[Debian] servers compromized.

[smoking2000]

Volgens #debian op irc.debian.org is de server van debian down.
Nou is er voor de website een werkende mirror (www.de.debian.org),
weet iemand of er ook een werkende mirror van de security.debian.org
en non-us.debian.org apt-repository is?

nieuwsbericht op heise.de
http://www.heise.de/newsticker/data/odi-21.11.03-000/

Topic op irc.debian.org #debian:
debian.org (gluck [www, people], klecker [security, non-us]) is having issues. Use a mirror: http://www.de.debian.org/

ONOFFICIELE announcement... mogelijke hoax:
http://cert.uni-stuttgart...ian-security-20031121.txt

De announce is dus echt waar...

----- Forwarded message from Martin Schulze <[e-mail]> -----

Old-Return-Path: <[e-mail]>
Date: Fri, 21 Nov 2003 11:46:19 +0100
From: Martin Schulze <[e-mail]>
To: Debian Announcements <[e-mail]>
Subject: Some Debian Project machines have been compromised
Resent-Message-ID: <M6ofX.A.GeE.nHfv_@murphy>
Resent-From: [e-mail]
X-Mailing-List: <[e-mail]> archive/latest/81
Resent-Sender: [e-mail]
Resent-Date: Fri, 21 Nov 2003 05:07:19 -0600 (CST)

------------------------------------------------------------------------
The Debian Project http://www.debian.org/
Some Debian Project machines compromised [e-mail]
November 21st, 2003
------------------------------------------------------------------------

Some Debian Project machines have been compromised

This is a very unfortunate incident to report about. Some Debian
servers were found to have been compromised in the last 24 hours.

The archive is not affected by this compromise!

In particular the following machines have been affected:

. master (Bug Tracking System)
. murphy (mailing lists)
. gluck (web, cvs)
. klecker (security, non-us, web search, www-master)

Some of these services are currently not available as the machines
undergo close inspection. Some services have been moved to other
machines (www.debian.org for example).

The security archive will be verified from trusted sources before it
will become available again.

Please note that we have recently prepared a new point release for
Debian GNU/Linux 3.0 (woody), release 3.0r2. While it has not been
announced yet, it has been pushed to our mirrors already. The
announcement was scheduled for this morning but had to be postponed.
This update has now been checked and it is not affected by the
compromise.

We apologise for the disruptions of some services over the next few
days. We are working on restoring the services and verifying the
content of our archives.


Contact Information
-------------------

For further information, please visit the Debian web pages at
<http://www.debian.org/> or contact <[e-mail]>.


--
To UNSUBSCRIBE, email to [e-mail]
with a subject of "unsubscribe". Trouble? Contact [e-mail]

----- End forwarded message -----

nu ook op /.:
http://slashdot.org/article.pl?sid=03/11/21/1314238

[ Voor 151% gewijzigd door smoking2000 op 21-11-2003 14:47 . Reden: meer info ]

[odysseus]

Zie ook [rml][ Debian]waarschuwing, doe voorlopig even geen update[/rml] .
De oplossing weet ik niet - ik wacht gewoon even met updaten, heeft toch geen haast - maar jouw link ontkracht in ieder geval het idee over een massale crack van de Debian-servers .

[_JGC_]

Voor security:
deb http://ftp.debian.nl/debian-security stable/updates main

Voor non-US:
deb http://ftp.debian.nl/debian-non-US stable/non-US main contrib non-free

Lopen misschien iets achter op de normale mirror, maar je kunt tenminste je nieuwe installaties er gewoon mee up2date brengen.

[_JGC_]

odysseus schreef op 21 november 2003 @ 12:07:
Zie ook [rml][ Debian]waarschuwing, doe voorlopig even geen update[/rml] .
De oplossing weet ik niet - ik wacht gewoon even met updaten, heeft toch geen haast - maar jouw link ontkracht in ieder geval het idee over een massale crack van de Debian-servers .

Volgens mij moet dat een hoax zijn. Ik had vanmorgen 5 updates op al mn servers, wat dus zou kunnen kloppen met die hoax. Wat echter niet klopte was dat er 2 servers tussen zaten die een hele poos terug woody-proposed-updates in hun sources.list hebben gehad, die die pakketjes niet hoefden. De pakketten van vanmorgen waren dus gewoon officiele pakketjes.

[Verwijderd]

Het werkt nog steeds niet

[japaveh]

www.debian.org werkt hier gewoon weer. Er wordt bovendien ook nog geen security opdate of newsitem aan besteed. De kans dat het een HOAX is dus zeer groot

[ Voor 61% gewijzigd door japaveh op 21-11-2003 12:29 ]

[smoking2000]

japaveh schreef op 21 november 2003 @ 12:27:
www.debian.org werkt hier gewoon weer.

