パスワードを忘れた？ アカウント作成
Close
この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

Debianのopensslパッケージに欠陥発覚 More

「Debianのopensslパッケージに欠陥発覚」記事へのコメント

  • なぜ？ (スコア:2, 興味深い)

    by Anonymous Coward
    なぜ Debian のパッケージだけこんな問題が起きたのか
    説明がないのでさっぱり。

    で、チェックするスクリプト(及び鍵)
    http://security.debian.org/project/extra/dowkd/dowkd.pl.gz
    http://security.debian.org/project/extra/dowkd/dowkd.pl.gz.asc
    やらを紹介されているが、どう使ってどういう結果が出れば
    NG なのか説明がないのでさっぱり。

    対象マシンで
    % ./dowkd.pl user
    と実行したけど、何も表示されなかったから OK ってこと？

    さっぱりだ。

    • Re: (スコア:5, 参考になる)

      by Anonymous Coward

      OpenSSL パッケージの脆弱性とその影響について (SSH鍵、SSL証明書等） [debian.or.jp]の方を見るが吉。

      • Re: (スコア:0)

        by Anonymous Coward
        あれ？aptでアップデートして今4.3p2-9etch1なんですが
        ssh-vulnkeyもopenssh-blacklistへの依存も、README.compromised-key.gzも
        含まれてないです。

        • Re: (スコア:0)

          by Anonymous Coward
          openssh-server が上がってない/入ってない気がします。

          $ dpkg -l | grep openssh
          ii openssh-blacklist 0.1.1 list of blacklisted OpenSSH RSA and DSA keys
          ii openssh-client 4.3p2-9etch1 Secure shell client, an rlogin/rsh/rcp repla
          ii openssh-server 4.3p2-9etch1 Secure shell server, an rshd replacement

          ssh-vulnkey は openssh-server パッケージに入ってます。

          • Re:なぜ？ (スコア:1)

            by Henrich (121) on 2008年05月16日 14時56分 (#1345168)
            etch で確認しましたが openssh-client パッケージに入っていると思いますよ。

            $ dpkg -L openssh-client
            /.
            /usr
            /usr/lib
            /usr/lib/openssh
            /usr/lib/openssh/ssh-keysign
            /usr/bin
            /usr/bin/ssh-copy-id
            /usr/bin/ssh
            /usr/bin/ssh-agent
            /usr/bin/scp
            /usr/bin/ssh-keyscan
            /usr/bin/ssh-argv0
            /usr/bin/ssh-add
            /usr/bin/sftp
            /usr/bin/ssh-keygen
            /usr/bin/ssh-vulnkey
            /usr/share
            /usr/share/doc
            /usr/share/doc/openssh-client
            /usr/share/doc/openssh-client/changelog.Debian.gz
            /usr/share/doc/openssh-client/README.compromised-keys.gz
            /usr/share/doc/openssh-client/README
            /usr/share/doc/openssh-client/NEWS.Debian.gz
            /usr/share/doc/openssh-client/README.dns
            /usr/share/doc/openssh-client/README.tun.gz
            /usr/share/doc/openssh-client/copyright
            /usr/share/doc/openssh-client/changelog.gz
            /usr/share/doc/openssh-client/README.Debian.gz
            /usr/share/doc/openssh-client/OVERVIEW.gz
            (snip)

            $ dpkg -s openssh-client
            Package: openssh-client
            Status: install ok installed
            Priority: standard
            Section: net
            Installed-Size: 1608
            Maintainer: Matthew Vernon <matthew@debian.org>
            Architecture: i386
            Source: openssh
            Version: 1:4.3p2-9etch1
            Replaces: ssh, ssh-krb5
            Provides: rsh-client, ssh-client
            Depends: libc6 (>= 2.3.6-6), libcomerr2 (>= 1.33-3), libedit2 (>= 2.5.cvs.20010821-1), libkrb53 (>= 1.4.2), libncurses5 (>= 5.4-5), libssl0.9.8 (>= 0.9.8c-1), zlib1g (>= 1:1.2.1), debconf (>= 1.2.0) | debconf-2.0, adduser (>= 3.10), dpkg (>= 1.7.0), passwd, libssl0.9.8 (>= 0.9.8c-4etch3)
            Suggests: ssh-askpass, xbase-clients
            Conflicts: ssh (<< 1:3.8.1p1-9), sftp, rsh-client (<< 0.16.1-1), ssh-krb5 (<< 1:4.3p2-7)
            (snip)

            シェア
            親コメント

            • Re: (スコア:0)

              by Anonymous Coward
              すみません。
              openssh-cilent,openssh-serverのほうは
              4.3p2-9etch1ではなく、4.3p2-9のままでした。
              (sshパッケージは4.3p2-9etch1だったのですが)
              玄箱proでarmなので
              http://packages.debian.org/ja/etch/openssh-client
              を見る限り、まだ用意されてないということなんでしょうか。

              • Re:なぜ？ (スコア:1)

                by Henrich (121) on 2008年05月16日 20時24分 (#1345290)
                恐らく該当のアーキテクチャについては、まだbuildが完了していないのだと思われます。
                通常であれば、buildd のログを見て確認できるのですが、security アップデートだと通常とは違う経路で build されているかもしれません。
                http://security.debian.org/pool/updates/main/o/openssh/ も見ましたが、パッケージが存在していないですね。
                確認すべき場合は、debian-arm@lists.debian.org か debian-security@lists.debian.org に投げてみると良いかと。

                ＃もし、必要でしたら聞いてみるぐらいは明日してみますよ。
                シェア
                親コメント
              • 現在、mips 以外は ok です。
                シェア
                親コメント

              • Re: (スコア:0)

                by Anonymous Coward
                ありがとうございます。
                4.3p2-9etch2へのアップデートを
                確認いたしました。

                すみませんお騒がせしました。
              • >すみませんお騒がせしました。

                とんでもないです、むしろ状況を教えていただけて情報がシェアできるのでありがたいです（arm マシンを使って無いので当方では全く気づいていませんでした）。感謝します。

                シェア
                親コメント

最初のバージョンは常に打ち捨てられる。