URL: https://www.opennet.ru/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 84783
[ Назад ]
Исходное сообщение
"Во FreeBSD устранена серьезная уязвимость в libcrypt"
Отправлено opennews , 30-Май-12 21:53 
Во FreeBSD обнаружена проблема с хэшированием паролей с использованием стандартной функции crypt(3). Ошибка в реализации алгоритма хэширования DES, расширенного дополнительными элементами для затруднения подбора созданных хэшей, привела к тому, что в ситуации, когда в поступающем вводе встречается символ с кодом 0x80, этот символ и все идущие за ним символы игнорируются. Проблема проявляется только для систем и приложений, использующих алгоритм DES через функцию crypt(). Уязвимости подвержены все поддерживаемые ветки FreeBSD. Проблема устранена в обновлениях 7.4-STABLE, 7.4-RELEASE-p8, 8.3-STABLE, 8.3-RELEASE-p2, 8.2-RELEASE-p8, 8.1-RELEASE-p10, 9.0-STABLE и 9.0-RELEASE-p2. Кроме проблемы с libcrypt в данных обновлениях также устранено 5 уязвимостей во входящем в базовую систему пакете OpenSSL.


URL: http://lists.freebsd.org/pipermail/freebsd-announce/2012-May...
Новость: https://www.opennet.ru/opennews/art.shtml?num=33970

Содержание
Сообщения в этом обсуждении
"Во FreeBSD устранена серьезная уязвимость в libcrypt"
Отправлено evgeny_t , 30-Май-12 21:53 
а как они обновят ? у текущих пользователей пароль уже захеширован )
хотя кто использует русские буквы
"Во FreeBSD устранена серьезная уязвимость в libcrypt"
Отправлено pavlinux , 30-Май-12 22:20 
А что, Blowfish там никак низя?!
"Во FreeBSD устранена серьезная уязвимость в libcrypt"
Отправлено XoRe , 30-Май-12 22:37 
> А что, Blowfish там никак низя?!

Можно.
Если не ошибаюсь, в /etc/login.conf настраивается.
Но изкоробки - вроде DES.

"Во FreeBSD устранена серьезная уязвимость в libcrypt"
Отправлено 17 , 31-Май-12 00:19 
из коробки md5. но обычно все сразу меняют на blf в login.conf
"Во FreeBSD устранена серьезная уязвимость в libcrypt"
Отправлено kshetragia , 31-Май-12 05:39 
Обычно подкладывается ключ в authorized_keys и вход по паролю вырубается нахрен.
"Во FreeBSD устранена серьезная уязвимость в libcrypt"
Отправлено Куяврик , 31-Май-12 08:02 
Яростно плюсую. Отдельное удивление паролям с русскими буквами.
"Во FreeBSD устранена серьезная уязвимость в libcrypt"
Отправлено arisu , 31-Май-12 11:22 
> Обычно подкладывается ключ в authorized_keys и вход по паролю вырубается нахрен.

а потом чувак смотрит в монитор и думает, как же туда залогиниться, потому что сетевуха ёк.

"Во FreeBSD устранена серьезная уязвимость в libcrypt"
Отправлено Аноним , 31-Май-12 13:06 
О да, это так часто бывает...
"Во FreeBSD устранена серьезная уязвимость в libcrypt"
Отправлено arisu , 31-Май-12 13:23 
> О да, это так часто бывает…

конечно, «я не встречал — значит, не бывает». отличный подход… для админа локалхоста.

"Во FreeBSD устранена серьезная уязвимость в libcrypt"
Отправлено Аноним , 31-Май-12 13:24 
тык safe mode, не?
"Во FreeBSD устранена серьезная уязвимость в libcrypt"
Отправлено Аноним , 31-Май-12 13:28 
> тык safe mode, не?

и эта... не обязательно же пароль у рута отбирать, в sshd_config есть: PasswordAuthentication

"Во FreeBSD устранена серьезная уязвимость в libcrypt"
Отправлено kshetragia , 31-Май-12 15:19 
Я вообще-то про ssh соединение.. Причем тут терминал. Или вас в терминале ломают?
"Во FreeBSD устранена серьезная уязвимость в libcrypt"
Отправлено zazik , 31-Май-12 19:25 
>> Обычно подкладывается ключ в authorized_keys и вход по паролю вырубается нахрен.
> а потом чувак смотрит в монитор и думает, как же туда залогиниться,
> потому что сетевуха ёк.

Ну как бы сингл мод(если вообще всё отрублено, кроме логина по ключам).

"Во FreeBSD устранена серьезная уязвимость в libcrypt"
Отправлено тигар , 01-Июн-12 22:38 
для этого даже в linux есть пользователь root.
"Во FreeBSD устранена серьезная уязвимость в libcrypt"
Отправлено XoRe , 01-Июн-12 23:45 
>> Обычно подкладывается ключ в authorized_keys и вход по паролю вырубается нахрен.
> а потом чувак смотрит в монитор и думает, как же туда залогиниться,
> потому что сетевуха ёк.

Ничто не мешает иметь пароль у учетной записи и у рута.
Из сети подключаться по ключу.
А из консоли (когда сетевуха ёк), подключаться по паролю.

