Newsgroup: it.comp.sicurezza.varie
Titolo: Openssh bug


To: 
anno...@openbsd.org
Subject: OpenSSH 3.2.2 released
Message-ID: <20020516223534.GA12282@muamat>
Mime-Version: 1.0
Content-Type: text/plain; charset=us-ascii
Content-Disposition: inline
User-Agent: Mutt/1.3.25i
X-Loop: 
anno...@openbsd.org
Precedence: list
Sender: 
owner-a...@openbsd.org
Status: RO
Content-Length: 1601
Lines: 43
OpenSSH 3.2.2 has just been released. It will be available from the
mirrors listed at 
http://www.openssh.com/
 shortly.
OpenSSH is a 100% complete SSH protocol version 1.3, 1.5 and 2.0
implementation and includes sftp client and server support.
We would like to thank the OpenSSH community for their continued
support and encouragement.
Security Changes:
=================
- fixed buffer overflow in Kerberos/AFS token passing
- fixed overflow in Kerberos client code
- sshd no longer auto-enables Kerberos/AFS
- experimental support for privilege separation,
  see UsePrivilegeSeparation in sshd(8) and
 
http://www.citi.umich.edu/u/provos/ssh/privsep.html
  for more information.
- only accept RSA keys of size SSH_RSA_MINIMUM_MODULUS_SIZE (768) or larger
Other Changes:
==============
- improved smartcard support (including support for OpenSC, see 
www.opensc.org
)
- improved Kerberos support (including support for MIT-Kerberos V)
- fixed stderr handling in protocol v2
- client reports failure if -R style TCP forwarding fails in protocol v2
- support configuration of TCP forwarding during interactive sessions (~C)
- improved support for older sftp servers
- improved support for importing old DSA keys (from 
ssh.com
 software).
- client side suport for PASSWD_CHANGEREQ in protocol v2
- fixed waitpid race conditions
- record correct lastlogin time
Reporting Bugs:
===============
- please read 
http://www.openssh.com/report.html
 and
 
http://bugzilla.mindrot.org/
OpenSSH is brought to you by Markus Friedl, Niels Provos, Theo de Raadt,
Kevin Steves, Damien Miller and Ben Lindstrom.
=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=> CLIP HERE < =-=-=-=-=-=-=-=-=-=-=-=-=-=-=-
-- 
Mi gusto dall'alto una bella panoramica: una vasta veduta di ceramica,
qualcosa galleggia nell'acqua sporca, non vuole annegare ma la sua sorte
e' segnata: tiro la catena e lui si e' mosso, lo vedo bene,
e' qualcosa di marrone e grosso.. E' PROPRIO LUI: il Profeta fesso !

L'annuncio e' *molto* fumoso, BTW; stiamo a vedere.
Il grave per ora, IMHO e`:
woody ha i pacchetti in security.
potato no. (sic).
-- 
Maurizio - Tannoiser - Lemmo
STIGE Srl Servizi Informatici
Founder Member of ERLUG (Emilia Romagna Linux User Group)
http://erlug.linux.it

potato no. (sic).
beh in ogni caso, puoi sempre fare un filtro con
ipchains no?..non sara' molto pratico,pero' funziona
un blade Spammer che ora va a  controllare i suoi server...
----------------------------------------------
Blade Spammer II     
AntiSpam Net-Runner Unit
" I've seen SPAMs you people wouldn't believe.
   Time to shutdown. "                     ;^)
----------------------------------------------

 Una settimana nera, non c'e' che dire...:-/
Gia', prima Apache ed ora OpenSSH, tanta materia per i rompipalle
wannabe, purtroppo..


ipchains no?..non sara' molto pratico,pero' funziona
sni, se hai ossh aperto e` perche` lo usi no? se non lo usi, tanto vale
non averlo nemmeno...


wannabe, purtroppo..
non solo: il pacchetto ossh, attualmente non c'e` per potato. Il che non
e` particolarmente bello.
De raat, non ha voluto rilasciare i dettagli della vuln, dice solo che
e` vulnerabile.
Anche in questo caso, come per apache, ci sono di mezzo i ISS. buffo.
la 3.3p1 e` tutto furoche` una versione funzionale, ha problemi con la
compressione, e con alcune funzionalita`.
Debian non pacchettizza perche` non e` sicura che questo pacchetto, non
introduca nuovi bachi. Eppero` nel frattempo...


