http://lists.debian.org/debian-security ... 00152.html
annuncio per chi usa Debian, preciso che la falla
non colpisce le Debian based.
falla su Debian
Moderatore: Staff
Regole del forum
1) Citare sempre la versione di Slackware usata, la versione del Kernel e magari anche la versione della libreria coinvolta. Questi dati aiutano le persone che possono rispondere.
2) Specificare se discussione/suggerimento o richiesta d'aiuto.
3) Leggere attentamente le risposte ricevute.
4) Scrivere i messaggi con il colore di default, evitare altri colori.
5) Scrivere in Italiano o in Inglese, se possibile grammaticalmente corretto, evitate stili di scrittura poco chiari, quindi nessuna abbreviazione tipo telegramma o scrittura stile SMS o CHAT.
6) Appena registrati è consigliato presentarsi nel forum dedicato.
La non osservanza delle regole porta a provvedimenti di vari tipo da parte dello staff, in particolare la non osservanza della regola 5 porta alla cancellazione del post e alla segnalazione dell'utente. In caso di recidività l'utente rischia il ban temporaneo.
1) Citare sempre la versione di Slackware usata, la versione del Kernel e magari anche la versione della libreria coinvolta. Questi dati aiutano le persone che possono rispondere.
2) Specificare se discussione/suggerimento o richiesta d'aiuto.
3) Leggere attentamente le risposte ricevute.
4) Scrivere i messaggi con il colore di default, evitare altri colori.
5) Scrivere in Italiano o in Inglese, se possibile grammaticalmente corretto, evitate stili di scrittura poco chiari, quindi nessuna abbreviazione tipo telegramma o scrittura stile SMS o CHAT.
6) Appena registrati è consigliato presentarsi nel forum dedicato.
La non osservanza delle regole porta a provvedimenti di vari tipo da parte dello staff, in particolare la non osservanza della regola 5 porta alla cancellazione del post e alla segnalazione dell'utente. In caso di recidività l'utente rischia il ban temporaneo.
-
- Linux 3.x
- Messaggi: 735
- Iscritto il: lun mar 21, 2005 0:00
- Kernel: 2.6.35-22
- Desktop: KDE4
- Distribuzione: Ubuntu
- Località: Milano - Corbola (RO)
- Contatta:
Re: falla su Debian
lucif3r0 ha scritto:http://lists.debian.org/debian-security-announce/2008/msg00152.html
annuncio per chi usa Debian, preciso che la falla
non colpisce le Debian based.
Mica vero, Ubuntu è stata colpita.
- lucif3r0
- Linux 3.x
- Messaggi: 617
- Iscritto il: mer mag 11, 2005 0:00
- Slackware: 13.1
- Kernel: 2.6.33.4
- Desktop: KDE 4.3
Re: falla su Debian
non sapevo di Ubuntu, anche perchè il
comunicato Debian diceva il contrario
...
bugiardi
comunicato Debian diceva il contrario
...
bugiardi

