PV Output - Obdam; SolarEdge SE5K 'Voor korte strings'; 12x350Wp Oost-West 13°; 8x415Wp Zuid 10°; Totaal 7520Wp.
Verwijderd
), want hij geeft aan dat de bug dus niet gefixt is en dat dat ook geen prioriteit heeft (immers, 3.3p1 zal fixes voor useprivilege bevatten, niet een fix voor deze bug specifiek). Dat is absoluut niet iets voor opensource in het algemeen of Theo de Raadt in het bijzonder...
Dat is correct. Een quote van Theo de Raadt:Op dinsdag 25 juni 2002 13:22 schreef janjanjansen het volgende:
Ik krijg ook het idee dat 3.3 net zo lek is als de voorgaande versies en dat er nog geen goede fix is.Het voordeel van 3.3 kan zijn dat de schade door de exploit wordt beperkt door toepassing van privilege seperation .
Maar dat is dus een vermoeden
Zie de hele mail van hem aan security mailinglists op
Dit kwam net langs op irc...
Lees deze post in de meuktracker: http://www.tweakers.net/reacties.dsp?Action=Posting&ParentID=541138
)This must be that Woodstock place mom and dad are allways talking about
Je was me voor
. (gaat schat ik zo minimaal 16 uur overheen)This must be that Woodstock place mom and dad are allways talking about
hmmpf daar wordt je ook niet vrolijk van
Mitsubishi Warmtepomp Uitlezen / Besturen | Optimaliseren
TelnetOp dinsdag 25 juni 2002 16:10 schreef jep het volgende:
Welke bruikbare en serieuze alternatieven zijn er nou eigenlijkNaast de commerciële ssh's.
1
2
3
4
| peter@asterix:~$ apt-cache search telnet-ssl libssl0.9.6 - SSL shared libraries telnet-ssl - The telnet client with SSL encryption support. ssltelnet - Convenience Package to replace ssltelnet by telnet(d)-ssl |
Ik heb net mijn server (Debian 2.2 met kernel 2.2.18) geupdate naar versie 3.3p1-0.0potato2, en ik kan gewoon nog inloggen.
Het is standaard procedure na het ontdekken van een lek om eerst de maintainters en de vendors van de software de kans te geven de exploit te fixen (paar dagen meestal), zodat de fixes meteen beschikbaar zijn als de exploit bekend gemaakt wordt.
telnet/ssh firewallen voor !jouw IP.Op dinsdag 25 juni 2002 16:10 schreef jep het volgende:
Welke bruikbare en serieuze alternatieven zijn er nou eigenlijk
firewall is een optie, je zou ook hosts.allow kunnen gebruikenOp dinsdag 25 juni 2002 15:49 schreef xoror het volgende:
[..]
hmmpf daar wordt je ook niet vrolijk van
ik firewall voorlopig ssh, en restrict het alleen vanaf bepaalde ips.
dubbele beveiliging
Veni, Vidi, Et je n'en crois pas mes yeux! (ik kwam, ik zag, en ik geloofde mijn ogen niet!) - J. Caesar (Asterix en de gladiatoren) | Nu vernieuwd met toegevoegde lazyness.
MSI K7T266 Pro2|AMD Athlon XP 1800+|512 MB DDR|Leadtek Geforce 2 Ti 64 MB DDR|LG 16x DVD|IBM 60 GB 7200 rpm HD|Creative soundworks DTT3500 speakers|IIyama A902MT|Wacom Graphire 2|Logitech Mouseman Dual optical & MX500|Creative soundbl. Audigy|Trust sp
weet niet, als ik mijn ip uit hosts.allow sloop dan krijg ik deze leuke melding bij het inlogenOp dinsdag 25 juni 2002 19:37 schreef dystopia het volgende:
[..]
Alleen wanneer je SSHd vanuit inetd draait ja. (en wie doet dat? Juist
1
2
| kwm@IGLO:~> ssh 192.168.1.1 ssh_exchange_identification: Connection closed by remote host |
Veni, Vidi, Et je n'en crois pas mes yeux! (ik kwam, ik zag, en ik geloofde mijn ogen niet!) - J. Caesar (Asterix en de gladiatoren) | Nu vernieuwd met toegevoegde lazyness.
