Onderwerp: Groot security risico OpenSSL !!!

Oorspronkelijk geplaatst door FransVanNispen

Overigens staat het overgrote deel van alle servers protocol 1 gewoon toe. Ook een standaard DirectAdmin installatie!

Je bent niet goed bij je hoofd als je een standaard install zonder enige aanpassing online zet.

Oorspronkelijk geplaatst door FransVanNispen

Overigens staat het overgrote deel van alle servers protocol 1 gewoon toe. Ook een standaard DirectAdmin installatie!

Ik zie de link directadmin niet in dit verhaal, dit is een distro instelling en geen da instelling !

Op het moment van posten was niet meer info beschikbaar over de bug. Wat ik uit betrouwbare bron heb is dat het wel degelijk mogelijk is. Of dit nu met protocol 1 was of niet, doet er niet toe.

Een dag of 3 nadat wij op de hoogte gesteld waren, kwamen de eerste berichten binnen dat er inderdaad een probleem was met OpenSSL, waarop wij met spoed een laatste versie zijn gaan installeren.

In de samenloop van omstandigheden achtte ik het wel degelijk nodig om de OP op deze manier weg te zetten.

Of je nu wél of niet als root kunt, vind ik persoonlijk op dit moment niet relevant meer. De post is gedaan met wat op dat moment bekend was. Wij hebben de waarschuwing van onze conculega in ieder geval serieus genomen.

Inmiddels zijn zowat alle systemen geüpdate. Het op dit moment nog aanpassen van de OP is daarom volgens mij niet noodzakelijk.

Oorspronkelijk geplaatst door crazycoder

Je bent niet goed bij je hoofd als je een standaard install zonder enige aanpassing online zet.

Nergens staat dat wij een standaard install gebruiken. En dit staat volledig lost van dit topic.

Oorspronkelijk geplaatst door Mikey

Ik zie de link directadmin niet in dit verhaal, dit is een distro instelling en geen da instelling !

Ik zou zeggen, leest de openings post en je eigen reacties terug.

Dit is een DA topic omdat het gaat over 'Hoe update ik OpenSSL op een DA machine'.

DA modificeert óók je SSH config. Of protocol 1 aan of uit staat heeft daar dus wel degelijk mee te maken. Wij zelf schakelen protocol 1 en root access standaard uit voordat we een server opleveren.

Maar aangezien jullie het nodig achten om hierover een elle lange wellus-nietus discussie te voeren, zal ik de OP wel even aanpassen.

Kan ik weer verder met zoeken naar een structurele oplossing voor de laatse cruciale bug in PHP4 en PHP5 waar nog steeds geen officiële fix voor is uigebracht op de download site.

Zal wel niet belangrijk worden gevonden door de grote distro's, dat je met 4 regels php code Safe Mode kunt uitschakelen op alle PHP versies tot en met PHP5.1.6 en PHP4.4.4.

Oorspronkelijk geplaatst door FransVanNispen

Of je nu wél of niet als root kunt, vind ik persoonlijk op dit moment niet relevant meer. De post is gedaan met wat op dat moment bekend was. Wij hebben de waarschuwing van onze conculega in ieder geval serieus genomen.

Bedank deze collega maar vast voor onnodig bangmakerij. Het muisje werd langzamerhand een olifant.

Vermeld in het vervolg er maar bij wij hebben van een conculega vernomen blablabla...

Oorspronkelijk geplaatst door FransVanNispen

Zal wel niet belangrijk worden gevonden door de grote distro's, dat je met 4 regels php code Safe Mode kunt uitschakelen op alle PHP versies tot en met PHP5.1.6 en PHP4.4.4.

in road map van 6 is safe mode weg, er zijn genoeg alternatieven, like suphp, mod_suid, mod_ruid rsbak grsec etc etc. Ik en vele andere weten heel goed dat je je beveiliging niet moet toespitsen op safemode. Misschien dat verschillende major distro's hetzelfde hierin denken ?

//edit DA past in jouw sshd_config alleen aan zodat je niet meer met root in kan loggen. Prot nr;s blijven onaangetast.

Het is dus duidelijk dat je niet op de hoogte bent van DA. Het niet kunnen inloggen met root is iets wat je écht zelf moet aanpassen nadat DA is geïnstalleerd.