- gioco
- Packager
- Messaggi: 900
- Iscritto il: dom giu 19, 2005 0:00
- Slackware: last stable
- Località: in the court of the Wesnoth king
- Contatta:
Re: falla su Debian
This is a Debian-specific vulnerability which does not affect other
operating systems which are not based on Debian.
Questa è una vulnerabilità specifica di Debian che non colpisce altri sistemi operativi che non sono basati su Debian.
Coinvolge cioè anche le Debain-based. Le *buntu sono colpite dato che prendono i pacchetti di Debian ramo unstable, patch incluse.
- sid77
- Linux 3.x
- Messaggi: 568
- Iscritto il: mer giu 01, 2005 0:00
- Slackware: 12.0/12.1/curr (ppc)
- Località: PowerPC
- Contatta:
Re: falla su Debian
...e tutte le altre macchine su cui sono state caricate chiavi o certificati creati da una macchina debian o derivate affetta dal problema.
siete proprio sicuri di non volervi fare un check con i tool e i db rilasciati da debian o metasploit sui vostri server?
siete proprio sicuri di non volervi fare un check con i tool e i db rilasciati da debian o metasploit sui vostri server?
- phobos3576
- Staff
- Messaggi: 2980
- Iscritto il: dom apr 17, 2005 0:00
- Slackware: 13.1
- Kernel: 2.6.37-smp
- Desktop: KDE 4.5.3
Re: falla su Debian
In ogni caso questa faccenda è veramente imbarazzante per tutto il mondo Linux notoriamente conosciuto per la meticolosa attenzione rivolta alla sicurezza; è vero che la falla è stata tappata dopo appena un pomeriggio di attesa ma, a quanto sembra, la cosa andava avanti da almeno due anni!!!
Un generatore di numeri casuali che genera numeri prevedibilissimi è una roba da dilettanti che ci riporta indietro, sino ai tempi di MS-DOS, quando si usavano algoritmi piuttosto grossolani.
Mi chiedo poi come mai la cosa riguardi solo le distribuzioni Debian based, visto che i sorgenti di OpenSSL dovrebbero essere uguali per tutte le distribuzioni; suppongo allora che anche quelli di Debian abbiano il brutto vizio di usare dei package patchati da loro forse con troppa supponenza.
Qualche anno fa quelli di Mandrake (prima che diventasse Mandriva) patcharono il kernel con il risultato di gravi malfunzionamenti hardware su alcuni PC!
Un generatore di numeri casuali che genera numeri prevedibilissimi è una roba da dilettanti che ci riporta indietro, sino ai tempi di MS-DOS, quando si usavano algoritmi piuttosto grossolani.
Mi chiedo poi come mai la cosa riguardi solo le distribuzioni Debian based, visto che i sorgenti di OpenSSL dovrebbero essere uguali per tutte le distribuzioni; suppongo allora che anche quelli di Debian abbiano il brutto vizio di usare dei package patchati da loro forse con troppa supponenza.
Qualche anno fa quelli di Mandrake (prima che diventasse Mandriva) patcharono il kernel con il risultato di gravi malfunzionamenti hardware su alcuni PC!
- conraid
- Staff
- Messaggi: 13047
- Iscritto il: gio lug 14, 2005 0:00
- Nome Cognome: Corrado Franco
- Slackware: current64
- Località: Livorno
- Contatta:
Re: falla su Debian
phobos3576 ha scritto:Mi chiedo poi come mai la cosa riguardi solo le distribuzioni Debian based, visto che i sorgenti di OpenSSL dovrebbero essere uguali per tutte le distribuzioni; suppongo allora che anche quelli di Debian abbiano il brutto vizio di usare dei package patchati da loro forse con troppa supponenza.
supponenza o no è notorio che il team di sviluppatori Debian applica patch ai programmi. Alcune patch riprese anche altrove, anche Pat a volte le prende.
Più che altro, essendo visibili e conosciute a molti, che non se ne sia accorto nessuno è "preoccupante". Sembra quasi che anche nel mondo open source prendiamo i programmi come nel mondo closed, senza controllare cosa effettivamente fanno
- sid77
- Linux 3.x
- Messaggi: 568
- Iscritto il: mer giu 01, 2005 0:00
- Slackware: 12.0/12.1/curr (ppc)
- Località: PowerPC
- Contatta:
Re: falla su Debian
phobos3576 ha scritto:Mi chiedo poi come mai la cosa riguardi solo le distribuzioni Debian based, visto che i sorgenti di OpenSSL dovrebbero essere uguali per tutte le distribuzioni
patch incriminata: http://ftp.de.debian.org/debian/pool/ma ... -4.diff.gz
alla riga 627 si legge:
Codice: Seleziona tutto
--- openssl-0.9.8c.orig/crypto/rand/md_rand.c
+++ openssl-0.9.8c/crypto/rand/md_rand.c
@@ -271,7 +271,10 @@
...
+/*
+ * Don't add uninitialised data.
MD_Update(&m,buf,j);
+*/
...
+#if 0 /* Don't add uninitialised data. */
MD_Update(&m,buf,j); /* purify complains */
#endif
+#endif
hanno commentato le chiamate a "MD_Update(&m,buf,j);" perchè Valgrind si lamentava dell'utilizzo di memoria non inizializzata. Peccato che quelle due chiamate servissero a randomizzare il seed del generatore. Risultato? il seed era pari esclusivamente al PID del processo

