| |
 |
| Sicherheitslöcher in OpenSSL |
|
|
Veröffentlicht durch chrlen am Freitag 03. Oktober, 08:23
Aus der bugs Abteilung
|
|
|
|
|
Admins haben es zur Zeit nicht einfach. Laut einem Cern Advisory (CA-2003-26) wurden mehrere Sicherheitslöcher in OpenSSL, verschiedenen SSL und TLS-Implementationen und der SSLeay Library entdeckt. Der schlimmste Bug erlaubt es einen entfernten Angreifer, beliebigen Code auszuführen.
|
|
|
|
|
|
Betroffen von diesen Bugs sind:
- OpenSSL Versionen vor 0.9.7c und vor 0.9.6k.
- Verschiedene SSL/TLS Implementationen
- SSLeay Library
Die meisten Bugs (VU#935264, VU#255484, VU#380864) betreffen den Abstract Syntax Notation One (ASN.1) parsing code. Ein weiterer Fehler tritt bei der Verarbeitung von falschen/ungültigen Public Keys auf, wenn OpenSSL so konfiguriert ist, dass Fehler ignoriert werden (VU#686224). Weiter akzeptiert OpenSSL unaufgeforderte Client Certificate Messages (VU#732952). Auch in SSL/TLS-Implementationen wurden mehrere Fehler gefunden. Betroffen davon sind unter anderem die Hersteller 3COM, IBM, Nokia, Novell, Cisco, SGI, usw. (VU#104280).
In RedHats Variante von OpenSSL wurde noch ein zusätzlicher Bug gefunden: Mit einer speziellen "SSLv2 CLIENT_MASTER_KEY message" kann ein entfernter Angreifer einen DoS auslösen. Ein Upgrade wird dringendst empfohlen.
Viel Spass beim Patchen! ;-)
Quelle
|
|
|
|
< Valve "gehackt" | Druckausgabe | Linux-Tag in Migros Klubschule > | |
|
|
Diese Diskussion wurde archiviert.
Es können keine neuen Kommentare abgegeben werden.
|
|
|
|
|
Von Anonymer Feigling am Friday 03. October, 11:04 MET (#1)
|
|
|
|
|
Mal eine typisch RTFM Frage:
Wie führt man man ein update eines bestimmten Packetes durch? apr-get upgrade [Packetname] geht nicht wirklich...ist einfach drüberbügeln (apt-get install [PacketName] die Lösung?)
|
|
|
|
|
|
| |
|
|
|
|
|
Von Anonymer Feigling am Friday 03. October, 13:01 MET (#4)
|
|
|
|
|
Merci für die auführliche Antwort!
|
|
|
|
|
|
