Groot security risico OpenSSL !!!

[FransVanNispen]

Op het moment lopen erg veel webserver gevaar! Er is een bug ontdekt in OpenSSL, wat het mogelijk maakt door gebruik te maken van een bepaald certificaat en zo zonder wachtwoord in te loggen als root.

Edit: In de inmiddels verschenen officiële informatie is niet terug te vinden dat deze bug inderdaad kan worden misbruikt om als root in te loggen. ECHTER is het wél erg aan te raden toch de laatste versie te installeren.

References:

http://cve.mitre.org/cgi-bin/cvename...=CVE-2006-4339
http://www.openssl.org/news/secadv_20060905.txt

Alle versies tot 0.9.7j en 0.9.8b lopen gevaar !

Het checken van de versie:

# openssl version

Hoe te updaten (alleen getest op CentOS 4):

cd /root/Update-all/ ; OpenSSL=0.9.7k ; wget http://www.openssl.org/source/openssl-$OpenSSL.tar.gz ; tar xvzf openssl-$OpenSSL.tar.gz ; cd openssl-$OpenSSL/ ; rm -rf /usr/lib/libssl.so.0 ; rm -rf /usr/lib/libssl.so ; rm -rf /lib/libssl.so.2 ; rm -rf /usr/lib/libcrypto.so.0 ; ./config --prefix=/usr no-threads shared ; make clean ; make ; make test ; make install ; echo "/usr/local/ssl/lib" >> /etc/ld.so.conf ; /sbin/ldconfig -v ; rm -f /lib/libssl.so.4 ; rm -f /usr/lib/libcrypto.so.0 ; ln -s /usr/lib/libssl.so.0.9.7 /lib/libssl.so.4 ; ln -s /usr/lib/libcrypto.so.0.9.7 /usr/lib/libcrypto.so.0

Na deze update dient ook Apache opnieuw gebouwd te worden!

[Arto]

Dat is een belangrijk informatie, bedankt beste Frans.
Nu is mijn vraag, ik heb het volgende versie : OpenSSL 0.9.7a Feb 19 2003

Moet ik ook update?
En wat bedoel je met apache herbouwen?

cd /usr/local/directadmin/customapache
rm -f configure.*
./build clean
./build update
./build all

Deze mischien?

[FransVanNispen]

Alle versies voor 0.9.7k zouden geupdate moeten worden.
Voor de 0.9.8 versie alles voor 0.9.8c.

Om Apache te herbouwen hoef je slechts te doen:

cd /usr/local/directadmin/customapache
./build clean
./build apache

In geval je Apache 2 draait wordt dat laatste natuurljk:
./build apache_2

Eventueel kun je voor dat je opnieuw gaat bouwen eerst nog de laatste versie invullen in build. Voor Apache2 is dat 2.0.59

Daarna natuurlijk nog wel even apache herstarten:

/sbin/service httpd restart

[wv-]

Remote root?

Het ergste wat deze bug kan veroorzaken is volgens securityfocus dat je fout gesignde certificaten niet zou kunnen herkennen. Vooral client side dus. Gewoon upgraden als jouw distributie een update uitbrengt dus en niet in paniek geraken

http://www.securityfocus.com/bid/19849/info

[Arto]

http://www.openssl.org/source/openssl-.tar.gz
=> `openssl-.tar.gz'
Resolving www.openssl.org... 195.30.6.166
Connecting to www.openssl.org|195.30.6.166|:80... connected.
HTTP request sent, awaiting response... 404 Not Found
21:54:56 ERROR 404: Not Found.

[veenman]

Zojuist even apt-get gedraaid en die maakte ook expliciet melding van de veiligheidslekken die in de nieuwe versie gedicht zijn! Ik zou iedereen willen aanraden om direct te upgraden, dit is een zeer ernstige bug/exploit!

[sp-services]

apache 2.0.59 heeft een php include bug die nog niet direct opgelost is voor zover ik weet.

[Arto]

Zojuist even apt-get gedraaid en die maakte ook expliciet melding van de veiligheidslekken die in de nieuwe versie gedicht zijn! Ik zou iedereen willen aanraden om direct te upgraden, dit is een zeer ernstige bug/exploit!

yum update niet tot nu toe

[ju5t]

Grote kans dat je Exim ook mag recompilen.

[wv-]

Waarom zou je iets moeten recompilen? De openssl libs worden dynamisch gelinkt met de andere applicaties. Herstarten is genoeg. Als je wilt weten welke applicaties gebruik maken van libssl dan doe je lsof |grep libssl

[Zor.in]

Updaten is wel aan te raden. Met een onjuiste key kun je nu zo inloggen

(22:50:45 ) [root@****] ~$ ssh -lroot -p22 server01.icehosting.nl
Last login: Thu Sep 7 19:44:26 2006 from ************
[root@server.icehosting.nl] ~# openssl version
OpenSSL 0.9.7e-p1 25 Oct 2004

[Mikey]

Heb inmiddels verschillende adv. gelezen, op dit moment wordt hij nog steeds niet bestempeld als high crit.

Updaten is wel aan te raden. Met een onjuiste key kun je nu zo inloggen

jij hebt ook nog wat te doen

(23:58:19 ) [root@kostunrix] ~$ ssh root@xxxx.besthost.nl -p22 -i id_dsa_badcert
Last login: Thu Sep 7 22:41:49 2006 from 83.98.15x.xxx
[root@xxxx.besthost.nl] ~# openssl version
OpenSSL 0.9.7a Feb 19 2003

[crazycoder]

Op het moment lopen erg veel webserver gevaar! Er is een bug ontdekt in OpenSSL, wat het mogelijk maakt door gebruik te maken van een bepaald certificaat en zo zonder wachtwoord in te loggen als root.

References:

http://cve.mitre.org/cgi-bin/cvename...=CVE-2006-4339
http://www.openssl.org/news/secadv_20060905.txt

Alle versies tot 0.9.7j en 0.9.8b lopen gevaar !

En waar staat dat iemand zomaar als root in zou kunnen loggen? Ik heb het helaas nog niet kunnen ontdekken, het is op zich zeker mogelijk dat ik er overheen heb gelezen..

[Zor.in]

jij hebt ook nog wat te doen

(23:58:19 ) [root@kostunrix] ~$ ssh root@xxxx.besthost.nl -p22 -i id_dsa_badcert
Last login: Thu Sep 7 22:41:49 2006 from 83.98.15x.xxx
[root@xxxx.besthost.nl] ~# openssl version
OpenSSL 0.9.7a Feb 19 2003

Het is zorgwekkend. Ik heb op alle machines SSH maar uitgezet nu. Vannacht SSL updaten en SSH weer aanzetten.

[frvge]

Volgens mij ben ik stom want het werkt niet :P