|
Voir le sujet précédent :: Voir le sujet suivant
|
| Auteur |
Message |
| |
|
LeMulotNocturne
WRInaute passionné
Inscrit le: 01 Juin 2005
Messages: 594
Localisation: Lyon
|
 Posté le : Ven Mai 16, 2008 12:20 Sujet du message: Important : faille OpenSSL sur distribs Debian 4 (Etch) |
|
|
Bonjour à tous,
désolé si l'info a déjà été postée, mais il vaut mieux enfoncer le clou pour ceux qui ont des serveurs dédiés sous Debian 4 et qui font du SSL (SSH, https, etc...). A priori, les vielles versions de Debian (3.1 par ex.) ne sont pas affectées.
http://linuxfr.org/2008/05/15/24092.html
 Soyez particulirement vigilents si votre accès SSH se fait par clef SSL et non pas par password. |
|
| |
|
 |
Julia41
WRInaute impliqué
Inscrit le: 31 Aoû 2007
Messages: 406
Localisation: Oléron
|
| Posté le : Ven Mai 16, 2008 12:58 Sujet du message: Important : faille OpenSSL sur distribs Debian 4 (Etch) |
|
|
L'exploit consiste à générer toutes les clés pour le login qui sont normalement aléatoire mais qui sur la version ETCH ont été généré avec un randomn non randomn, et donc ne sont pas aléatoire.
Sous SID, ils ont sorti un petit tool pour voir si vos systèmes sont sensibles ou non, à partir d'une blacklist de fingerprint...
| Code: |
ssh-keyscan -t rsa,dsa -p 22 <IP> | ssh-vulney -
|
Sur webrankinfo par exemple, depuis ce matin c'est corrigé :
Edit : exemple de clés compromises :
| Code: |
gd09:~# ssh-keyscan -t rsa,dsa -p 22 XXX.com | ssh-vulnkey -
# XXX.com SSH-2.0-OpenSSH_4.3p2 Debian-9
# XXX.com SSH-2.0-OpenSSH_4.3p2 Debian-9
COMPROMISED: 1024 b4:ae:d4:6b:66:9a:b8:b6:2d:ab:91:04:a4:92:06:61 XXX.com
COMPROMISED: 2048 e9:69:a8:b3:4d:3b:23:fa:a4:44:8d:bf:58:26:6f:e3 XXX.com
|
C'est plutôt urgent et je vous conseille de bien tester votre système...
Les clés OVH ont un from, il y a donc aucun risque pour ce genre de chose. |
|
| |
|
|
pierre_jean
WRInaute impliqué
Inscrit le: 06 Avr 2005
Messages: 300
|
| Posté le : Ven Mai 16, 2008 13:37 Sujet du message: Important : faille OpenSSL sur distribs Debian 4 (Etch) |
|
|
merci pour l'info.
ou trouver l'outil ssh-vulnkey ?
Edit :
pensez à faire un update avant d'installer les paquets blacklist
merci
Dernière édition par pierre_jean le Ven Mai 16, 2008 13:50; édité 3 fois |
|
| |
|
|
Ron56
WRInaute passionné
Inscrit le: 20 Nov 2005
Messages: 649
|
| Posté le : Ven Mai 16, 2008 13:42 Sujet du message: Important : faille OpenSSL sur distribs Debian 4 (Etch) |
|
|
Moi jvais me renseigner sur les systèmes BSD  |
|
| |
|
|
jcaron
WRInaute impliqué
Inscrit le: 13 Fév 2004
Messages: 481
Localisation: Paris
|
| Posté le : Ven Mai 16, 2008 13:43 Sujet du message: Re: Important : faille OpenSSL sur distribs Debian 4 (Etch) |
|
|
| LeMulotNocturne a écrit: |
Bonjour à tous,
désolé si l'info a déjà été postée, mais il vaut mieux enfoncer le clou pour ceux qui ont des serveurs dédiés sous Debian 4 et qui font du SSL (SSH, https, etc...). A priori, les vielles versions de Debian (3.1 par ex.) ne sont pas affectées.
http://linuxfr.org/2008/05/15/24092.html
Soyez particulirement vigilents si votre accès SSH se fait par clef SSL et non pas par password. |
Attention: le problème est visiblement nettement pire que ça: tout serveur (quel que soit l'OS) qui a des clefs qui ont été générées sur une Debian (ou dérivé genre Ubuntu...) affectée (toutes les versions depuis 2 ans!) est vulnérable (à divers degrés bien entendu).
