Groot security risico OpenSSL !!!

Wat ik nu heb gedaan is :

./build clean

rm php-4.4.3/ -rf

./build update

./build all

Dan gaat alles goed behalve als ik hier ben :

You may want to add: /usr/local/lib/php to your php.ini include_path
Installing build environment: /usr/local/lib/php/build/
Installing header files: /usr/local/include/php/
Installing helper programs: /usr/local/bin/
program: phpize
program: php-config
Installing man pages: /usr/local/man/man1/
page: phpize.1
page: php-config.1
PHP Installed.
*** Cannot find /usr/local/directadmin/customapache/mod_perl-1.0-current.tar.gz. Aborting ***
[****@**** customapache]#

Arto,

./build update_data

ls mod_perl*

[ontopic]

ff als root ingelogged met een fake cert en voila:

[****@**** customapache]# ./build update_data

*ff wachten*

[****@**** customapache]# ls mod_perl*
mod_perl-1.0-current.tar.gz

:)

[/ontopic]

httpd werkt nu alleen exim gaat telkens zelf stopen.

# wget http://perl.apache.org/dist/mod_perl-1.0-current.tar.gz
wget: error while loading shared libraries: libssl.so.4: cannot open shared object file: No such file or directory


@Zorin

Als ik ls mod_perl* doe krijg ik : ls: mod_perl: No such file or directory


Edit :

Ik heb mod_perl-1.0-current.tar.gz handmatig erop gegooid.
Nu krijg ik # ls mod_perl*
mod_perl-1.0-current.tar.tar
Maar wekl mod_perl-1.0-current.tar.tar in het rood.
Wat moet ik nu doen?

Je build script gebruikt wget, wget lijkt gelinkt te zijn aan openssl.

Fetch werkt dan wel vermoed ik?

Geen enige idee als ik nu ./build update doe krijg ik dit :


./build update
wget: error while loading shared libraries: libssl.so.4: cannot open shared object file: No such file or directory
wget: error while loading shared libraries: libssl.so.4: cannot open shared object file: No such file or directory
mv: cannot stat `build.new': No such file or directory
File already exists: apache_1.3.37.tar.gz
File already exists: configure.apache_ssl
File already exists: configure.php
File already exists: mod_frontpage.c
File already exists: Makefile.tmpl.patch
File already exists: frontpage.patch
File already exists: fp-patch-apache_1.3.22
File already exists: fp-patch-suexec
File already exists: httpd
File already exists: httpd_freebsd
File already exists: httpd_debian
File already exists: mime.types
Downloading mod_perl-1.0-current.tar.gz...
wget: error while loading shared libraries: libssl.so.4: cannot open shared object file: No such file or directory
Fileserver is down, using the backup file server..
wget: error while loading shared libraries: libssl.so.4: cannot open shared object file: No such file or directory
File already exists: mod_ssl-2.8.28-1.3.37.tar.gz
File already exists: curl-7.15.5.tar.gz
File already exists: gd-2.0.33.tar.gz
File already exists: libmcrypt-2.5.7.tar.gz
File already exists: mhash-0.9.1.tar.gz
File already exists: zziplib-0.10.82.tar.gz
File already exists: php-4.4.3.tar.gz
File already exists: mod_frontpage-1.6.1.tar.gz
File already exists: fp50.linux.tar.gz
File already exists: webalizer-2.01-10-src.tgz


Moet ik nu gewoon ./build all pakken?

Edit :
Ondaks ik mod_perl-1.0-current.tar.gz. in het juiste map heb geupload krijg ik toch het error.

*** Cannot find /usr/local/directadmin/customapache/mod_perl-1.0-current.tar.gz. Aborting ***

Controleer na de update ff je mail logs op het volgende:
smtp transport process returned non-zero status 0x000b: terminated by signal 11

Deze mails werden niet afgelerverd op bepaalde servers na de update.
Na een rebuild van exim werkt alles weer.

weet niet 100% of dit er mee te maken heeftmaar is wel toevallig..

Alles werkt nu behalve exim.
Ik kan ook geen mails versturen en in Direct Admin service panel zie ik ook dat exim is gesopt en niet kan worden gestart.
Zia error log :

/usr/sbin/sendmail: error while loading shared libraries: libssl.so.4: cannot open shared object file: No such file or directory
/usr/sbin/sendmail: error while loading shared libraries: libssl.so.4: cannot open shared object file: No such file or directory
/usr/sbin/sendmail: error while loading shared libraries: libssl.so.4: cannot open shared object file: No such file or directory

Na update exim werkt exim ook weer :

wget http://files.directadmin.com/servic...-4.60-1.src.rpm
rpm -ivh da_exim-4.60-1.src.rpm
cd /usr/src/redhat/SPECS
rpmbuild -bb exim.spec
cd /usr/src/redhat/RPMS/i386
rpm -Uvh --force --nodeps da_exim-4.60-1.i386.rpm

Alleen wget werkt niet ik heb heb zelf geupload.

wget http://files.directadmin.com/servic...-4.60-1.src.rpm
wget: error while loading shared libraries: libssl.so.4: cannot open shared object file: No such file or directory

Waarom ./build ?

make is toch het commando?