"Во FreeBSD устранена серьезная уязвимость в libcrypt"
Отправлено Куяврик , 04-Июн-12 12:05 
>> Обычно подкладывается ключ в authorized_keys и вход по паролю вырубается нахрен.
> а потом чувак смотрит в монитор и думает, как же туда залогиниться,
> потому что сетевуха ёк.

приехать в датацентр в атланту и ввести пароль. KVM? а при наличии KVM я и без пароля рутом стану.

"Во FreeBSD устранена серьезная уязвимость в libcrypt"
Отправлено Аноним , 31-Май-12 16:19 
> Обычно подкладывается ключ в authorized_keys и вход по паролю вырубается нахрен.

Все замечательно, но как при этом выглядит локальный вход в систему?

"Во FreeBSD устранена серьезная уязвимость в libcrypt"
Отправлено kshetragia , 31-Май-12 17:16 
Так же как и до..


"Во FreeBSD устранена серьезная уязвимость в libcrypt"
Отправлено XoRe , 02-Июн-12 00:17 
> из коробки md5. но обычно все сразу меняют на blf в login.conf

Да, md5.

"Во FreeBSD устранена серьезная уязвимость в libcrypt"
Отправлено oxyum , 30-Май-12 22:39 
Где-то уже я читал о подобной уязвимости в паролях с символами старше 0x7F... вот только не могу вспомнить где... кажись с год-два назад было.
"Во FreeBSD устранена серьезная уязвимость в libcrypt"
Отправлено Аноним , 30-Май-12 23:08 
https://www.opennet.ru/opennews/art.shtml?num=30953
"Во FreeBSD устранена серьезная уязвимость в libcrypt"
Отправлено iZEN , 31-Май-12 00:03 
Никогда не использовал пароли с символами национального алфавита.
"Во FreeBSD устранена серьезная уязвимость в libcrypt"
Отправлено Аноним , 31-Май-12 00:16 
А я никогда не использовал FreeBSD.
"Во FreeBSD устранена серьезная уязвимость в libcrypt"
Отправлено anonymous , 31-Май-12 05:18 
А я использовал и мне не понравилось.
"Во FreeBSD устранена серьезная уязвимость в libcrypt"
Отправлено Нано анон , 31-Май-12 07:19 
А я использовал и мне понравилось.
"Во FreeBSD устранена серьезная уязвимость в libcrypt"
Отправлено Аноним , 31-Май-12 11:58 
А я не использовал, и мне понравилось.
"Во FreeBSD устранена серьезная уязвимость в libcrypt"
Отправлено user , 31-Май-12 13:32 
А я не использовал и мне понравилось.
"Во FreeBSD устранена серьезная уязвимость в libcrypt"
Отправлено pavlinux , 31-Май-12 15:35 
> А я не использовал и мне понравилось.

А я и мне.

"Во FreeBSD устранена серьезная уязвимость в libcrypt"
Отправлено Аноним , 31-Май-12 16:37 
А этому господину больше не наливать.
"Во FreeBSD устранена серьезная уязвимость в libcrypt"
Отправлено Аноним , 31-Май-12 16:22 
> А я использовал и мне понравилось.

А я использовал, сравнил с линуксом и срулил туда.

DES очень хорошо подходит к природе бсдшников. Аццтойный древний алгоритм, который под любым углом выглядит как ископаемая дрянь: он и не секурный и тормозной - одновременно! Почему старые маразматики из беркелея им вообще пользуются в 2012 году - загадка природы. Ручник можно и побыстрее отпускать.

"Во FreeBSD устранена серьезная уязвимость в libcrypt"
Отправлено Аноним , 01-Июн-12 04:24 
Для тупых повторяю большими красными буквами - чтоб там был DES тебе придётся вручную конфиги править. А ватузятник - а ты вантузятник - не осилит :)
"Во FreeBSD устранена серьезная уязвимость в libcrypt"
Отправлено kurokaze , 31-Май-12 13:13 
мазохисты тебя не поймут
"Во FreeBSD устранена серьезная уязвимость в libcrypt"
Отправлено тигар , 01-Июн-12 22:41 
> А я использовал и мне не понравилось.

че, плохая система ругалась на то, что нет такой команды как apt-get ?

"Во FreeBSD устранена серьезная уязвимость в libcrypt"
Отправлено XoRe , 01-Июн-12 23:46 
>> А я использовал и мне не понравилось.
> че, плохая система ругалась на то, что нет такой команды как apt-get
> ?

Нет экрана с коричневыми обоинами.

"Во FreeBSD устранена серьезная уязвимость в libcrypt"
Отправлено тигар , 02-Июн-12 00:15 
>>> А я использовал и мне не понравилось.
>> че, плохая система ругалась на то, что нет такой команды как apt-get
>> ?
> Нет экрана с коричневыми обоинами.