Verwijderd
Onzin. Met deze redenatie is iedere patch bij voorbaat kansloos en is de enige manier van ware security 'security through obscurity'. Wil jij dat geloven? Ik niet.
.. En een hacker kan niks totdat de tutorial volgt en dat duurt wel ff...
. Welkom in de wereld van opensource. 
.
Ow, ik had niet goed gelezen. Compression staat hier uit.
Ik downloadt en compile altijd vanilla kernels.
s/hacker/scriptkiddie/Op dinsdag 25 juni 2002 21:33 schreef beelzebubu het volgende:
en cracker komt niet op jouw bak - echt niet. Dat wil hij namelijk niet.
Als je sshd (netjes) restart blijft je huidige sessie gewoon leven. Ook als het restarten mislukt. En dan kun je rustig weer een oudere versie terugzetten dus.
Wel hoor.Op woensdag 26 juni 2002 00:13 schreef jep het volgende:
Ik ben niet de enigste op mijn machine.
Verwijderd
Normaal gesproken wel, maar als je vergeet een sshd user te adden in dit geval helaas niet. Ken al iemand die morgen een tripje gaat maken naar z'n servertjeOp woensdag 26 juni 2002 01:48 schreef Onno het volgende:
Als je sshd (netjes) restart blijft je huidige sessie gewoon leven. Ook als het restarten mislukt. En dan kun je rustig weer een oudere versie terugzetten dus.
[..]
Verwijderd
Je zou kunnen overwegen tijdelijk Telnetd-SSL te draaien. Ik bedoel, dit is wel een aparte situatie.Op woensdag 26 juni 2002 00:13 schreef jep het volgende:
[..]
Ik ben niet de enigste op mijn machine
Onzin, dan kom je er achter dat je nieuwe sshd dus geen nieuwe connecties accepteerd (waarschijnlijk nog niet eens start). Dan blijven je huidige bestaande sessies dus gewoon open.Op woensdag 26 juni 2002 04:45 schreef dystopia het volgende:
[..]
Normaal gesproken wel, maar als je vergeet een sshd user te adden in dit geval helaas niet. Ken al iemand die morgen een tripje gaat maken naar z'n servertje
Mwah, heb wel eens ooit erger mee gemaakt....remote kernel exploits zijn erger als een *mogelijke* bug in SSH welke vele mensen gewoon zien als een manier om OpenSSH3.3 door onze strot te douwen door Theo...
Yup, ik had Brett's post ook al gelezen
. Ben nu even aan het uitproberen op m'n testserver, als dat goed gaat doe ik de anderen ook.
"I'd rather have a bottle in front of me than a frontal lobotomy."
Verwijderd
Op de officiele mail van de FreeBSD security officer dat OpenSSH in het base systeem geupdate is zat ik nog te wachten, zodat ik 'n make buildworld kon doen, en alles volgens de 'nomale gang van zaken' upgrade.Op woensdag 26 juni 2002 11:54 schreef AVL het volgende:
[..]
Yup, ik had Brett's post ook al gelezen
1
2
3
4
5
6
7
8
9
10
11
| [root@testserver root]# pkg_add openssh-overwrite-base-3.3p1_1.tgz To enable this port, please add sshd_program=/usr/local/sbin/sshd and make sure sshd_enable is set to YES in your /etc/rc.conf You may also want to put NO_OPENSSH= true in your /etc/make.conf and make sure your path is setup to /usr/local/bin before /usr/bin so that you are running the port version of openssh and not the version that comes with FreeBSD |
1
2
3
4
| [root@CP35785-A ssh]# /usr/sbin/sshd -V sshd: option requires an argument -- V sshd version OpenSSH_3.3 [...] |
1
2
3
4
5
| [root@testserver bin]# telnet localhost 22 Trying 127.0.0.1... Connected to localhost. Escape character is '^]'. SSH-2.0-OpenSSH_3.3 |
1
2
| UsePrivilegeSeparation yes Compression yes |
1
| sshd:*:22:22:sshd privilege separation:/usr/empty:/nonexistent |
1
2
3
4
| [root@testserver ssh]# ps auxww|grep sshd root 45516 0.0 2.5 2092 1552 ?? Is 12:38PM 0:00.03 /usr/sbin/sshd root 45525 0.0 2.9 4880 1768 ?? I 12:38PM 0:00.16 sshd: johannes [priv] (sshd) johannes 45618 0.1 2.9 4880 1772 ?? S 12:40PM 0:00.40 sshd: johannes@ttyp0 (sshd) |
kill `cat /var/run/sshd.pid`
Inderdaad, gebruik software, en ga niet lopen mekkeren als er een bug boven water komt. Anders ga je toch windows draaien
, die zijn een stukje vaker remote root^H^H^H^Hadministrator-baar.PV Output - Obdam; SolarEdge SE5K 'Voor korte strings'; 12x350Wp Oost-West 13°; 8x415Wp Zuid 10°; Totaal 7520Wp.
