Onderwerp: Groot security risico OpenSSL !!!

Volgensmij staat SSH hier ook los van en gaat dit alleen om OpenSSL voor Apache?!? (je kan gewoon openssl eruit gooien dus)

even voor de duidelijkheid aan een ieder, ik ga id_dsa_badcert niet verspreiden. Straks wordt ik aangewezen doordat velen dan ineens hun concurrent killen die een week eerder op msn zei dat hij een ************* **** ************* ************ *********** ** **** **** *************** ********** ********** ***** ** *** ** *** ******* ****** ******** ************* ******* ****** ********** *** *** ** **************** ** ************* ***** ****** ***** ******* is

Oorspronkelijk geplaatst door jinxedworld

Is dit hele verhaal dan alleen een issue met v1 en niet met v2?

dat zou ik ook wel willen weten

Oorspronkelijk geplaatst door MartijnRSD

dat zou ik ook wel willen weten

Als jullie nou eens daadwerkelijk lezen, en googlen, en wat security sites bekijken dat weet je in ieder geval wat er publiekelijk te vinden is. En welke versies daaronder vallen. Alles voorkouwen heeft geen zin, de schifting tussen diegene die het serieus nemen (hun vak) is bij dit soort posts gelijk zichtbaar.

Beste Mike,

Al verschillende security sites gelezen over protocol niets gevonden, maar zal beter mijn best doen. Je conclusie is erg kort door de bocht

groet
martijn

Het is sowieso niet verstandig om root login überhaubt toe te staan. Gebruik liever je eigen 'henk' account en su - root vanuit user henk...

Ik heb de update gevolgd, maar als ik openssl version invoer, dan krijg ik weer 0.97k - 'OpenSSL 0.9.7k 05 Sep 2006'

Oorspronkelijk geplaatst door DhoTjai

Ik heb de update gevolgd, maar als ik openssl version invoer, dan krijg ik weer 0.97k - 'OpenSSL 0.9.7k 05 Sep 2006'

de kans is groot dat je vendor alleen de patch toegepast heeft, en dus dezelfde versie hanteert maar met een ander patch level.

Oh wacht.. Ik heb de post verkeerd gelezen, alle versies vóór 0.97k. Ik zit nu dus veilig! (bijna)

Oorspronkelijk geplaatst door Mikey

de kans is groot dat je vendor alleen de patch toegepast heeft, en dus dezelfde versie hanteert maar met een ander patch level.

0.9.7k is de laatste versie

Oorspronkelijk geplaatst door crazycoder

0.9.7k is de laatste versie

dat wil nog steeds niet zeggen dat je als je update met bijvoorbeeld REL dat je van a naar k gaat.... Bekijk de patch policy van RedHat er maar eens op na.

hoe date je up met debian en directadmin?

mvg

Gewoon compilen de boel net als op elk ander linux systeem.

# wget http://www.openssl.org/source/openssl-0.9.8c.tar.gz && tar -zxf openssl-0.9.8c.tar.gz && cd openssl-0.9.8c && ./config --prefix=/usr && make && make install

Naderhand even je services opnieuw compilen zodat de libraries daar ook goed worden gebruikt.

thanks best dat ik mijn andere servers uitbesteed

Ook dan maar even mijn versie van de how-to gebruikmakend van update.script.

Getest met directadmin op Centos 4 & FC4

mkdir /usr/local/directadmin/customapache/update
cd /usr/local/directadmin/customapache/update
wget http://tools.web4host.net/update.script
chmod 755 update.script
./update.script OPENSSL
./update.script OPENSSH
cd ..
./build clean
./build update
./build all n
service httpd restart

Compiled openssl,apache,openssh,php.
Volgens mij moest openssh ook opnieuw gecompileerd worden, omdat deze bij versie info nog oude openssl leek te gebruiken.

Check even naderhand of je een nieuwe SSH connectie aan kan maken, *bij 1 test server was dat niet het geval, opgelost door nog een keer openssh te compilen. *

-----

Toen ik eerder naar 0.9.8 ben geupdate, werkte ssl in exim niet meer, weet iemand of dit probleem nog steeds speelt, en hoe het op te lossen is?