パスワードを忘れた？ アカウント作成
Close
6535 story

OpenSSH 3.7 リリース 29

ストーリー by yoosee
さて皆さん、バージョンアップのご用意を 部門より

umq曰く、"OpenBSD journalの記事によると、OpenSSH3.7がリリースされました。OpenSSH.comにリストアップされている各ミラーサーバから入手が可能になっています(接続が多くて?繋がりにくいようです)。
3.7より前のバージョンでは、バッファ管理に誤りがあり、その問題を修正するパッチも前後して公開されています。 その他の主な変更点は、以下追記に..."

  • ライセンスの見直しが行われ ssh-1.x 以外の全てのコードについて宣伝条項なしの BSD スタイルライセンスになっている
  • rhosts認証が削除された
  • Kerberos認証に変更があった
  • 公開鍵認証の鍵を試す順番が変更された
  • SOCKS5がssh(1)のダイナミックフォワードモードに対応した
  • SCTP(Stream control transmission protocol)上でSSHを使う際の実装上の問題を解消された
  • sftp(1)クライアントが引用府を含むファイル名を持つファイルの転送に対応した
  • sshd(8)でUseDNSオプションをつけた際のVerifyReverseMappingの動作を常に逆引きが行われるように変更された
  • メモリリークを何か所か修正された
  • SSH2プロトコルでBREAKを送れるようになった
  • 他実装の鍵交換推測のバグに対処
  • ssh-keygen(1)でKEX-GEXグループ(/etc/moduli)の生成をサポートした
  • 通信量に応じて鍵の再交換を自動で行うようになった
  • クライアントにプロトコルを選択するためのアドレスファミリオプションが追加された
この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

OpenSSH 3.7 リリース More

  • OpenSSH 3.7.1 リリース (スコア:3, 参考になる)

    by tix (7637) on 2003年09月17日 8時55分 (#399048) ホームページ
    OpenSSH security advisory: buffer.adv [openssh.com] が更新されて第2版になっています。
    3.7 でも駄目なようで 3.7.1 が出ているのでご注意を。
    --
    鵜呑みにしてみる？

    • Re:OpenSSH 3.7.1 リリース (スコア:2, 参考になる)

      by umq (4421) on 2003年09月17日 11時10分 (#399121) 日記
      > OpenSSH security advisory: buffer.adv [openssh.com] が更新されて第2版になっています。
      > 3.7 でも駄目なようで 3.7.1 が出ているのでご注意を。

      FreeBSD-SA-03:12.openssh [freebsd.org]がでてます
      これは、このコメントを書いている時点では buffer.adv の初版相当の対策しか施されていません。
      CURRENTのソースでは、先ほど(日本時間の10時ごろ)対処された [freebsd.org]ようなので、
      他のバージョンはMFC待ちといったところでしょうか

      とりあえず openssh.com で配布されているパッチをあてればよいでしょう
      シェア
      親コメント

    • Re:OpenSSH 3.7.1 リリース (スコア:1, 興味深い)

      by Anonymous Coward on 2003年09月17日 14時50分 (#399218)
      アドバイザリにくっ付いてたパッチを見てみましたが具体的に
      どういう状況で攻撃されうるのかイマイチ良く分かりません。

      修正前
          1.新しいバッファサイズを計算
          2.バッファ構造体のバッファサイズのメンバに新しいバッファサイズを設定
          3.これから確保されるメモリの量が多すぎる場合fatal()で終了
          4.xmalloc/xreallocでバッファ構造体のデータ部のメモリを確保
      修正後
          1.新しいバッファサイズを計算
          2.これから確保されるメモリの量が多すぎる場合fatal()で終了
          3.xmalloc/xreallocでバッファ構造体のデータ部のメモリを確保
          4.バッファ構造体のバッファサイズのメンバに新しいバッファサイズを設定

      修正前の処理では2と4の間でバッファ構造体が不整合な状態があるので、
      その部分でbuffer_free()等の関数を呼ばせる事が出来れば攻撃が成立しますが、
      コードを読んだ限りではそのような事は不可能なようです。
      処理2と4の間で呼ばれるのは精々fatal()関数かシグナルハンドラ
      程度であり、そのどちらもバッファ構造体には触れていませんでした。

      という訳で攻撃を受ける可能性は無いように思います。
      何か見逃している所があったら教えてください。
      シェア
      親コメント

      • Re:OpenSSH 3.7.1 リリース (スコア:2, 興味深い)

        by tix (7637) on 2003年09月17日 22時09分 (#399491) ホームページ
        処理2と4の間で呼ばれるのは精々fatal()関数かシグナルハンドラ
        程度であり、そのどちらもバッファ構造体には触れていませんでした。
        たぶん、 fatal 関数の処理の中で buffer_free 関数が呼ばれているのでは。

        少なくとも、不整合を起こした状態で fatal 関数が呼ばれることが問題になっているようです。
        Re: [Full-Disclosure] openssh remote exploit [neohapsis.com] やこのメールを含むスレッドを参照。
        --
        鵜呑みにしてみる？
        シェア
        親コメント
        • あうあ。見逃してた。

          fatal()があらかじめ登録されたいくつかのクリーンアップ関数を
          呼んでいてそこからbuffer_free()が呼ばれているのですね。
          これじゃ攻撃される可能性がありますね。ごめんなさい。

