307meneos
Gravísima vulnerabilidad encontrada en OpenSSH, en Debian y derivados
Una gravísima vulnerabilidad en OpenSSH fue expuesta hoy, que afecta a Debian y todos sus derivados (Ubuntu, por ejemplo), y deben ser inmediatamente actualizados y regeneradas las llaves ssh generadas desde el 2006 en adelante.
votos negativos: 2 usuarios: 153 anónimos: 154
menéame
- condiciones legales
- quiénes somos
- licencias: código, gráficos, contenido
- descargar
- alojamiento en Ferca Network
Más info imprescindible, en los comentarios de /.:
it.slashdot.org/article.pl?sid=08/05/13/1533212
un parche aplicado en Debian, que elimina la generar información random a la hora de generar los keys, para evitar que Valgrind se queje
Es decir, como el Valgrind (valgrind.org/) se quejaba, pues quitamos la aleatoriedad a la generación de claves SSH y a tomar por saco. Gran técnica de programación, sin duda
Y aprovecho para flamear de nuevo:
meneame.net/story/mozilla-distribuyo-durante-meses-complemento-para-fi2
El fallo de Firefox fue en un binario de soporte al vietnamita y tardo casí 2 meses en ser detectado. Ok, es un trozo de código poco usado y la detección fue má... » ver todo el comentario
No exactamente: valgrind soltaba warnings de que se leía de zonas de memoria sin inicializar (eso se hacía para pillar datos "random", estaba bien hecho, aunque sea "guarro").
Un tipo listo pensó en inicializar esa zona de memoria, para que valgrind no soltase el warning. Al inicializar, ya no pilla datos random, por lo que se parte de un seed conocido. Por lo tanto hay menos entropía, y el crackeo de la clave se vuelve mucho más fácil :-(
Aquí los mensajes de aquel momento:
marc.info/?l=openssl-dev2
marc.info/?l=openssl-dev2 WTF???
(seguid con [next in thread])
(Vale, exagero un poco, me refiero que los usuarios que no requieran muchíísima seguridad no se preocupen demasiado)
Sí, lo han arreglado enseguida. El problema es que cualquier clave generada en los dos últimos años (desde 2006) debe ser revocada y generada de nuevo, ya que sufren de ese defecto.
El #8 tiene razón, no es un problema para el "usuario". Que demonios, el usuario normal no tiene SSH instalado. Pero es un error "de libro", de bulto, es algo muy grave desde el punto de vista teórico.
Si este fallo fuese de Microsoft habría ya 200 comentarios riéndose de MS, diciendo que "menos mal que uso Ubuntu" y diciendo que esto en el software libre no pasa.
Pero claro, no ha sido MS, si no la sacrosanta Debian, así que mejor callarse y soltar el mantra habitual de estos casos (por ejemplo en los bugs de Firefox) "pero en el SL lo parchea rápido!!!11" ¬¬
No puedes comparar esto con un fallo de Microsoft. Aún siendo este uno de los peores fallos de los últimos años, hay grandes diferencias con Windows:
* lo primero, que no ha habido ninguna víctima, ningún ordenador pwn3ado, ninguna clave rota. Compara eso con cualquier virus de Microsoft, cuyas víctimas se cuentan por millones...
* se ha descubierto el fallo, aunque hayan tardado 2 años. Se ha arreglado. En cambio, Windows sigue con infinitos fallos sin documentar.
* se ha parcheado en poquísimo tiempo. Compara eso con los "Windows update".
* aún así, siempre puedes utilizar una versión distinta a la que empaqueta Debian. Prueba tu eso en Windows...
Para ser un fallo de esta magnitud, no es para tanto.
Aún así, felicidades, buen intento de trolleo ;-)
Falacia. Primero porque no sabes cuantas víctimas han habido. No creo que haya muchas, pero te digo que alguna va a haber con sistemas legacy. Aparte de los problemas causados en cosas como tiendas online. Y segundo porque el problema sigue siendo muy grave afecte a 1000 usuarios de Debian o a 100.000 de MS. La cagada es seria.
"se ha descubierto el fallo, aunque hayan tardado 2 años. Se ha arreglado. En _ca... » ver todo el comentario
No te imaginas la cantidad de servidores "instala y olvida" que hay perdidos por el mundo.