 compressione, e con alcune funzionalita`.
E non riesco neanche a compilarla su Compaq Tru64 Unix 5.0A. Per caso
c'e' qualcuno che c'e' riuscito?
-- 
Carlo Luciano
GPG ElG/DSA 4096/1024 Key: 
http://web.tiscali.it/clbianco/clbianco.asc
ID: 0x5324A0DA - Fingerprint: 8B00C61034120506111B143DEDBF71B45324A0DA

 e` particolarmente bello.
happycactus@brain:~$ dpkg -l | grep ssh
ii  ssh            1.2.3-9.4      Secure rlogin/rsh/rcp replacement 
(OpenSSH)
e si tratta di una potato 2.2r3 ovviamente sempre aggiornata...
Probabilmente ti riferisci al fatto che questa non supporta SSH2.... ma 
sapete quali sono le versioni incriminate? solo la 3.3 o anche le 
precedenti?
-- 
don't feed the troll
partecipa anche tu all'iniziativa:
"il primo fanculo ? quello che conta"
killa in silenzio, vivi felice

 introduca nuovi bachi. Eppero` nel frattempo...
Ma Md ha pubblicizzato un pacchetto per Woody (3.3p1) che a quanto pare
pero', come evidenziato da whiplash, non risolve il bug a meno di usare
la keyword incriminata, so what?
-- 
Se vuoi avere un newsgroup pulito da parassiti metti due di pacche nel
killfile: la vita ti sorridera' ! E se leggi commenti al tuo killfile da
parte sua evita di rispondergli, il suo QI gli impedisce di capire.
(P) Pubblicita' Progresso

 precedenti?
Non vorrei dire una fesseria ma credo la 3.3 e basta (vi prego,
correggetemi se ho detto una bestialita'..


non averlo nemmeno...
il fatto di avere ssh aperto non significa che per forza devo permettere
connessioni da tutto il mondo verso quella macchina (forse per questo 
sshd puo' essere compilato abilitando i tcp wrapper ;)
in situazioni di emergenza,come magari potrebbe essere questa, nel dubbio
(e in mancanza di voglia/tempo per upgradare tutti i server ssh della
propria rete) quella di usare i wrapper o il filtro di ipchains e' una
possibile strada
si vocifera che la versione di potato sia sicura...solite voci di
corridoio da controllare chiaramente!
un Blade Spammer che comunque rimane con le orecchie dritte nonostante le
voci rassicuranti!


 fosse cosi'.
che de raatd sia un estremista di obsd non c'e' da specificarlo :)
se non sono stati rilasciati dettagli sul bug (cosa avvenuta anche per
apache e
per altri sw delicati) credo sia stato per evitare la crescita a dismisura
di exploit e,
tendenza che bisogna capire per quanto tirera', worm! (lpd, bind, han gia'
dato
la loro parte)
c'e' da dire che il comportamento del team di obsd in fase di auditing e'
stato
gia' criticato in passato.
il loro team fa' un ottimo lavoro dal momento che per prima cosa cambia le
chiamate
di libreria con le proprie, e dopo questo il codice viene sottoposto ad
auditing da
piu' persone.
motivo per cui, alcune volte su bugtraq, quando usciva un exploit e de raatd
rispondeva con un inquietante "ovviamente OpenBSD non e' vulnerabile" la
gente
un po' si incazzava :)
da quel momento, ogni tanto, vengono postati alcuni link a programmi fixati
(nulla
che comprenda file suid o demoni, anche sw come ls e ps rientrano in questo
bugfix)
ciao ciao

 non averlo nemmeno...
critica valida :) per poter parare vulnerabilita' simili forse e' meglio
usare i sw
precompilati da 
immunix.org
 in modo da sfruttare un binario compilato con
stackguard
tra l'altro, se si vuole evitare almeno i mass scan, si potrebbe cambiare
temporaneamente la porta sulla quale ssh gira
ciao ciao

e` particolarmente bello.
http://www.debian.org/security/2002/dsa-134
Some notes on possible issues associated with this upgrade:
- This package introduces a new account called `sshd' that is used in
the privilege separation code. If no sshd account exists the package
will try to create one. If the account already exists it will be
re-used. If you do not want this to happen you will have to fix this
manually. 
- (relevant for potato only) This update adds a backport of version
0.9.6 of the SSL library. This means you will have to upgrade the ssl
package as well. 
- (relevant for potato only) This update defaults to using version 2
of the SSH protocol. This can break existing setups where RSA
authentication is used. You will either have to add -1 to the ssh
invocation to keep using SSH protocol 1 and your existing keys, or
create new keys for SSH protocol 2. 
- sshd defaults to enabling privilege seperation, even if you do not
explicitly enable it in /etc/ssh/sshd_config. 
- If ssh does not work for you you can try to disable compression. We
already included a patch from Solar Designer which fixes the problem
with Linux 2.2 kernels, but there might be a few cases where this is
not sufficient. 

