписать без твоего ведома.
А совсем потом и если, тебе станет важно объяснить всем пострадавшим, что... это неважно, потому, как "они" просто взломалт всего 1 твой сервер.
> до него ходил или не ходил.. Если авторизация по ключам (беспарольный
> вход) скомпрометирована в одном звене, то априорно считается, что скомпрометированы и
> все связанные звенья, и проверяются/изменяются все серверы/ключи, прямо или опосредованноНесвязанные и опосредованно -- забыл? Готовься.
> связанные со взломанным. То есть все, которые есть и у "тебя".
> Кстати, MITM-то здесь при чем? Мне казалось, что сие больше в атакахДа, действительно, (Вот теперь я и в новость сходил, спасибо.) оно после проверки ключей. mitm становится сильно сложнее, почти невозможен без взлома/кражи с сервера.
"The authentication of the server host key prevents exploitation by a man-in-the-middle, so this information leak is restricted to connections to malicious or compromised servers."
я вообще мало чего боюсь. а этого твоего митма я первый раз вижу. у меня один сервер на openbsd, всё остальное - компьютеры в моей домашней локалке
> я вообще мало чего боюсь. а этого твоего митма я первый раз
> вижу. у меня один сервер на openbsd, всё остальное - компьютеры
> в моей домашней локалке
><||||||>
> нихрена себе
> только что новую собственную виртуализацию сделали, и тут ещё это
> впрочем, когда исходный код хороший - можно даже малыми силами делать всё,
> что угодно
> я вообще мало чего боюсь. а этого твоего митма я первый раз
> вижу. у меня один сервер на openbsd, всё остальное - компьютеры
> в моей домашней локалкеНу, то есть да, хороший код https://www.opennet.ru/openforum/vsluhforumID3/106324.html#15 , он митма не боится и а огне не тонет. </Завидую!!>
даааахороший код
моя прелесть!
Кто нибудь знает и может мне конструктивно объяснить, почему в openSUSE Tumbleweed до сих пор используется версия 6.6p1?
Не ужели самому придётся собирать актуальную версию?
Я вообще не представляю, как сегодня можно иметь "свой" сервер у хостера. Т.е. если к серверу есть физический доступ не только у тебя, то ему уже нельзя доверять в принципе. И даже если нет физического доступа, а есть какие-нибудь навороты intel amt & Co, у которых есть доступ ко всей памяти, то такому тоже доверять сложно.
Как интересно звучит это "добавлен в экспериментальном режиме и был включен по умолчанию"