[linux] Let op: worm actief op redhat systemen!

[mavink]

Voor iedereen die Redhat 6.2 of 7.0 draait: let op, er is een worm actief die een paar bugs in die distributies gebruikt. Hij installeert een complete rootkit en begint daarna je internetaansluiting te gebruiken om te zoeken naar andere computers die geinfecteerd kunnen worden. Hele verhaal staat bij news.com

[Logic]

Ik vraag me af of er veel servers zijn die redhat draaien?
Ik bedoel niet de gewone lui, maar de grote bedrijven.
Ik wil niet redhat afkraken hoor, vind het wel een ok distributie.
Het is wel minder dat er zo een worm is..

[Pc123]

Ik heb het gelezen ja, dit bevestigt toch weer dat RedHat geen goede distro is, weer zoiets stoms net als gcc 2.96. Dit is een zeer gevaarlijke worm omdat het redhat servers gewoont hackt de website die erop staat sloopt en vervolgens heel veel traffic veroorzaakt door het internet te gaan scannen. Dit zorgt toch weer voor een hele hoop negatieve publiciteit over linux want dit is toch niet normaal ofzo. Lijkt net M$ en dat is toch het laatste wat we willen. Dit is behoorlijk vervelend voor linux omdat het eigenlijk een erg veilig OS is als je er een beetje goeie distro mee maakt.

[Verwijderd]

Op woensdag 17 januari 2001 21:28 schreef Pc123 het volgende:
Ik heb het gelezen ja, dit bevestigt toch weer dat RedHat geen goede distro is, weer zoiets stoms net als gcc 2.96. Dit is een zeer gevaarlijke worm omdat het redhat servers gewoont hackt de website die erop staat sloopt en vervolgens heel veel traffic veroorzaakt door het internet te gaan scannen. Dit zorgt toch weer voor een hele hoop negatieve publiciteit over linux want dit is toch niet normaal ofzo. Lijkt net M$ en dat is toch het laatste wat we willen. Dit is behoorlijk vervelend voor linux omdat het eigenlijk een erg veilig OS is als je er een beetje goeie distro mee maakt.

Hier ben ik het niet helemaal mee eens.
RH zuigt, correct. Compiler is dom indeed. Maar om nou te zeggen dat die worm erg dom van RH is. Heel veel distro's enablen standaard veel services(DOM DOM DOM, maar absoluut niet alleen RH, OpenBSD bijv. doet dat niet en kan daardoor beweren 3 jaar geen remote hole te hebben gehad). Ik weet niet van wat voor holes deze worm gebruik maakt, maar ik neem aan dat het bugs in deamons exploit, deamon die niet door RH gecode zijn.

[mavink]

Oeps 2x...

[mavink]

't gaat om wu-ftpd en rcp.statd als ik het goed heb. Redelijk bekende bugs waar al heel lang patches voor zijn. Alleen het probleem is dat niemand die installeert.

[Verwijderd]

De meeste Linux distri's zijn nogal slap met een default installatie, lees het artikel maar eens verder: Spitzner and other security experts on the Bugtraq mailing list detected the worm earlier this week when they noticed an increase in scans for the RPC.statd and wu-FTP vulnerabilities that plague the default installations of most Linux servers. The worm, however, limits its spread to servers based on Red Hat 6.2 and 7.0.

De script kiddie's krijgen waarschijnlijk door dat er meer Linux als NT webservers zijn. En je maakt meer de blitz, nietwaar ? Tenslotte Open Source, snelle bugfixes, beter als NT. Dus laat maar eens zien.
Elke server is met goede documentatie en geduld wel te hacken, de meeste mensen doen echter niks anders als bekende exploits scannen maar kunnen zelf geen nieuwe lekken ontdekken.

[mavink]

Ach, dat wu-ftpd standaard geinstalleerd wordt vind ik niet *echt* wereldschokkend... Alleen wat mij betreft hadden ze bijvoorbeeld beter proftpd kunnen kiezen, daar worden iets minder bugs in ontdekt. Maar bij redhat 7 gebruiken ze een buffer overflow in de printer daemon, en da's lang niet altijd nodig. Zeker niet dat-ie via het net toegankelijk is.

Maar ik vind dus ook wel dat er niets geinstalleerd moet worden waarvan de gebruiker a) zelf zegt dat-ie het nodig heeft en b) ook weet wat het doet... En dan liefst bij de installatie je mailadres opgegeven en automatisch gesubscribed worden op bugtraq en debian-security. Of welke mailinglist je ook moet hebben voor jouw distro, maar bugtraq is toch echt minimaal. Ook voor de thuisgebruiker met een kabelmodempje.

[Verwijderd]

Bedrijven zijn er zat die RedHat gebruiken.
Sterk voorbeeld is onze olieboer Shell !!!
Die hebben hier in nederland een overeenkomst gesloten met IBM om een Linux-cluster te bouwen met 1024 (jawel, je leest 't goed) met ik dacht de xSeries servers met daarop, jawel, RedHat !!!

[Ulx]

Is dit nou hetzelfde als windows dozen defacen door gebruik te maken van ongepatchte windows installaties?

Ik vraag me af of dit soort gein niet de "dark side of the open source" gaat worden: Dit soort exploits/worms/ zo snel gaan proggen dat men twee kampen krijgt in de opensource gemeenschappen.

Nou ja,

we draaien de site gewoon op een as/400 met lotus domino. Dus mij zal het helemaal een rotzorg zijn.

[Verwijderd]

Op donderdag 18 januari 2001 11:59 schreef oudakker het volgende:
Bedrijven zijn er zat die RedHat gebruiken.
Sterk voorbeeld is onze olieboer Shell !!!
Die hebben hier in nederland een overeenkomst gesloten met IBM om een Linux-cluster te bouwen met 1024 (jawel, je leest 't goed) met ik dacht de xSeries servers met daarop, jawel, RedHat !!!

Je denkt toch niet serieus dat zulke clusters met allemaal lame deamons geinstalled worden. Get real.

[Verwijderd]

Op donderdag 18 januari 2001 15:03 schreef TH1J5 het volgende:

[..]
Je denkt toch niet serieus dat zulke clusters met allemaal lame deamons geinstalled worden. Get real.

Je weet het niet he
Misschien heeft shell wel behoefte aan heul veul ftp en rpc
je zal er maar om verlegen zitten

[mavink]

Voor de redhat gebruikers onder ons: Ik kreeg net in m'n mailbox een scriptje van Patrick Oonk (wellicht bekend van security.nl), hiermee kan je checken of je systeem geinfecteerd is. Hier te vinden: www.pine.nl/~patrick/chopstix.pl

[Verwijderd]

hmmmmm redhat wordt Roothat