En particulier tout serveur SSH avec des "authorized_keys" générées sur ces machines permet de se connecter comme l'utilisateur qui a installé cette clef.
Pas cool.
Jacques. |
|
| |
|
|
LeMulotNocturne
WRInaute passionné
Inscrit le: 01 Juin 2005
Messages: 594
Localisation: Lyon
|
| Posté le : Ven Mai 16, 2008 14:25 Sujet du message: Re: Important : faille OpenSSL sur distribs Debian 4 (Etch) |
|
|
| jcaron a écrit: |
Attention: le problème est visiblement nettement pire que ça: tout serveur (quel que soit l'OS) qui a des clefs qui ont été générées sur une Debian (ou dérivé genre Ubuntu...) affectée (toutes les versions depuis 2 ans!) est vulnérable (à divers degrés bien entendu).
En particulier tout serveur SSH avec des "authorized_keys" générées sur ces machines permet de se connecter comme l'utilisateur qui a installé cette clef. |
oui, absolument tu as raison de me rectifier !
C'est bien la galère ce truc là... |
|
| |
|
|
Ohax
WRInaute accro
Inscrit le: 05 Juil 2004
Messages: 6337
Localisation: Meurthe et Moselle (54) - à Toul (proche Nancy)
|
| Posté le : Ven Mai 16, 2008 20:31 Sujet du message: Important : faille OpenSSL sur distribs Debian 4 (Etch) |
|
|
La commande est fausse, c'est
| Citation: |
| ssh-keyscan -t rsa,dsa -p 22 <IP> | ssh-vulnkey - |
|
|
| |
|
|
Julia41
WRInaute impliqué
Inscrit le: 31 Aoû 2007
Messages: 406
Localisation: Oléron
|
| Posté le : Ven Mai 16, 2008 21:32 Sujet du message: Important : faille OpenSSL sur distribs Debian 4 (Etch) |
|
|
| Ohax a écrit: |
La commande est fausse, c'est
| Citation: |
| ssh-keyscan -t rsa,dsa -p 22 <IP> | ssh-vulnkey - |
|
Que ferait-on pas pour augmenter son nombre de post ^^
En passant, l'exploit commence à bien circuler donc mettez à jour ^^ |
|
| |
|
|
Monty973
WRInaute accro
Inscrit le: 21 Mar 2006
Messages: 1523
|
| Posté le : Ven Mai 16, 2008 21:44 Sujet du message: Important : faille OpenSSL sur distribs Debian 4 (Etch) |
|
|
| Julia41 a écrit: |
| ... normalement aléatoire mais qui sur la version ETCH ont été généré avec un randomn non randomn, et donc ne sont pas aléatoire. |
^^ |
|
| |
|
|
Julia41
WRInaute impliqué
Inscrit le: 31 Aoû 2007
Messages: 406
Localisation: Oléron
|
| Posté le : Ven Mai 16, 2008 23:07 Sujet du message: Important : faille OpenSSL sur distribs Debian 4 (Etch) |
|
|
| Monty973 a écrit: |
| Julia41 a écrit: |
| ... normalement aléatoire mais qui sur la version ETCH ont été généré avec un randomn non randomn, et donc ne sont pas aléatoire. |
^^ |
Ca fait 2 !  |
|
| |
|
|
colonies
WRInaute occasionnel
Inscrit le: 10 Sep 2006
Messages: 178
|
| Posté le : Lun Mai 19, 2008 15:30 Sujet du message: Important : faille OpenSSL sur distribs Debian 4 (Etch) |
|
|
dans le même genre :
 |
|
| |
|
|
2dm
WRInaute occasionnel
Inscrit le: 03 Sep 2002
Messages: 202
Localisation: Irlande - Dublin
|
| Posté le : Lun Juin 02, 2008 10:45 Sujet du message: Important : faille OpenSSL sur distribs Debian 4 (Etch) |
|
|
| Julia41 a écrit: |
Ca fait 2 !
|
Ce qui est le nombre de ligne modifié dans le patch qui a causé le problème.
Ce qui est tout de même étonnant.
Si la modification de deux lignes par un contributeur n'est pas vérifié, alors on peut se demander quelles sont les contributions qui le sont véritablement. |
|
| |
|
|
| |
|
|
