Gerucht over SSH security lek in CentOS?

[DutchTSE]

Kreeg zojuist deze mail binnen van een bedrijf waar ik klant ben... meer mensen bekend met dit gerucht?:



This is a WARNING ONLY. We have no concrete proof but suggest that people do follow this as well as changing the default SSH port from 22 to something else

We have been hearing rumours of a possible SSH security hole that effects older version of SSH (including 4.3 that is shipped with CentOS). As such we are strongly advising all users to upgrade their SSH version to the latest stable version if this be from source or RPM.

You can find (what we consider trusted) RPMS http://layer1.rack911.com/openssh/. To find out the version you would need please run

cat /etc/redhat-release ; uname -a

You will get output similar to

[root@server bin]# cat /etc/redhat-release CentOS release 5.3 (Final)

If you see 5.x then you want RHEL5

If you see 4.x then you want RHEL4

[root@server bin]# uname -m

i686

IF you see i686 or i386 you want the x86 download

If you see x86_64 you want the x86_64 download

You can download the files via wget and install them via rpm

e.g.

wget -m -np http://layer1.rack911.com/openssh/rhel5/x86_64

(lots of output)

cd /root/layer1.rack911.com/openssh/rhel5/x86_64
rpm -Uvh *.rpm

Start a new SSH session to the server (so you have two)

then run "/etc/init.d/sshd restart"

Having two means if it goes wrong you can still access it and fix it

Please change these commands as appropiate

If you have any questions please reply to this email and we will help you out but please note if we expect we might get a number of replies so please do this when it is a quiet time for yourself and visitors as it might take a while for us to get to your ticket

Rgds

*naam eigenaar*


Heb er zelf een beetje een dubbel gevoel bij..

[Tim.Bracquez]

Had dit ook al binnen, deze morgen van een hosting in de US (via klant)



----------------------------------------------------
As of a few moments ago I was notified that there's a new SSH 0day exploit floating around the web and is actively being used to exploit providers. Until further notice SSH access is being disabled on 100% of our shared and managed dedicated servers. We will update you via email when the restriction is lifted. My apologies for any inconvenience but as always: Security comes first before convenience. To our lay clients who may not comprehend what SSH is -- even better, don't worry we've got everything under control and you won't miss a thing. Your service will continue to function as normal.

A special note to those dedicated clients who don't have fully managed packages: I'd highly recommend turning down SSH access immediately. We'll be arriving on-site later this afternoon to cleanup any issues caused by this.
----------------------------------------------------


Echter vind ik ook niet gelijk dingen op bekende sites hierover...

[wonko]

Deze zagen we gisteren ook voorbijkomen, en na grondig zoekwerk denken wij dat dit een fake is. (originele post zit hier: http://baoz.net/0day-openssh-remote-exploit/). Er is maar één bron, en geen van de grote bug/security-list of één van de distro's heeft dit reeds opgepikt en officieel gemaakt.

[DutchTSE]

Deze zagen we gisteren ook voorbijkomen, en na grondig zoekwerk denken wij dat dit een fake is.
Zo een gevoel kreeg ik ook.. versterkt doordat er wordt afgesloten met Grtz en de partij waar het vandaan komt laatst slachtoffer was van een hack.

[Mikey]

anti-sec:~/pwn/xpl# ./openPWN -h -p 2222 -l=users.txt

[+] openPWN - anti-sec group
[+] Target:
[+] SSH Port: 2222
[+] List: users.txt

dictionary hack ?

[mikeh]

Dat klopt Mikey.

Er is geen ssh 0day, maar iemand probeerd chaos te creeren in de hosting wereld door openPWN logs te editten en deze in een seclist (full disclosure) te posten :)

De meesten van jullie komen via google uit op de website van ssanz.net, het figuur doet zich voor als security bimbo etc etc.
Maar gebruikt wel gewoon "password authentication" op z'n dozen. (zie hier (http://www.webhostingtalk.com/showpost.php?p=6273980&postcount=8))
En een default kernel, dus geen grsec of andere gemodificeerde kernel.

Hoe fout ben je dan als "security bimbo", en ook nog adverteerd met teksten (of leuzen?) als deze;

Server Systems Administration NZ | SSANZ
Got Hacked? | 24/7/365 Remote Emergency Support | Specialist Server Management
Affordable Hosting :: Resellers, Shared & Dedicated Server Systems

Ik zou me diep schamen.

[DiedX]

LOL. Ik vind het wel een stunt. Ik ben stiekem toch wel benieuwd wie dit uit gaat voeren....

[xaban]

mikeh: waarom in de hostingwereld? Niet alleen hosters draaien SSH hoor :)