Soy el primero en criticar este fallo de Debian, en ningún momento lo rebajo y discuto. Pero hay órdenes de magnitud, no comparemos este fallo a un Blaster, por decir algo. Cuando un sistema es blandengue y debilucho, un pequeño fallo lo hace temblar y derrumbarse. Cuando es robusto y fuerte, como Debian, un único fallo no suele comprometer el sistema por completo.
Respecto a aquella noticia de inyecciones SQL, el fallo estaba en el IIS, que se dejaba violar hasta el fondo. En un sistema operativo con usuarios y permisos eso no habría pasado (y no pasó). La entradilla era una traducción de la de slashdot, que es lo que suelo hacer. Ala, toma ad-hominem.
"Cuando es robusto y fuerte, como Debian, un único fallo no suele comprometer el sistema por completo."
Jo-ño. ¿Sacar la clave privada del root de un sistema no es comprometer el sistema por completo?
www.ubuntips.com.ar/2008/05/13/como-saber-si-tu-sistema-esta-afectado-/
#26 Que raro, esta vez estoy de acuerdo contigo al 100%. Mas claro imposible!
_________
¹ Desvelados serios problemas en el algoritmo que genera los números pseudoaleatorios en Windows 2000 y XP
www.hispasec.com/unaaldia/3318
A ver, que yo estoy de acuerdo con que el software libre reacciona rápido ante estas cosas, ahora bien, también digo que para el usuario normal es un cristo tener que andar con keygen y con cambios en authorized_keys, etc.
[Claro, que el usuario normal, si nos ponemos, no abre una terminal ni escribe ssh en la vida...]
La alerta de seguridad es correcta, pero no hay garantía de que la entropía recogida sea mejor después del parcheado el fallo que antes. Por lo tanto, es de suponer que esa cosa tiene otras fuentes de entropía, lo cual no hace las claves tan fáciles de adivinar como eso. Es un fallo teórico.
El enfoque ante errores en el código es completamente distinto en el software libre que en microsoft. En microsoft deciden arreglar o no un fallo dependiendo de su visibilidad. Hay literalmente cientos de err... » ver todo el comentario
En primer lugar, el impacto de este bug es incierto, alguno ha comprobado cuanto se tarda, de forma efectiva, en sacar en acertar una de esas claves con entropía reducida? Yo creo que no, entonces no tenemos ni idea de si son 5 minutos o 2 meses.
Es difícil predecir cuanto se tarda realmente, por que se te pueden escapar muchos factores, como bloqueos etc, por lo que no se sabe nunca el impacto de un bug de este tipo, hasta que se prueba ciertamente, y se obtiene una clave.
Dicho esto, #32, eres un alarmista además de un troll.
Según citas tu en:
... » ver todo el comentario
Ubuntu, para que te juankeen las fotos del cumple
Gentoo, para configurar una vez y olvidarte de todas estas tonterías
¡Gentoo rulez! :-D
Pues si es una máquina que corre como firewall/router y cuya única fuente de entropía son los datos que le llegan por red, sería posible tener una idea muy aproximada del estado interno del aparato. Para esto existen otros algoritmos como en.wikipedia.org/wiki/Yarrow_algorithm que implementa FreeBSD.
#36 Aparte de todo esto... ¿Por que debian se preocupa tanto por los warnings del valgrind? es que creen que OpenSSL está mal echo? Increible.
Todo está mal hecho. Es normal que se preocupen por los warnings, para depurar lo ideal es que la ejecución sea "limpia", aunque sea una cagada lo que han hecho.
OpenSSL usa distintas maniobras para conseguir aleatoriedad. Cada paso añade una serie de bits de aleatoriedad. El tío que la cagó comentó toda la función que usaba el vector sin inicializar con lo que se cargó una toda una serie de pasos y dejó el sistema con solo 18 bits de libertad, eso son 262114 claves débiles distintas.
De hecho hay una lista con las claves posibles en este script:
security.debian.org/project/extra/dowkd/dowkd.pl.gz
En menos de un segundo se peta una comunicación que tenga esta vulnerabilidad.
De todas formas a veces hasta entiendo los flames, ya lo comente en otra noticia sobre un bug en win que algunos linuxeros parecian alegrarse cada vez que habia un fallo en windows, y las cosas no son asi, todo sistema tiene sus fallos, al menos si el sistema evoluciona (otra cosa es que siguieramos con un sop del año catapum revisado mil veces pero todos queremos avanzar) , pero creo que es importante que todos, tanto linuxeros como windowseros (como mackeros) aprendamos a respetar a los usuarios de otros sistemas, y a no burlarnos cuando el otro sistema falla, asi q... » ver todo el comentario
Este bug es sin duda un ejemplo de software en desarrollo. Ahora, gracias a este señor, tiene un bug menos.
