[OpenSSL] Worm in het wild.

[Ronald]

Lees hier:

http://online.securityfocus.com/archive/1/291782
Lek zijn openssl 0.9.6d en lager.

Het lijkt voornamelijk gericht te zijn tegen Apache maar upgraden kan nooit kwaad; als Apache hierdoor lek is zijn andere ssl gebaseerde services mischien net zo lek.

[Skinkie]

misschien is het handiger om gelijk maar ff apache op nieuw te compilen als je openssl toch aan het updaten bent, toch ff handig dat dit berichtje voor mijn compilatie van apache2 kwam...
zeker voor onzekere natuurlijk ook gelijk ssh ff updaten

[sebas]

Het zal ook een keer een paar weken niet ... aan de andere kant, software die zo intensief gebruikt wordt en zo belangrijk is voor de veiligheid van heel veel ... nou laten we gerust zeggen heeeeeeeeeeel veeeeeeeeeeel belangrijke systemen wordt natuurlijk duidelijk beter in de gaten gehouden. Misschien vandaar de 'onrust' om OpenSsl de afgelopen tijd.

Weer eens wachten op de patches van de verschillende vendors.

Echt uitgebreide informatie over de leks geven ze niet, gelukkig.

[Verwijderd]

Als het goed is was die versie van OpenSSL al geupgrade aangezien er eind juli iets van 4 security problemen waren met openssl <= 0.9.6d . Bij Slackware zijn er patches uitgekomen rond de 30e juli.
Dus waarschijnlijk staat er voor de meeste distro's wel een patch klaar.

[Ronald]

De vulnerability is al een paar weken bekend, alle distro's zouden dus patches moeten hebben. Er is nu een Worm in het wild bezig, dus upgraden is nu een acute noodzaak geworden.

[RvdH]

Zie ook http://isc.incidents.org/analysis.html?id=167

[Verwijderd]

It has been discussed on several mailing lists, that aside from the
exploit known for openssl 0.9.6d, there are exploits available for
even the most recent version (0.9.6g).

Lekker... dus met patchen kan je beter ff wachten tot 0.9.6h uitkomt.
Maarja.. ik wordt toch per uur betaald

[Verwijderd]

pff gelijk apache maar ff uitgezet...

[Verwijderd]

Unpacking replacement openssl ...
Setting up openssl (0.9.6g-2) ...

Is mijn nieuwe versie dan ook vurn aangezien dit g2 is.

[SiNisTrAD]

ben ik blij dat ik geen gcc heb draaien op mijn server.

ow ja en ssh is alleen toegankelijk vanaf enkele ip adressen..

maar toch maar ff upgraden. Het lijkt mij sowieso niet echt slim om een compiler op je server te zetten, toch ?

[Ronald]

SiNisTrAD schreef op 14 september 2002 @ 17:39:
ben ik blij dat ik geen gcc heb draaien op mijn server.

ow ja en ssh is alleen toegankelijk vanaf enkele ip adressen..

maar toch maar ff upgraden. Het lijkt mij sowieso niet echt slim om een compiler op je server te zetten, toch ?

De attack is niet gericht tegen SSH (of nog niet) maar tegen apache dus dat je ssh maar vanaf enkele adressen open staat boeit niets

Geen gcc op je server? Moet ik alles gaan zitten crossen vanaf een andere bak zeker (zelf compilen is wel nodig, als je niet met de defautl installs van je distro wil/kan werken heh?)

noexec mounten van de /tmp partitie is dan een stuk nuttiger

[JJJ]

Ik draai op mijn router debian stable, en die heeft voor openssl als nieuwste versie de c versie. Is het dan slim om de g versie uit unstable te halen ? Ik heb niet echt iets van een patch in de vorm van een .debje kunnen vinden

[Verwijderd]

Nee, voor deze specifieke worm hoef je openssl niet te upgraden naar de g versie. De bug die wordt uitgebuit door die worm is die met BugTraq ID 5363. Zoals je hier: http://www.debian.org/security/2002/dsa-136 kunt lezen is de fix voor die bug bij debian al in de c-2 versie verwerkt.

Er schijnen dus ook bugs te zijn gevonden in de g versie, maar daar heb ik nog niks over gelezen. (securityfocus is op het moment down vanwege onderhoud). Dus houdt de securityfocus site en de debian security mailing lijst in de gaten en dan vooral de bugtraq mailinglijst(worden dit soort dingen meestal als eerste gemeld).