Waar staat dat onze beveiliging alleen afhangt van Safe Mode ? Mijn punt hier is dat er een behoorlijk lek in zit dat het toestaat om safe mode zelf uit te schakelen. Dit is al meer dan een week bekend, maar toch is er nog geen update op de PHP website of door de grote distro's.

Ik vind dit een cruciale bug. Dat een distro of website er dus geen haast mee maakt, wil dus niet zeggen dat het geen groot probleem is of kan zijn.

Maar dit gaat nergens meer over. Punt is gemaakt. OP is aangepast. Conculega's zijn gewaarschuwd.

Deze mag weer ontopic over OpenSSL upgrade vragen en problemen, anders gaat er een slotje op.

Oorspronkelijk geplaatst door FransVanNispen

Het is dus duidelijk dat je niet op de hoogte bent van DA. Het niet kunnen inloggen met root is iets wat je écht zelf moet aanpassen nadat DA is geïnstalleerd.

Waar staat dat onze beveiliging alleen afhangt van Safe Mode ? Mijn punt hier is dat er een behoorlijk lek in zit dat het toestaat om safe mode zelf uit te schakelen. Dit is al meer dan een week bekend, maar toch is er nog geen update op de PHP website of door de grote distro's.

Ik vind dit een cruciale bug. Dat een distro of website er dus geen haast mee maakt, wil dus niet zeggen dat het geen groot probleem is of kan zijn.

Maar dit gaat nergens meer over. Punt is gemaakt. OP is aangepast. Conculega's zijn gewaarschuwd.

Deze mag weer ontopic over OpenSSL upgrade vragen en problemen, anders gaat er een slotje op.

Dan mag je mij eens uitleggen wat DA wel aanpast aan jouw sshd_config . Er staat me echt iets van bij dat de bsd installer dat namelijk wel doet. Tevens vind ik jouw uitspraak Het is dus duidelijk dat je niet op de hoogte bent van DA een gewaagde en vooral kortzichtig. Ik wil je best een keer uitnodigen om in mijn portfolio te loeren. Zowel hosts als beheerde/ reeds geinstalleerde licenses.

Waar staat dat onze beveiliging alleen afhangt van Safe Mode ?
Waar staat mijn conclusie dat jouw beveiliging daarvan afhangt. Ik geef een mogelijke aanleiding waarom de mainstream distro's geen haast hebben bij een update. Ik trek in geen enkele post de conclusie dat jouw beveiliging op die manier werkt. Die conclusie heb je zelf gemaakt niet ik. Dat kan ik niet, want ik weet niet hoe jij je servers beheert / installeerd.

@Mikey,

In BSD is het standaard niet mogelijk om als root in te loggen. Tevens moeten users daar deel uitmaken van de wheel group om root commando's uit te kunnen voeren.

Op bijv CentOS is dit niet het geval. Daar staat in de ssh config root login standaard aan, evenals protocol 1 + 2. DA voegt alleen AllowUsers root en AllowUsers admin toe.

Dit berust dus duidelijk op een misverstand en expertise op verschillende distributies. Ik neem mijn uitspraak dan ook terug.

Ik wil graag een keer met je babbelen over DirectAdmin, security en andere technische zaken. Maar laten we dat nu niet verder in dit topic doen en hier gewoon nu on topic blijven.

aight , ik ben moe en ga nu iemand anders lastig vallen

Nog even een reactie over dit bericht.
Op dit moment hebben we de OpenSSL geupdate echter wanneer er gekeken word bij de phpinfo.php staat er voor de rest overal de nieuwe versie echter niet bij het kopje Openssl
Hier staat nog gewoon:

openssl

OpenSSL support enabled
OpenSSL Version OpenSSL 0.9.7a Feb 19 2003

Oorspronkelijk geplaatst door ISPhoster

Nog even een reactie over dit bericht.
Op dit moment hebben we de OpenSSL geupdate echter wanneer er gekeken word bij de phpinfo.php staat er voor de rest overal de nieuwe versie echter niet bij het kopje Openssl
Hier staat nog gewoon:

openssl

OpenSSL support enabled
OpenSSL Version OpenSSL 0.9.7a Feb 19 2003

PHP rebuilden?

Code:

cd /usr/local/directadmin/customapache
./build clean
./build php n

Oorspronkelijk geplaatst door FransVanNispen

./build start het DirectAdmin script. Dit voert inderdaad o.a. een make uit voor diverse onderdelen, maar doet nog veel meer.

Waar kan ik precies vinden wat het dan allemaal doet?