./build start het DirectAdmin script. Dit voert inderdaad o.a. een make uit voor diverse onderdelen, maar doet nog veel meer.

Citaat:

---

Oorspronkelijk geplaatst door FransVanNispen

./build start het DirectAdmin script. Dit voert inderdaad o.a. een make uit voor diverse onderdelen, maar doet nog veel meer.

---

Nogmaals:


ik zou het erg prettig vinden als je uit je start post haalt dat je als root in kan loggen dmv een bugged cert. Dit wordt nergens beschreven, als je alles leest staat er alleen dat een een prove is geleverd dat de handeling van cert niet correct is. Niet wat er daadwerkelijk gebeurd. Dit is onnodig bang makerij!

Wat is het nut om na een week dat aan te passen? En omdat je het niet kunt vinden, wil dat nog niet zeggen dat het niet kan.

Aangezien ik op deze bug werd gewezen een aantal dagen voordat het probleem op de security lijsten gemeld werd, door een collega hoster die een persoonlijke demonstratie heeft gehad dat dit wel degelijk mogelijk is, lijkt het mij niet overbodig dit gewoon te laten staan.

Citaat:

---

Oorspronkelijk geplaatst door FransVanNispen

Wat is het nut om na een week dat aan te passen? En omdat je het niet kunt vinden, wil dat nog niet zeggen dat het niet kan.

Aangezien ik op deze bug werd gewezen een aantal dagen voordat het probleem op de security lijsten gemeld werd, door een collega hoster die een persoonlijke demonstratie heeft gehad dat dit wel degelijk mogelijk is, lijkt het mij niet overbodig dit gewoon te laten staan.

---

dan bestempel ik het gewoon als broodje aap, ik heb al eerder in deze thread aangegeven of je je start post aanpaste. En die collega webhoster was die niet die zelf gehacked was ? Hear-say verhalen ... zeker demotje gehad omtrendt protocol 1..

Je moet helemaal zelf weten wat je met de info doet. Als je zelf niet de moeit e wilt nemen om te updaten omdat je denkt dat wat hier staat onzin is, ok.

Ter informatie: het 'fout afhandelen van certificaten' zorde ervoor dat deze werden gepassed als valid. Maak er zelf maar van hoe groot dat risico is.

Ik heb niet meet gedaan dan mijn conculega's via deze weg er dringend op te wijzen dat het een groot security issue is en ze tevens het zoekwerk te besparen om de update te kunnen doen voordat alle mainstream distro's hun packages up to date hebben.

Overigens staat het overgrote deel van alle servers protocol 1 gewoon toe. Ook een standaard DirectAdmin installatie!

Citaat:

---

Oorspronkelijk geplaatst door FransVanNispen

Wat is het nut om na een week dat aan te passen? En omdat je het niet kunt vinden, wil dat nog niet zeggen dat het niet kan.

Aangezien ik op deze bug werd gewezen een aantal dagen voordat het probleem op de security lijsten gemeld werd, door een collega hoster die een persoonlijke demonstratie heeft gehad dat dit wel degelijk mogelijk is, lijkt het mij niet overbodig dit gewoon te laten staan.

---

Het minimale wat wij van mods die dergelijke informatie posten verwachten is dat zij dat zo objectief mogelijk doen. Zoals jij het schreef lijkt het meer een hoax.

Jij claim in jouw openings post dat iets kan terwijl het via geen enkele andere bron (bijv. bugtraq) bevestigd wordt. Kortom: bewijs het of beweer het niet.
Het verspreiden van informatie over gevaren die zouden bestaan noemen wij paniek zaaien.

Het zou je sieren als je controleerbare informatie plaats en niet teveel in zou spelen op sentimenten.

Jij heb overigens gelijk dat iets wat (nog) niet bekend is wel degelijk mogelijk is. Maar dan schrijf je dat op een andere manier.

Ik ben het voor de verandering volledig met mikey eens.

Dat je erop gewezen bent eerder dan op security lijsten vind ik niet zo heel gek. Secunia heeft op 7 september rits mailingen gedaan dat de major distro's updates beschikbaar gesteld hebben. Op openssl.org valt te lezen dat deze melding op 05 september al gedaan is. Als deze bug dusdanig was waarom komt redhat pas 2 dagen later met een redelijke simpele update ? Dat terwijl ze genoeg betaalde subscriptions hebben waarin grote bedrijven gebruik van maken. Is dat dan moedwilleg wachten tot je produkt gecracked wordt ? Not crititcal == geen haast. Hij is niet voor niets bestempeld als "Less critical".

En ik doe inderdaad wat ik doe met de info, relativeren. Misschien dat je de mailing list bij openssl er eens op naslaat. Tot nu toe geen enkele user die gecracked is met een cert en waarbij de atackker root werd. Misschien hebben we het alleen over een buffer/ stack.

relativeren frans, relativeren frans.