          # 盲点でした...気をつけなきゃ...
    • Vineなんですけど、apt-get でupdateかけても、出てこないのですが。
      こういう場合は待つしかないのでしょうか？

      ３．６．１ｐ２ です。現在。

      • Re:OpenSSH 3.7.1 リリース (スコア:1, 参考になる)

        by Anonymous Coward on 2003年09月17日 10時26分 (#399093)
        メンテナがVine向けに再パッケージングするまで
        若干のタイムラグはあるでしょう。

        aptで出てくるものはProject Vineで動作確認されたものだけです。

        私はOpenSSHやGnuPG等セキュリティの中核になるパッケージは
        openssh.comのものとか、自前パッケージとか非Vine用のものを
        使ってます。もちろん、at my own riskです。

        最新版使いたいならSlackware/Plamoや*BSDで自前buildすべし。:-P
        シェア
        親コメント
      • >こういう場合は待つしかないのでしょうか？

        パッケージを作って送るという手もありますよ:-)

        # そんな技量はナイのでAC
        # 私も3.6.1p2。ただしCygwin

        • Re:OpenSSH 3.7.1 リリース (スコア:3, 興味深い)

          by iwai (447) on 2003年09月17日 20時33分 (#399440)

          パッケージを作って送りつけるよりは Vine Linux Security Watch Team に参加していただいた方がよいです。脆弱性の報告からパッケージの作成、テストまでをここで行っていますから、参加していただいた上でパッケージを提供すればよいかと。 http://vinelinux.org/ の下の方に参加方法が書かれてます。

          なお、OpenSSH のこの件に関しては、既にパッケージが作成されていて今はテストをしている段階です。

          シェア
          親コメント

  • freebsd-update も更新 (スコア:3, 参考になる)

    by fil (17752) on 2003年09月17日 19時24分 (#399389)
    FreeBSD では下記で libssh.so.2 が更新されました。

    freebsd-update fetch
    freebsd-update install

    なお、プロキシ経由の方は下記のとおりです。

    http_proxy=[server]:[port] freebsd-update fetch

    その前に下記が必要な人もいらっしゃいますよね。

    cd /usr/ports/security/freebsd-update
    make install

    • freebsd-update
      お恥ずかしながらこのportsは初めて知りました。おほほ、何気に便利です。

      --
      ほえほえ
      シェア
      親コメント

    • freebsd-update 再更新 (スコア:1)

      by fil (17752) on 2003年09月18日 23時33分 (#399947)
      freebsd-update の libssh.so.2 がもう一度更新されたようなのでご注意を。下記コマンドで確認できます。

      freebsd-update fetch

      プロキシ経由の方は下記のとおりです。

      http_proxy=[server]:[port] freebsd-update fetch
      シェア
      親コメント

    • 手当てをするまで22番のソースアドレスを絞って、今日対処をするつもりで改めてこのストーリーを見返して、freebsd-updateを知りました。どうもありがとうございます。

      # freebsd-update fetch の前に、
      # cp /usr/local/etc/freebsd-update.conf.sample /usr/local/etc/freebsd-update.conf が必要なようですね。

      # freebsd-update fetch
      Fetching public key...
      fetch: http://update.daemonology.net/5.1/pub.key: Not Found
      *** Error code 1
      Stop in /usr/local/freebsd-update.

      freebsd-updateのホームページ [daemonology.net]によると、現時点では4.7-RELEASEと4.8-RELEASEのみ対応と言うことで、私には残念な結果でした。いずれにせよ、情報ありがとうございます。

      シェア
      親コメント

  • src.rpm (スコア:1)

    by druaga (13366) on 2003年09月17日 8時30分 (#399042) 日記
    rpm パッケージがないのでどうしようかと思ったけど、
    3.6 用のspec ファイルがほとんどそのまま使えました。
  • CiscoのSecurity Advisory [cisco.com]も出ましたね。まだReleaseが1.1 INTERIMということもあってか、修正予定がはっきりしてませんが。

    # IOSは問題ないらしいのが不幸中の幸い。
    --
    KyaTanaka

  • ～部門 (スコア:0)

    by Anonymous Coward on 2003年09月17日 11時23分 (#399128)
    で、これってすぐにupdateしないとまずい種類のものなんですか?

    • Re:～部門 (スコア:2, 参考になる)

      by rin_penguin (9144) on 2003年09月17日 14時03分 (#399188)
      CERTはやべぇぞゴルァ [cert.org]と言っています。
      シェア
      親コメント

    • Re:～部門 (スコア:1)

      by annoymouse coward (11178) on 2003年09月17日 12時53分 (#399156) 日記
      「3.7より前のバージョンでは、バッファ管理に誤りがあり」
      の部分に関しては、タレコミ文でもリンクが張られていますが、

      とりあえず、今のところは、このバッファ管理の誤りを悪用した
      セキュリティホールは見つかっていないようです。

      どうするかはご自分で判断されてください。
      シェア
      親コメント

    • Re:～部門 (スコア:0)

      by Anonymous Coward
      #399128の匿名の臆病者です。

      さしあたって、今すぐ更新しないとまずいというものでもないようですね。
      しばらくは様子見といったところでしょうか。
typodupeerror

「毎々お世話になっております。仕様書を頂きたく。」「拝承」 -- ある会社の日常