это повод для pr, считаю, парни из @freebsd.org количественно не добрали хомячков из-за этого! %(

"Во FreeBSD устранена серьезная уязвимость в libcrypt"
Отправлено Аноним , 31-Май-12 00:16 
Вообще то по умолчанию пароли пользователей во фре в МД5 хешатся уже очень-очень давно. Настолько давно, что 7 ветки тогда и в проекте небыло. И там есть
     Currently supported algorithms are:

           1.   MD5
           2.   Blowfish
           3.   NT-Hash

напишите в /etc/auth.conf
crypt_default = blf
будет Blowfish.

"Во FreeBSD устранена серьезная уязвимость в libcrypt"
Отправлено Аноним , 31-Май-12 00:34 
+ это еще настраивается для каждого логин класса (по умолчанию тоже md5) в /etc/login.conf
"Во FreeBSD устранена серьезная уязвимость в libcrypt"
Отправлено iZEN , 31-Май-12 01:30 
default:\
    :passwd_format=md5:\

в /etc/login.conf FreeBSD 9-STABLE.

"Во FreeBSD устранена серьезная уязвимость в libcrypt"
Отправлено pavlinux , 31-Май-12 15:54 
> default:\
>  :passwd_format=md5:\
> в /etc/login.conf FreeBSD 9-STABLE.

Пишите бах-репорт, мол что за нах, 21 век, а мы все на ДЕСе и МД5

"Во FreeBSD устранена серьезная уязвимость в libcrypt"
Отправлено Аноним , 31-Май-12 16:23 
> Пишите бах-репорт, мол что за нах, 21 век, а мы все на ДЕСе и МД5

Некрофилов серебряные пули исправят...

"Во FreeBSD устранена серьезная уязвимость в libcrypt"
Отправлено Куяврик , 04-Июн-12 12:08 
>> Пишите бах-репорт, мол что за нах, 21 век, а мы все на ДЕСе и МД5
> Некрофилов серебряные пули исправят...

глядя на тебя понимаешь, что серебряные пули в некоторых вопросах не помогают.

"Во FreeBSD устранена серьезная уязвимость в libcrypt"
Отправлено Lazy_Kent , 31-Май-12 00:46 
Вот возникает вопрос. Требуется перекомпилировать порты, зависимые от системной библиотеки. Как узнать, какие?

NOTE: Any third-party applications, including those installed from the
FreeBSD ports collection, which are statically linked to libcrypto(3)
should be recompiled in order to use the corrected code.

"Во FreeBSD устранена серьезная уязвимость в libcrypt"
Отправлено Kibab , 31-Май-12 02:18 
Ну навскидку -- посмотреть, какие есть функции с характерными названиями в libcrypt.a, и дальше по всем бинарям в /usr/local/{bin,sbin,libexec} пройтись nm и профильтровать по такому названию. На бинари, содержащие функцию, натравить pkg_info -W и узнать названия пакетов, далее ясно.
"Во FreeBSD устранена серьезная уязвимость в libcrypt"
Отправлено Lazy_Kent , 31-Май-12 03:57 
> Ну навскидку -- посмотреть, какие есть функции с характерными названиями в libcrypt.a,
> и дальше по всем бинарям в /usr/local/{bin,sbin,libexec} пройтись nm и профильтровать
> по такому названию. На бинари, содержащие функцию, натравить pkg_info -W и
> узнать названия пакетов, далее ясно.

Спасибо. Вряд ли осилю. Как посмотрел, 70 портов, всего лишь, установлено. За пару часов world и порты скомпилируются.

Не в тему: Радует, что в используемом Linux нет статических библиотек.

"Во FreeBSD устранена серьезная уязвимость в libcrypt"
Отправлено Аноним , 31-Май-12 04:14 
http://lists.freebsd.org/pipermail/freebsd-announce/2012-May...

Пункт 2a. Там не написано, что надо пересобирать мир и софт. Пересобрать надо только либу. Так что Вы вроде как пару часов ерундой маялись.

"Во FreeBSD устранена серьезная уязвимость в libcrypt"
Отправлено Lazy_Kent , 31-Май-12 09:06 
> http://lists.freebsd.org/pipermail/freebsd-announce/2012-May...
> Пункт 2a. Там не написано, что надо пересобирать мир и софт. Пересобрать
> надо только либу. Так что Вы вроде как пару часов ерундой
> маялись.

Там параллельно ещё http://lists.freebsd.org/pipermail/freebsd-announce/2012-May...
Так что, никуда не деться.

"Во FreeBSD устранена серьезная уязвимость в libcrypt"
Отправлено Аноним , 02-Июн-12 09:41 
> пройтись nm

Порты по умолчанию стрипуются от названий символов, см. Strip в bsd.port.mk и ключик `-s' у install(1) и cc(1).

  $ cc foo.c -static -lcrypt -s
  $ nm a.out
  nm: a.out: no symbols

С динамической линковкой проще, nm -D работает всегда.

  $ cc foo.c -lcrypt -s
  $ nm a.out
  nm: a.out: no symbols
  $ nm -D a.out
                   w _Jv_RegisterClasses
  0000000000600a94 A __bss_start
  0000000000600a78 D __progname
  0000000000600a94 A _edata
  0000000000600aa0 A _end
                   U _init_tls
                   U atexit
                   U crypt
  0000000000600a98 B environ
                   U exit