Ai, hier (A'dam xs4all) ook weer

nu security en non-us nog...

[Verwijderd]

Heb de topictitiel iets aangepast.

[Robert]

Er is in ieder geval wel wat aan de hand (geweest?) aangezien o.a. security.debian.org vanmorgen iig niet bereikbaar was.

Ik update voorlopig iig niks..

[smoking2000]

Robert schreef op 21 november 2003 @ 14:57:
Er is in ieder geval wel wat aan de hand (geweest?) aangezien o.a. security.debian.org vanmorgen iig niet bereikbaar was.

Ik update voorlopig iig niks..

Klopt, de servers zijn daadwerkelijk gecracked...

als je je aanmeld op annouce en/of security-announce @ lists.debian.org
hoor je t meteen als de repositories zijn geverifieerd...

[smoking2000]

smoking2000 schreef op 21 november 2003 @ 12:04:
Volgens #debian op irc.debian.org is de server van debian down.
Nou is er voor de website een werkende mirror (www.de.debian.org),
weet iemand of er ook een werkende mirror van de security.debian.org
en non-us.debian.org apt-repository is?

nieuwsbericht op heise.de
http://www.heise.de/newsticker/data/odi-21.11.03-000/

Topic op irc.debian.org #debian:
debian.org (gluck [www, people], klecker [security, non-us]) is having issues. Use a mirror: http://www.de.debian.org/

ONOFFICIELE announcement... mogelijke hoax:
http://cert.uni-stuttgart...ian-security-20031121.txt

De announce is dus echt waar...

[...]


nu ook op /.:
http://slashdot.org/article.pl?sid=03/11/21/1314238

Update
Kernel exploit gebruikt bij de crack is bovenwater:

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

- ------------------------------------------------------------------------
Debian Security Advisory DSA-403-1 [e-mail]
http://www.debian.org/security/ Wichert Akkerman
December 1, 2003
- ------------------------------------------------------------------------


Package : kernel-image-2.4.18-1-alpha, kernel-image-2.4.18-1-i386, kernel-source-2.4.18
Vulnerability : userland can access full kernel memory
Problem type : local
Debian-specific: no
CVE Id(s) : CAN-2003-0961

Recently multiple servers of the Debian project were compromised using a
Debian developers account and an unknown root exploit. Forensics
revealed a burneye encrypted exploit. Robert van der Meulen managed to
decrypt the binary which revealed a kernel exploit. Study of the exploit
by the RedHat and SuSE kernel and security teams quickly revealed that
the exploit used an integer overflow in the brk system call. Using
this bug it is possible for a userland program to trick the kernel into
giving access to the full kernel address space. This problem was found
in September by Andrew Morton, but unfortunately that was too late for
the 2.4.22 kernel release.

This bug has been fixed in kernel version 2.4.23 for the 2.4 tree and
2.6.0-test6 kernel tree. For Debian it has been fixed in version
2.4.18-12 of the kernel source packages, version 2.4.18-14 of the i386
kernel images and version 2.4.18-11 of the alpha kernel images.


Upgrade instructions
- --------------------

wget url
will fetch the file for you
dpkg -i file.deb
will install the referenced file.

If you are using the apt-get package manager, use the line for
sources.list as given below:

apt-get update
will update the internal database
apt-get upgrade
will install corrected packages

You may use an automated update by adding the resources from the
footer to the proper configuration.


Debian 3.0 (stable)
- -------------------

Source archives:

http://security.debian.or...8-1-i386_2.4.18-12.tar.gz
Size/MD5 checksum: 69746 a4b642e03732748d6820524746ba2265
http://security.debian.or...2.4.18_2.4.18.orig.tar.gz
Size/MD5 checksum: 29818323 24b4c45a04a23eb4ce465eb326a6ddf2
http://security.debian.or....18-1-alpha_2.4.18-11.dsc
Size/MD5 checksum: 874 6fe1a9a759850570f1609b77502c13bc
http://security.debian.or...-1-alpha_2.4.18-11.tar.gz
Size/MD5 checksum: 24210 11373e2cf7e659f5a69c33f3f143fcaf
http://security.debian.or...urce-2.4.18_2.4.18-14.dsc
Size/MD5 checksum: 798 14840782d3ae928fd453a7dba225bb7f
http://security.debian.or...4.18-1-i386_2.4.18-12.dsc
Size/MD5 checksum: 1325 a77acb0743f3d3a16c00fa1cd4520e89
http://security.debian.or...-2.4.18_2.4.18-14.diff.gz
Size/MD5 checksum: 66878 916d16dd46c59dd4314c45e48f33f043

