One remote hole in the default install, in nearly 6 years!

ahahahahah
beshe bilo " Five years with no remote hole in default install "
sredili su Theo-a ;)))
prochitajte neki gobbles Advisory .... momci su ludi ;))
U zadnje vreme su Theo-a ozbiljno uzeli na zub ... verovatno i zbog te konstatacije o 5 godina bez remote bug-a ..... a kao shto kazu sa tim inetd.conf-om bi i redhat bio 5 godina bez remote rupe.
Chak i njihov Openssh nije po defaultu bio up ... osim u nekoliko zadnjih verzija
Najnoviji remote bug je upravo za Openssh i daje root shell ... gobbles su objavili exploit ---- sshutup-theo.tar.gz ;))))))
Zato je sad "One remote hole in the default install, in nearly 6 years!" .. priznajte deluje smehsno ;)))

Potpis

"If they can make penicillin out of moldy bread, they can sure make something out of you." -- Muhammad Ali

Džaba sve, obsd je bio i ostaće najbolji pro aktivni sigurnosni sistem.

gobbles-u svaka čast momci su ok, a možda i malo previše se uživljavaju, no dobro .... ima nas raznih.

Koga interesuje ova tematika neka obrne misc@ i temu ,,What's wrong with OpenSSH''

Potpis

"It's okay, I'm just admiring to the shape of your skull!" -- Dr. Gonzo

a koji je sajt tih gobblesa ?

Potpis

Nadmudriti protivnika

ma da .. a josh sigurniji ce biti ako ga iskopchate iz interneta

Potpis

"If they can make penicillin out of moldy bread, they can sure make something out of you." -- Muhammad Ali

A ko je još toliko lud da koristi password based auth ? L;))

openssh je sjajan alat, samo ukoliko se ume baratati sa njim.

GOBBLES su stvarno majstori ... probao sam sshutup-theo, i odmah potom updejtovao /src

I mislim da je ovo je samo početak ... i trajaće sve dok se ne smisli način na koji bi sshd.c mogao da se ranuje 101% pod non-root korisnikom.

Potpis

"It's okay, I'm just admiring to the shape of your skull!" -- Dr. Gonzo

Voleo bih da vidim alat koji ima mogućnost da pokreće procese sa privilegijama svih korisnika koji se mogu prijaviti, a da bar u nekom trenutku ne koristi uid 0 i sve njemu dopušteno.

Najviše što je neki program uspeo (koliko znam) je upotreba suexec skripte po potrebi (čitaj Apache u SuExecCGI konfiguraciji).

Ne postoji mogućnost da se izvrši novi proces sa privilegijama nekog drugog korisnika (što radi sshd---korisnikovu ljusku startuje sa njegovim privilegijama, a ne sa svojim).

Prema tome, od onih 101% koje reklamiraš, mislim da možeš da očekuješ samo 1%, a 100 ide na rasprodaju.

Toliko.

Potpis

Možda se moje mišljenje promenilo, ali ne i činjenica da sam u pravu.

pa i nisu... pre svega nije njihov vurn, kao ni za apache, kao ni za... vurn je bio poznat par dana/nedelja pre no sto su oni bilo sta izbacili :) a sto se tice druge stavke pogledaj UsePrivilegeSeparation opciju, moze te resiti mnogih glavobolja u buducnosti u slicnim situacijama. definitivno je openssh na udaru u prethodnih nekoliko meseci, kao i theo, sto je jednim delom i zasluzeno zbog prevelike arogancije u odnosu na ostatak sveta.

Potpis

OV SM
LA PK

da .. bug nije njihov ali veshtina jeste
koliko sam video na mailing listama kad je objavljen advisory za bug u apachu .. razni security struchnjaci su tvrdili da je to DOS bug i eventualno remote shell na windowsu ili 64-bitnim unixima, za x86 *nix-e su tvrdili da je nemoguce dobiti shell
gobbles su to opovrgli .. iako bug nisu oni otkrili .. "zasluge" su delom njihove a i drago mi je i da su srushili licemerni openBSD moto o default instaciji ;)))
mislim i da je dobro shto svoje exploite izdaju uz objavu nekog buga .. ili neposredno posle toga jer tako dobiju publicitet i lenji admini moraju da neshto urade jer exploit je public i svako sa iole malo unix znanja moze da ownuje nihovu mashinu, mnogo je opasnije za admine da exploit cirkulishe kroz blackhat krugove i nanosi mnogo vecu shetu
definitivno su i izabrali pravu meru .... jer mogli su objaviti i exploit za linux,koji je najchesci OS na kome se vrti apache
sa druge strane mnogo je lakshe unishtiti neshto nego napraviti .. npr. openssh ima 20 hiljada linija koda .. i moguce je i da vrsni programer napravi greshku a pogotovo grupa ljudi koja radi na istom projektu
znachi Theo i njegova ekipa pokushavaju da naprave neshto i zbog toga ih treba poshtovati ... s tim shto arogancija ne pali .. narochito ako si napravio neki propust ;)))

Potpis

"If they can make penicillin out of moldy bread, they can sure make something out of you." -- Muhammad Ali

hmmm... pa i nisu napravili nista sto vec nije vidjeno, druga stvar je sto na bugtraq listi (zapravo bilo kojoj announce || security listi) nikada neces videti ni priblizno sve sto sta se desava medju "ekspertima", vec ces videti samo nagovestaj onoga sta se desava. iz aviona se moglo videti da je recenica koja kaze "ovo kaci samo 64-bitne arhitekture zbog prirode overflow-a" apsolutna glupost samo napisana kako bi dala vremena developerima apache-a da napisu patch posto je M$ pokvareno pustio patch za IIS i objavio obavestenje o vurn-u pre vremena.
mit o openbsd-u nije srusen iz prostog razloga zato sto je masa ideja i implementacija vezanih za security na kernel nivou od njih pokupljena kako od strane freebsd-a i netbsd-a, tako od strane jos nekih poznatih nam OS-ova. mit je samo srusen kod ljudi koji su nalozeno stavljali openbsd smatrajuci da su time uradili bog zna sta i stavili operativni sistem koji se maltene sam od sebe administrira i nece morati ni da se pogleda nakon instalacije. nisam primetio ni da se smanjio broj korisnika openssh-a zbog ovoga. naravno, to ne menja cinjenicu da je theo izrazito arogantan, kao i cinjenicu da je izrazito, izrazito, izrazito talentovan programer (usput, ja ne koristim openbsd i ne pada mi na pamet da ga koristim) i da je okupio izrazito sposobne ljude oko sebe, kao i da je mnogo (kao sto si i spomenuo) teze napraviti stvari, nego naci hole, ne treba mesati theo-ov karakter sa onim sta je do sada uradio. makar mislim da ce legije scripting kiddies-a biti zahvalne gobbles-u (vidim i da mu se engleski popravio), dobar medijski nastup, nema sta.

Potpis

OV SM
LA PK