Nadie está experimentando con nadie, te dan el software tal y como está, sin garantias. Tú eres el responsable si quieres usarlo.
Para más información, léase la GPL.
Que mi super mercedes (o cualquier mega coche de gama alta) haya tenido un pequeño problemilla con una tuerca un poco floja no convierte a tu Panda en un coche mejor que el mío.
Por cierto, eso de que sacan un parche enseguida no se hasta que punto es bueno, una modificación en el SO hay que probarla bien para comprobar entre otras cosas que no genera nuevas vulnerabilidades, no se puede sacar un parche rapido para arreglarlo.
Los amantes de Windows deberian aprender, se considera Fallo de Seguridad Grave y se anuncia a los 400 vientos, ¿cuantos saben al menos 1 de los mas de 200 fallos críticos del NT?.
Ahora otra historia, analizar el fallo,
1º no afecta a los clientes solo a nivel servidor, esto ya reduce bastante los afectados.
2º no es una puerta abierta, se sigue necesitando la fuerza bruta, y bueno en mi caso ni uso el puerto estandar 22, ni permito a todas las ips que entren, ni una clave me dura mas de 5 dias y el sistema me avisa cuando entra algún root, una buena planificación y todos los ordenadores del mundo y solo necesitaria 20 años para petarlo, [IRONIC ON]ciertamente está endeble el sistema[IRONIC OFF].
Pues vale... me voy a pasar a windows solo por esto (porque estas cosas con Windows no pasan).
#47 solo ocurre exactamente lo mismo que cuando se anuncia un fallo de Windows
Si lo he entendido bien, las claves se pueden sacar interceptando tráfico, que no siempre es posible.
La noticia que enlazo de hispasec no es sobre este problema de seguridad en Debian, sino sobre otro semejante en Windows. Y con mi comentario daba a entender, precisamente, que lo que pasa es que los linuxeros nos tomamos la seguridad mucho más en serio y llamamos grave vulnerabilidad a lo que en el argot de Microsoft se denomina compromiso local o algún eufemismo similar.
No te preocupes, acepto tus disculpas.
Respecto a la magnitud del problema, lee a #39.
#7 #12 No podría estar más de acuerdo. Está claro que no ha tenido la magnitud y el alcance de los virus y vulnerabilidades para Windows, pero está claro que el que esa vulnerabilidad haya estado ahí 2 años es bastante grave, pero nada, como es una distro del bicho cornudo, hala, no ha pasado nada, pero si hubiese sido de Microsoft ya se hubieran salido de madre con los tópicos anti-windows.
1º Cierto lo de los tópicos antiwindows (a su favor debo decir que también salen los tópicos antilinux nombrando los tópicos antiwindows)
2º Llevo 1 año con GNU/Linux, con varias distros (una de ellas ubuntu) no entiendo muy bien el problema... Sólamente comprendí que pueden hacerse con el sistema si accedes remotamente siendo root ¿no?
3º En todas las conversaciones acerca de bugs en GNU/Linux se trata de buscar la máxima seguridad, la seguridad es lo más importante, da la sensación de ser muy puristas en este aspecto. Windows se basa en ser cerrado y confiar en que no te encuentren los fallos (una visión parcial y simplista, lo sé).
4º Faltan testeadores y audito... » ver todo el comentario
>>#2 Perfecto es Windows, cuyos fallos críticos (sí, tiene algunos) se solucionan a más tardar en 1 MES.
>>Por cierto, como sabeis que microsoft no tiene la misma cagada?
Por cierto 2, como me encanta decir: si tanto os gusta windows, por que no os lo comprais?
>>Los amantes de Windows deberian aprender, se considera Fallo de Seguridad Grave y se anuncia a los 400 vientos, ¿cuantos saben al menos 1 de los mas de 200 fallos críticos del ... » ver todo el comentario
Error de comprensión lectora y/o conocimientos. Que yo cite la frase llamada "Ley de Linus" no quiere decir que me refiera al trabajo de Torvalds. De hecho, la frase debería llamarse la "Ley de Raymond", Linus no tiene nada que ver en ello...
Nadie está experimentando con nadie, te dan el software tal y como está, sin garantias. Tú eres el responsable si quieres usarlo.