 L'annuncio e' *molto* fumoso, BTW; stiamo a vedere.
Pare che ci sia finalmente un po' di chiarezza:
http://www.openssh.org/
http://www.openssh.org/txt/iss.adv
http://www.openssh.org/txt/preauth.adv
Intanto e' uscita anche la versione 3.4 che corregge (speriamo...) il
bug. Come rimedio temporaneo si puo' abilitare la separazione dei
privilegi oppure, se questo non fosse permesso dalla versione di OpenSSH
in uso, disabilitare la "ChallengeResponseAuthentication".


 seperation."
Non vorrei dire una idiozia (ora sono offline e non posso leggere il
riferimento che mi hai scritto), ma quello che viene chiamato "keyboard
interactive authentication" non e' la classica autenticazione con
password. E' la "Challenge Response Authentication" che dovrebbe infatti
essere comunque disabilitata per non incorrere nel bug.
Comunque non so se questo problema ci sia anche con la 3.4.


 Pare, perche' Mr. Theo ancora non si degna di dare dettagli.
A quanto pare non ci dovrebbero essere problemi. Ma...
Markus Friedl wrote on bugtraq:
        All versions between 2.3.1 and 3.3 contain a bug in the
        PAMAuthenticationViaKbdInt code.
        All versions between 2.9.9 and 3.3 contain a bug in the
        ChallengeResponseAuthentication code.
        OpenSSH 3.4 and later are not affected.
Fabio

 ha scritto nel messaggio
news:afdh8q$6vh$1...@usenet02.sei.cmu.edu...
dany
--
Stato: Composizione in corso.
Messaggio emesso da: RASAPI32.DLL


Date: Wed, 26 Jun 2002 21:40:09 +0200
NNTP-Posting-Host: 
a.405.anti-phl.bofh.it
-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
So as it turns out, AFAIK, none of the versions of OpenSSH in Debian 
were actually vulnerable to the exploit found by ISS and reported in 
DSA-134
Potato wasn't vulnerable because it is SSH1 only, and the problem lies 
in the ChallengeResponseAuthentication feature that only exists in the 
SSH2 protocol.
Also in order to be vulnerable, either S/KEY or BSD_AUTH authentication 
mechanism needed to be enabled at compile time. The woody/sid packages 
do not enable either of these features. So what it all boils down to is 
that at no time was Debian vulnerable to this problem.
I'm curious what recourse Debian is planning to take now? Perhaps 
removing the buggy OpenSSH 3.3 packages off of 
security.debian.org
 so 
people don't upgrade to it since it's not at all necessary and it will 
only cause problems like screwing up compression and pam.
- --
Paul Baker
"They that can give up essential liberty to obtain a little temporary 
safety deserve neither liberty nor safety."
          -- Benjamin Franklin, 1759
GPG Key: 
http://homepage.mac.com/pauljbaker/public.asc
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.0.6 (Darwin)
Comment: For info see 
http://www.gnupg.org
iD8DBQE9GheLoxmRVfL3nlsRAmM4AJ9mBv0mgZhEqW/Duzoj5SUQw4UewACeICe+
I6wH9uksQP9RJMpZk5YNqQc=
=jknM
-----END PGP SIGNATURE-----


 
A serious vulnerability that deals with OpenSSH was discovered this week
that allows hackers to obtain remote root access to your servers! 
For more details see: 
http://www.net-security.org/article.php?id=138
or
http://online.securityfocus.com/bid/5093
Vulnerabilities like the one above come out all of time.  To ensure your
server stays secure now and down the road I would highly recommend
scanning your systems/network for vulnerabilities on a recurring basis!
At ScannerX we offer a subscription bases vulnerability assessment
scanning solution that you can log into via a browser and launch on-
demand
scans against your network as well as schedule recurring scans of your
network.  Included with every subscription account is monitoring, we 
will
monitor the services on your servers and notify you via email when they 
go
down and come back up, this is especially useful when you have an email
pager or cell phone.  We have solutions starting at just $25/MO, sure to
fit in any companies IT budget.
-- 
se non fai parte della soluzione allora fai parte del problema.
http://werted.cjb.net