「OpenSSHのPAMコードにリモート攻撃可能な脆弱性、3.7.1p2リリース」記事へのコメント

バッファ管理の欠陥も残っていた模様

[k3c (4386)]

セキュリティホールmemoの情報 [ryukoku.ac.jp]によると、3.7.1p1およびそれ以前に、まだバッファ管理関連のバグが残っており、3.7.1p2で修正されているとのこと。結局、PAMを使ってなくても3.7.1p2に上げて"usePAM no"でしのぐということになるのでしょうか。

…公式なAdvisory [openssh.com]にはなぜそのへんの情報がないんでしょうか。ちょっと不思議。

Re:バッファ管理の欠陥も残っていた模様

[Anonymous Coward]

3.7.1p2に上げたらPAMを無効にしなくてもいいでしょ。

ちなみに、ソースから自分でコンパイルするのなら、sshd_configで UsePAM no に設定する以前に configureスクリプトに--without-pamオプションを追加するというテもありますです。

# このようにしてPAMを削ったとき、sshd_configに UsePAM no と書くと
# 「存在しないオプションが指定されとる」との警告が表示されます :)

Re:バッファ管理の欠陥も残っていた模様

[Anonymous Coward]

まあ、OpenBSDではPAMを採用していませんので、
PAMのオプションなんてどーでもいいのです。:-)

Plamo/SlackwareもPAM取り入れてなかったっけかな。
PAMは便利でもあるけど、なくても別に困らないし。

Re:バッファ管理の欠陥も残っていた模様

[oku (4610)]

Plamo/SlackwareもPAM取り入れてなかったっけかな。

はい、どっちも PAM は使っていません。

PAMは便利でもあるけど、なくても別に困らないし。

最近までは御意だったんですけど、近頃 PAM も嬉しいかな、と言う事態に遭遇しつつあるので自分的には悩みどころです。