Verwijderd
. .. .
Omdat _nog_ niet is bewezen dat SSH een remote hole heeft.Op woensdag 26 juni 2002 16:51 schreef beelzebubu het volgende:
OpenBSD: Five years without a remote hole in the default install!
En het is nog steeds niet weggehaald.
Verwijderd
/me *Op woensdag 26 juni 2002 17:32 schreef 2P het volgende:
valt nog mee
Mitsubishi Warmtepomp Uitlezen / Besturen | Optimaliseren
Verwijderd
.
Draait hier ook goed op Slackware 8.1. Ik heb het build script van Slackware gebruikt (check de slackware_source tree).
Verwijderd
Slackware is meestal traag met security fixes...One Man Show enzoOp woensdag 26 juni 2002 18:56 schreef 2P het volgende:
[..]
Draait hier ook goed op Slackware 8.1. Ik heb het build script van Slackware gebruikt (check de slackware_source tree).
Ik vraag me trouwens af waarom Patrick SSHD nog niet heeft ge-update... Is hij misschien op vakantie ofzo
Verwijderd
Ja. 3.3 met UsePrivilegeSeparation yes is secure. 3.4 met UsePrivilegeSeparation no is ook secure. Even je /etc/ssh/sshd_config checken voor de zekerheid
OK done thanksOp woensdag 26 juni 2002 20:49 schreef dystopia het volgende:
[..]
Ja. 3.3 met UsePrivilegeSeparation yes is secure. 3.4 met UsePrivilegeSeparation no is ook secure. Even je /etc/ssh/sshd_config checken voor de zekerheid
ach...in een volgend leven lach je er om!
Verwijderd
Juh dat heb ik op m'n andere bak ook gedaan. Ook na de 3.4 upgrade:
Oh, ik heb een stabiele internet verbinding
Al met al is een screen SSH wel een goede suggestie Remote wel. Dit is uitzonderlijkhoor
Ik vind een remote hole tientallen malen erger dan een lokaal. Lokaal vertrouw je namelijk je users, zo niet kick je ze of je gaat preventieve security methodes gebruiken like bijv. kernel patches als OpenWall, GrSecurity, Stephanie *waslijst*.Alleen in dit specifieke geval? Ik vind Theo een persoon die zegt waar het op staat. Recht voor z'n raap, dat de oeverloze discussies nihiliseert en 'actie' betekend. Geweldig hoe de gang van zaken met Darren Reed en Dan Bernstein was (wel spijtig van Qmail, maar idd, ik weet als OpenBSD gebruiker wel hoe ik Qmail moet compileren met mijn arsenaal van patches; niet persee een port voor nodig).
Verwijderd
Als hij/zij niet kan connecten op port 22 (of een andere port waar SSH draait) kan hij/zij de bug niet exploiten. Of dat wel/niet kan hangt van je hosts.deny en hosts.allow af natuurlijk. Je kunt het testen.Op woensdag 26 juni 2002 20:58 schreef 0siris het volgende:
[..]
OK done thanks
Maareh...werkt die (al dan nog niet zekere) bug ook als je een nogal strict /etc/hosts.deny|allow hebt? Ik bedoel: kan iemand die ik NIET in mijn /etc/hosts.allow heb staan, eventueel toch nog met zijn 1337 h4x0r skI11z binnenkomen?
Verwijderd
1
2
3
4
5
6
7
8
9
10
| 2. Impact:
This bug can be exploited remotely if
ChallengeResponseAuthentication is enabled in sshd_config.
Affected are at least systems supporting
s/key over SSH protocol version 2 (OpenBSD, FreeBSD
and NetBSD as well as other systems supporting
s/key with SSH). Exploitablitly of systems
using PAM in combination has not been verified. |
.