Architecture independent packages:

http://security.debian.or...-2.4.18_2.4.18-14_all.deb
Size/MD5 checksum: 1710438 5e6cb496150391a93558652c97fb214b
http://security.debian.or...-2.4.18_2.4.18-14_all.deb
Size/MD5 checksum: 23903282 9d5cb5159bf76451dd32e75467ca6240

alpha architecture (DEC Alpha)

http://security.debian.or...1-smp_2.4.18-11_alpha.deb
Size/MD5 checksum: 3514858 ec88046377537587469e5527f3633c65
http://security.debian.or....18-1_2.4.18-11_alpha.deb
Size/MD5 checksum: 3362836 f91eb5ef18c3413ae200c5b1679264cc
http://security.debian.or...neric_2.4.18-11_alpha.deb
Size/MD5 checksum: 3512244 a46de1359655b3a05c99cd8211edd41f
http://security.debian.or...1-smp_2.4.18-11_alpha.deb
Size/MD5 checksum: 12799424 966ecceeb16c5bf87cc31b9178d6add9
http://security.debian.or...neric_2.4.18-11_alpha.deb
Size/MD5 checksum: 12425696 27b4defd9326ed5bac3a765977437354

i386 architecture (Intel ia32)

http://security.debian.or...8-1-k7_2.4.18-12_i386.deb
Size/MD5 checksum: 8863312 17a9c0323f06ed3eda1d17bdaf443d50
http://security.debian.or...8-1-k7_2.4.18-12_i386.deb
Size/MD5 checksum: 230194 9e347c03ffaf24762ec8ad86f3c3c482
http://security.debian.or...-1-386_2.4.18-12_i386.deb
Size/MD5 checksum: 8797832 00ab7c9bf64614112684e60595e1fe30
http://security.debian.or...86-smp_2.4.18-12_i386.deb
Size/MD5 checksum: 230960 8ba2a811fb753a4b5083254c5ab402c2
http://security.debian.or...-1-686_2.4.18-12_i386.deb
Size/MD5 checksum: 227302 63e4524d17cb0dcf34774637293d2700
http://security.debian.or...586tsc_2.4.18-12_i386.deb
Size/MD5 checksum: 3525452 7f0208aa3bc2e9974590839d141c4ca3
http://security.debian.or...86-smp_2.4.18-12_i386.deb
Size/MD5 checksum: 3527346 6b321ce7efdc5d1f641ca4e14db1807e
http://security.debian.or...-1-386_2.4.18-12_i386.deb
Size/MD5 checksum: 228266 e05c768db8f79e76db1dbf39200075cc
http://security.debian.or...586tsc_2.4.18-12_i386.deb
Size/MD5 checksum: 227834 3799038b55f03ea7fcacef73e50a7b02
http://security.debian.or...586tsc_2.4.18-12_i386.deb
Size/MD5 checksum: 8704448 f8531f0d6173228a2f952e4ca80ee618
http://security.debian.or...-1-386_2.4.18-12_i386.deb
Size/MD5 checksum: 3524656 c40e3230e071e5917f3c82ef8d8a3b79
http://security.debian.or...8-1-k6_2.4.18-12_i386.deb
Size/MD5 checksum: 8661138 121c4860a88e6e0ef84941b044e655ee
http://security.debian.or...8-1-k6_2.4.18-12_i386.deb
Size/MD5 checksum: 226934 f29016331da939466d99fde7e6dbf0c4
http://security.debian.or...4.18-1_2.4.18-12_i386.deb
Size/MD5 checksum: 3431968 37d14ba3820e331c7701c6dbc65440c7
http://security.debian.or...-1-686_2.4.18-12_i386.deb
Size/MD5 checksum: 3525938 0b4f3c22d96777bd95673e8c6ceb45a9
http://security.debian.or...8-1-k7_2.4.18-12_i386.deb
Size/MD5 checksum: 3525194 89b06e76e46487a2708317a7d2643519
http://security.debian.or...86-smp_2.4.18-12_i386.deb
Size/MD5 checksum: 8960026 e01cd0b938c75a247cc111855632934c
http://security.debian.or...8-1-k6_2.4.18-12_i386.deb
Size/MD5 checksum: 3524794 43c7a34c6428e7d79fb660b4a434aaae
http://security.debian.or...-1-686_2.4.18-12_i386.deb
Size/MD5 checksum: 8703034 a6d0829412575a9f7e6c227c5275a47b

- --
- ----------------------------------------------------------------------------
Debian Security team <[e-mail]>
http://www.debian.org/security/
Mailing-List: [e-mail]

-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.3 (GNU/Linux)

iD8DBQE/y6HGPLiSUC+jvC0RAnd9AKCKvn969KiqvmErdGNv1iJSgzTVxwCbBkWB
IZdDr8fKKloX6PSe+tPOW68=
=nGzM
-----END PGP SIGNATURE-----

[Verwijderd]

Geen packages voor hppa, sparc, sparc64?
En voor kernel-{image,source}-2.4.{19,20,21,22}?

