Newsgroup: it.comp.os.linux.sys
Titolo: Openssl e frittata!

Ciao a tutti,
chiedo scusa per il titolo forse un pň poco professionale ma avevo voglia di
sdrammatizzare un intero pomeriggio di angustie peripezie sul problema
sicurezza di Openssl.
Visti gli ultimi due bugs di sicurezza di questo mese su Openssl sto
patchando alcuni server sui quali gira ancora la vecchia, ma stabile Red Hat
Linux 6.2
Ebbene: al tempo aggiornai Openssl direttamente ricompilando ed installando
il sorgente (0.9.6g). Ho visto che Red Hat ha aggiornato l'rpm ma la
versione č completamente diversa ed ho qualche dubbio ad aggiornare un
sorgente tramite un rpm!
Sul sito di openssl l'ultima versione č ancora buggata (versione 0.9.7a di
Febbraio 2003), anche se sono presenti nelle pagine html alcune patches da
applicare.
Le mie domande sono due: ormai che ho fatto la frittata, riesco a rimuovere
il vecchio openssl e buttargli su l'rpm di Red Hat opportunamente patchato?
Inoltre, devo ricompilare Apache, sshd e tutte le altre applicazioni che
utilizzano le librerie openssl se ho installato i sources di Apache, ssh,
ecc?
Anche freeswan va ricompilata ed installata se aggiorno openssl o non
importa ai fini della sicurezza e funzionalitŕ?
Ciao, grazie mille, Buona Domenica!
Francesco

 importa ai fini della sicurezza e funzionalità?
Ritengo che tutto cio' che tu hai compilato basato su quelle librerie
vada ricompilato. Male non fa.
Davide

 
in teoria nessun programma che linka openssl (come openssh) necessita di 
ricompilazione, altrimenti a cosa servirebbero i link alle librerie?
man ldd per maggiori dettagli. per rimuovere quello che hai compilato 
basta che lo ricompili in una directory root farlocca e poi vai a 
cancellare a manina, niente di impossibile eh

 vada ricompilato. Male non fa.
Sono daccordo che male non fa, e per stare sul sicuro vale la pena di 
ricompilare, però sono perplesso.
Secondo me è necessario ricompilare solo se i programmi dipendenti includono 
la funzione sorgente buggata, ma se la utilizzano come libreria (mi 
sembrerebbe più giusto) dovrebbe essere sufficiente ricompilare il prog.
Mi piacerebbe sapere di chi è più esperto di me se c'è un modo semplice per 
scoprirlo.
In questo caso mi sembra che le distro non abbiano preparato patch per i 
pacchetti precompilati dipendenti, poiche anche loro avranno avuto il bug, 
immagino che si rientri nel caso in cui non è necessario ricompilare. Pero 
è un ragionamento non molto scientifico

 sembrerebbe più giusto) dovrebbe essere sufficiente ricompilare il prog.
 
Se la libreria buggata e' una shared object, cioe' viene linkata dinamicamente
ai programmi che la usano, allora basta solo ricompilare la libreria e mettere 
a posto il link simolico in /usr/lib (o simili).
Se al contrario la libreria buggata viene linkata staticamente e' necessario
ricompilare il programma che la usa.
Con ldd si puo' scoprire a quali librerie un programma e' linkato dinamicamente.
Con objdump si possono scoprire le funzioni di libreria richiamate
da un programma
Mi pare che OpenSSL sia utilizzata (almeno per Apache, SSH e simili) solo come 
shared object dunque e' sufficiente ricompilare OpenSSL
Ciao!
-- 
Trimack -- GPGKey 61A6ABFD on 
keyserver.linux.it
"Running Windows on a Pentium is like having a brand new Porsche but only
be able to drive backwards with the handbrake on."

 richiamate da un programma
GRAZIE! questa finisce nella mia lista di FAQ