>Estas frases me las apunto para el próximo bug descubierto en algo como IIS o SQLServer.
Microsoft sí que te da garantías de que va a funcionar. La GPL no.
Además, ¿estás en contra de que se solucionen los bugs?
Lee las EULA de MS: tiene un "AS IS" asín de grande.( en.wikipedia.org/wiki/As_is ) igualicas que la GPL.
Y repito una vez más. ¿A qué viene compararse con MS? ¿LA idea no es compararse con algo equivalente o superior y no con la mierda? En fin...
"Además, ¿estás en contra de que se solucionen los bugs?"
Mi mente no es capaz de imaginar la forma en la que has podido llegar a plantearte después de leer mis comentarios. Iluminame.
Copi pasteo de la wikipedia es.wikipedia.org/wiki/Ley_de_Linus :
"Aquí, hay una diferencia esencial entre los dos estilos. En el enfoque usado para desarrollar software propietario, los errores y problemas de desarrollo son fenómenos complejos y profundos. Generalmente toma meses de revisión exhaustiva para que unos cuantos confíen en que los errores han sido eliminados. Por eso se dan los intervalos tan largos entre cada versión que se libera, y la inevitable desmoralización cuando estas versiones, _largam... » ver todo el comentario
¿Seguro que no ha sido que leido "Linus" y has escrito eso sin más? :roll:
"Segun esas premisas, lo citado en la noticia, no es mas que una demostracion mas de la "Ley de Linus" dado que sino el error no se hubiese detectado y reparado."
Claro, por lo tanto siempre que alguien mirando un código vea un bug se "demuestra" la "Ley de Linus"... ¬¬
La idea de esa frase era indicar que en el SL los bugs son detectados muy rápidamente dado hay más gente revisando ... » ver todo el comentario
Respecto al resto, si, la ventaja del software libre, es que uno programa y varios ven ese codigo...siendo mas probable que se descubran mas fallos que en un software donde solo hay un grupo de X personas fijas. Esto es innegable, de ahi que se hagan beta-testeos en practicamente todas las cosas serias... Asi pues, siempre que alguien acceda al codigo fuente de un programa libre y descubra un fallo, la ley de linus se cumplira (por eso es ley y no teoria ;) )
a) no es infalible
b) se asume que todo el SL cumple la Ley de _... » ver todo el comentario
Había entendido tu comentario perfectamente la primera vez (y sin explicación posterior por tu parte!) pero el que no me has entendido eres tu, te lo voy a explicar no sea que...
Tu has comentado un bug en windows, que requiere de una información de entropía para ser explotado, y que solo puede conseguirse de forma local, ademas, su efectividad NO ha sido probado, para comprar un bug en linux que permite comprometer la cuenta de root, sin necesidad de ninguna información adicional, y de forma completamente remota, ademas, de forma genérica. Y de esta comparación intentas deducir como conclusión, que en l... » ver todo el comentario
En el software libre:
- ¡ya!
Resultado: 3 meses de promedio.
En el privativo:
- esperar a que los desarrolladores exclusivos y amos del código lean el reporte
- esperar a que los desarrolladores exclusivos y amos del código reconozcan el error
- esperar a que los darrolladores exclusivos y amos del código se les pase el cabreo porque alguien descubrió algo feo en su cosa maravillosa (eso decía la nota de prensa de lanzamiento, que casi siempre se puede resumir en "WOW!")
- esperar a que los dsarrolladores exclusivos y amos del código busquen alguna excusa para decir que no es tan ... » ver todo el comentario
Por eso hoy muy pocos usuarios de software miran código. Costará muchos años recuperar esas buena costumbre --para los aficionados a ello, que siempre hay, y a tunear coches y a hacer torres Eiffel con palillos.
Cuando hablamos de software libre, eso sucedió porque tú no miraste el código. Yo tampoco.
No sé si ves la diferencia esencial.
El problema que veo es tener que regenerar los certificados ssl, con todo lo que ello conlleva. Pero bueno, todo sea por estar más seguros.
Ahh, para evitar ataques por fuerza bruta, fail2ban
Como se deduce del código, la vulnerabilidad no consiste en que puedan escuchar una comunicación cifrada, sino en que pueden conseguir bruteforcear en poco tiempo, la key de un usuario para acceder al sistema.
www.milw0rm.com/exploits/5632
www.milw0rm.com/exploits/5622