[Confusion]

Die zullen helaas wat meer moeite moeten doen met de

Architecture independent packages

Overigens, waarom zou je 2.4.{19,20,21,22} willen, als je toch een nieuwe kernel moet bakken? Van een van die naar .23 is nou niet echt een stap waar moeilijkheden van te verwachten zijn.

[ Voor 48% gewijzigd door Confusion op 02-12-2003 09:51 ]

[Martin Sturm]

Verwijderd schreef op 02 december 2003 @ 00:34:
Geen packages voor hppa, sparc, sparc64?
En voor kernel-{image,source}-2.4.{19,20,21,22}?

Alleen x86 machines waren gehackt volgens mij, en dus zal de exploit wel alleen op x86 voorkomen?

[_JGC_]

Confusion schreef op 02 december 2003 @ 09:49:
Die zullen helaas wat meer moeite moeten doen met de

[...]


Overigens, waarom zou je 2.4.{19,20,21,22} willen, als je toch een nieuwe kernel moet bakken? Van een van die naar .23 is nou niet echt een stap waar moeilijkheden van te verwachten zijn.

Ik heb dus nog een leuke server draaien met Serverworks OSB4 en een IDE disk. Flikker daar een kernel nieuwer dan 2.4.20 op en je hebt of geen DMA, of flinke datacorruptie.

[usr-local-dick]

Ik heb dus nog een leuke server draaien met Serverworks OSB4 en een IDE disk. Flikker daar een kernel nieuwer dan 2.4.20 op en je hebt of geen DMA, of flinke datacorruptie.

Ik heb een server draaien met een IDE disk van 250 Gb, die is met een kernel < 2.4.19 dus maar 137 Gb
Ik had laatst met de unstable/testing sources van kernel-image-2.4.22 zelf een deb gemaakt maar die kan ik dus nu weer opnieuw gaan compilen

[_JGC_]

nieuwe deb maken is niet zo moeilijk,

download 2.4.23, pak em uit, gooi /boot/config-2.4.22 of hoe ie ook mag heten in je kerneltree als .config, draai "make oldconfig", lees ff wat de extra opties zijn en maak je keuzes.
Vervolgens:
apt-get install kernel-package
make-kpkg --revision 1.0 kernel_image
cd ..
dpkg -i kernel-image-2.4.23*.deb

Is misschien een halfuurtje werk, afhankelijk van de snelheid van je machine en welke opties je allemaal hebt meegenomen, maar na de reboot heb je een kernel die gewoon hetzelfde geconfigureerd is als je vorige.

[Confusion]

Inderdaad, op die manier bak ik ook in ongeveer drie kwartier een nieuw kernelpackage en dan heb ik pakweg een kwartier besteedt aan het controleren van de kernelopties.

_JGC_ schreef:
Ik heb dus nog een leuke server draaien met Serverworks OSB4 en een IDE disk. Flikker daar een kernel nieuwer dan 2.4.20 op en je hebt of geen DMA, of flinke datacorruptie.

Hmmm, bizar. Ik meende ooit begrepen te hebben dat men het doel had binnen een stabiele 2.x tree alles backwards compatible te houden, maar dat heb ik dan blijkbaar verkeerd begrepen.

[ Voor 3% gewijzigd door Confusion op 02-12-2003 21:25 ]

[_JGC_]

Confusion schreef op 02 december 2003 @ 21:25:
Inderdaad, op die manier bak ik ook in ongeveer drie kwartier een nieuw kernelpackage en dan heb ik pakweg een kwartier besteedt aan het controleren van de kernelopties.


[...]

Hmmm, bizar. Ik meende ooit begrepen te hebben dat men het doel had binnen een stabiele 2.x tree alles backwards compatible te houden, maar dat heb ik dan blijkbaar verkeerd begrepen.

Je weet dat ze in 2.4.21 de IDE code uit 2.6 gebackport hebben? daarom duurde de release van 2.4.21 ook zo lang (heeft 3/4 jaar geduurd ofzo)

[Confusion]

_JGC_ schreef op 02 december 2003 @ 22:09:
Je weet dat ze in 2.4.21 de IDE code uit 2.6 gebackport hebben? daarom duurde de release van 2.4.21 ook zo lang (heeft 3/4 jaar geduurd ofzo)

Ik weet dat vaagjes, omdat ik op de Debian mailinglist weleens wat langs zie komen, maar meer dan dat weet ik er niet van. Bovendien weet ik niet dat daardoor bepaalde dingen niet meer werken. Via links in de Debian mailinglists kom ik weleens bij kernel news e.d. uit en daar pik ik dan iets op, zoals het idee dat het niet de bedoeling is dat een upgrade van pakweg 2.4.19 naar 2.4.20 van alles en nog wat mag breken. Men is behoorlijk trots op de ondersteuning voor allerlei oude hardware.