Lezione che ci hanno insegnato? Mai mettere le mani dove non ne sai nulla

- phobos3576
- Staff
- Messaggi: 2980
- Iscritto il: dom apr 17, 2005 0:00
- Slackware: 13.1
- Kernel: 2.6.37-smp
- Desktop: KDE 4.5.3
Re: falla su Debian
sid77 ha scritto:Lezione che ci hanno insegnato? Mai mettere le mani dove non ne sai nulla
Questo fatto è a dir poco inquietante!
Praticamente non si sono presi la briga nemmeno di andare ad analizzare le conseguenze delle modifiche da loro apportate; segno evidente che chi ha fatto una cosa del genere non aveva la minima competenza in materia!
... e intanto, dobbiamo sorbirci le prese per il c ....

- lucif3r0
- Linux 3.x
- Messaggi: 617
- Iscritto il: mer mag 11, 2005 0:00
- Slackware: 13.1
- Kernel: 2.6.33.4
- Desktop: KDE 4.3
Re: falla su Debian
cavolo avevo letto male... perdono, ultimamente
sono eccessivamente (avevo scritto esseccivamente,
nda) sotto sforzo... a proposito di prese per il c...
avevo trovato anche il fumetto nel sitino nerd ma
non trovo più l'indirizzo
sono eccessivamente (avevo scritto esseccivamente,
nda) sotto sforzo... a proposito di prese per il c...
avevo trovato anche il fumetto nel sitino nerd ma
non trovo più l'indirizzo

- phobos3576
- Staff
- Messaggi: 2980
- Iscritto il: dom apr 17, 2005 0:00
- Slackware: 13.1
- Kernel: 2.6.37-smp
- Desktop: KDE 4.5.3
Re: falla su Debian
lucif3r0 ha scritto:... a proposito di prese per il c...
avevo trovato anche il fumetto nel sitino nerd ma
non trovo più l'indirizzo
Nel mentre che lo stai cercando, eccone un altro tratto da Zeus News:

- Vito
- Staff
- Messaggi: 4178
- Iscritto il: mar dic 05, 2006 17:28
- Nome Cognome: Vito
- Distribuzione: Linux Mint 17
- Località: Augsburg (DE)
- Contatta:
Re: falla su Debian
non l'hanno ancora riparate questa falla ? nessuna nuova patch?
"Stat rosa pristina nomina, nomina nuda tenemus." [ Umberto Eco - Il nome della rosa]
"Faber est suae quisque fortunae ." [ Appio Claudio Cieco]
"Faber est suae quisque fortunae ." [ Appio Claudio Cieco]
-
- Linux 3.x
- Messaggi: 735
- Iscritto il: lun mar 21, 2005 0:00
- Kernel: 2.6.35-22
- Desktop: KDE4
- Distribuzione: Ubuntu
- Località: Milano - Corbola (RO)
- Contatta:
Re: falla su Debian
Come già scritto, il pomeriggio stesso c'erano le patch, se seguite apt-get upgrade (sui repository security) quotidianamente allora vi sono stati sicuramente aggiornati... occhio alle chiavi ssh, che ovviamente sono state rigenerate e quelle esistenti sono state messe in blacklist, se vi connettete a pc con ssh potreste avere problemi!