Och, OpenSSH 3.4p1 werkt ook perfect zonder privilege separationOp woensdag 26 juni 2002 21:35 schreef beelzebubu het volgende:
[..]
We kunnen er dus inderdaad vanuit gaan dat linux niet vulnerable is geweest en dat deze massahysterie gewoon Theo de Raadt's manier was om privilege separation door iedereen's strot te douwen.
Verwijderd
At least. Minstens. En PAMAuthenticationViaKbdInt kun je beter disablen als je het niet gebruikt (ik gebruik het wel).Op woensdag 26 juni 2002 21:35 schreef beelzebubu het volgende:
code:
2. Impact: This bug can be exploited remotely if ChallengeResponseAuthentication is enabled in sshd_config. Affected are at least systems supporting s/key over SSH protocol version 2 (OpenBSD, FreeBSD and NetBSD as well as other systems supporting s/key with SSH). Exploitablitly of systems using PAM in combination has not been verified.
We kunnen er dus inderdaad vanuit gaan dat linux niet vulnerable is geweest en dat deze massahysterie gewoon Theo de Raadt's manier was om privilege separation door iedereen's strot te douwen.
Verwijderd
</li>
die taak ligt ook bij de vendor, zeker in deze situatie. Dan help je elkaar in zo'n situatie.SKey OF BSD_Auth; PAM is niet getest. Lachertje met Apache: 'Alleen Windows is vuln. *NIX kan niet geexploit worden'. Gevolg: Lakse admins upgraden niet. Pats, komt er ineens een OpenBSD exploitje op Bugtraq voorbij. Even later ook een FreeBSD/NetBSD/Linux versie. En wat leren we ervan? Vooral niet upgraden hoor!
Verwijderd
Hoezo? Leverde bij mij geen conflicten op hoor. Die Debs zijn speciaal ervoor gemaakt om manueel te upgraden. Deze zijn dan voor Woody btw (maar dat staat er duidelijk bij
)
Verwijderd
Geloof me, ze krijgen heus wel goed betaald daar.Op woensdag 26 juni 2002 22:04 schreef dystopia het volgende:
Alle supported systemen testen? Ik word bij deze SSH developer als jij mij de hardware levert en me per uur redelijk uitbetaald want dat gaat behoorlijk wat tijd kosten
De inhoudloosheid sterkt alleen maar mijn mening dat het om een PR actietje ging. Zie ook Suse's e-mail.
Maar het klopt toch? De huidige exploit werkte dus alleen op windows. Dat er andere exploits op linux zaten is een heel ander verhaal, dat is de issue ook niet, ik heb allang geupgrade hoor. Maar er zat geen exploit in linux en dus is dit hele PR gebeuren nogal overtrokken.SKey OF BSD_Auth; PAM is niet getest. Lachertje met Apache: 'Alleen Windows is vuln. *NIX kan niet geexploit worden'. Gevolg: Lakse admins upgraden niet. Pats, komt er ineens een OpenBSD exploitje op Bugtraq voorbij. Even later ook een FreeBSD/NetBSD/Linux versie. En wat leren we ervan? Vooral niet upgraden hoor!
Wat ik me nu afvraag, als jij vind dat priviledge separation door je strot wordt geduwd: Wat is er MIS met priviledge separation??Op woensdag 26 juni 2002 21:35 schreef beelzebubu het volgende:
We kunnen er dus inderdaad vanuit gaan dat linux niet vulnerable is geweest en dat deze massahysterie gewoon Theo de Raadt's manier was om privilege separation door iedereen's strot te douwen.
edit: typo
:strip_icc():strip_exif()/u/8511/ronald_avatar.jpg?f=community){kind=avatar}
/u/31090/bla.png?f=community)
/u/2216/got_avatar.png?f=community){kind=avatar}
:strip_icc():strip_exif()/u/12519/iconlamp.jpg?f=community)
/u/25932/icon.png?f=community){kind=icon}
/u/26742/000000751.png?f=community)
:strip_exif()/u/41186/goticon.gif?f=community)
:strip_icc():strip_exif()/u/3163/smallcat.jpg?f=community)
:strip_icc():strip_exif()/u/2144/webicon.jpg?f=community)
:strip_exif()/u/11822/uploadkoe.gif?f=community)
:strip_exif()/u/10073/compu.gif?f=community)