Category Archives: Internet

OpenSSH: neuere ssh Versionen verweigern Verbindung

Posted on by

In der Fedora Welt kommt seit Wechsel auf Fedora 33 zu einem Problem mit OpenSSH-Servern, wenn die noch alte Hostskeys verwenden oder man selbst zum Authentifizieren einen Key benutzen möchte, der noch SHA1 als Hashalgorithmus benutzt.

OpenSSH: neuere ssh Versionen verweigern Verbindung

Das sollte eigentlich nicht passieren, daß man mit einem Clienten nicht mehr in seinen Server kommt, aber zur Zeit häufen sich die Meldungen, daß man mit dem OpenSSH Shellclienten von Fedora 33 nicht mehr auf Server einloggen kann, wenn entweder der Server einen alten SHA1 Keys verwendet, oder der Client einen Authkey benutzt der noch SHA1 ist.

Die temporäre Abhilfe ist, dem Clienten mitzuteilen, daß er gefälligst den alten SHA1 weiter benutzen soll. Dazu ruft man ssh mit dem Argument „-oPubkeyAcceptedKeyTypes=+ssh-rsa“ auf:

ssh -oPubkeyAcceptedKeyTypes=+ssh-rsa root@servername

Auf lange Sicht muß man natürlich einen neuen Schlüssel auf den Servern und für seinen Zugang ausrollen. Dazu muß man wissen, ob man davon überhaupt betroffen ist und da sagt einem der SSH-Keygenerator:

ssh-keygen -l -f .ssh/Krypto.id_rsa
4096 SHA256:ehMkPi1CRDPCoOYMxdTI8BB2+TkCa13CyMQXX5EXesg id@braunschweig.de (RSA)

Zuerst die Schlüssellänge 4096 Bits, dann der gesuchte Hashalgorithmus „SHA256“ und am Ende der Type „RSA“.  Wenn Ihr betroffen seid, weil Eurer Key unter 2048 und/oder SHA1 ist, dann braucht Ihr einen neuen Key:

ssh-keygen -b 4096 -t rsa-sha2-512 -N „PASSWORD“ -f „FILENAME“ -C „Kommentar“

wobei -N -f und -C alle optional sind, aber falls Ihr größere Mengen an Schlüsseln erzeugen müßte, ist das ganz hilfreich 🙂

Am Ende stellt sich nun aber heraus, daß es gar kein Fedora33 „Feature“ war, daß zu dem Problem geführt hat, sondern ein OpenSSH Bug. Hier der Patch, falls Ihr das adaptieren müßt:

— sshconnect2.c.orig 2020-09-26 07:26:37.618010545 -0700
+++ sshconnect2.c 2020-09-26 07:25:35.665009029 -0700
@@ -1281,10 +1284,9 @@
*/
if (ssh == NULL || ssh->kex->server_sig_algs == NULL ||
(key->type != KEY_RSA && key->type != KEY_RSA_CERT) ||
– (key->type == KEY_RSA_CERT && (datafellows & SSH_BUG_SIGTYPE))) {
– /* Filter base key signature alg against our configuration */
– return match_list(sshkey_ssh_name(key),
– options.pubkey_key_types, NULL);
+ ((key->type == KEY_RSA || key->type == KEY_RSA_CERT)
+ && (datafellows & SSH_BUG_SIGTYPE))) {
+ return xstrdup(sshkey_ssh_name(key));
}

/*

Der Patch ist nicht von mir, sondern von Gordon Messmer und wurde erst vor einigen Stunden bei OpenSSH eingereicht. Mal sehen was daraus wird 😉

CoronaChroniken: einstündiges South Park Spezial angekündigt

Posted on by

Am Sonntag, den 4.10.2020 geht South Park mit einem einstündigen Corona Spezial in die neue Staffel. Einen Tag später gibt den deutschen HD Stream im Netz.

CoronaChroniken: einstündiges South Park Spezial angekündigt

In der passenden Ankündigung heißt es:

„Randy stellt sich seiner neuen Rolle beim beim Ausbruch der COVID-19 Pandemie, da die anhaltende Pandemie die Bürger von South Park weiterhin vor Herausforderungen stellt. Die Kinder gehen weiterhin glücklich zurück zur Schule, aber nichts ist, wie es einmal war. Nicht ihre Lehrer, nicht ihr Klassenraum, nicht einmal Eric Cartman.“ (mehr auf Southpark.de)

Wenn man sich schon nicht mal mehr auf Eric Cartman verlassen kann, auf was dann? Vielleicht darauf, daß es ein ganz großer abgedrehter Spaß sein wird? Na schauen wir doch mal:

Ich denke, ich weiß was das „Pandemic Special“ sein wird 😀 Und wer die letzte Staffel South Park gesehen hat, der wird dies sicher auch so sehen 😉

Ansehen könnt Ihr Euch South Park direkt in Kodi oder mit einem Tag Verspätung auf https://southpark.de ansehen.

In anderen News

Natürlich gibt es heute noch mehr Corona-Nicht-News: Die Webseite bmgbund.de, die derzeit durch Spams u.a. über Kontaktformulare wie folgt beworben wird:

„Dringende Nachricht des Bundesministeriums für Gesundheit zum Coronavirus! htpp://bmgbund.de“

ist beileibe keine Webseite des Bundesministeriums, sondern einfach mal eine Porno Frontpage, die dem Besucher dann vermutlich auch gleich noch einen Trojaner verpassen will. Die Kripo Hannover kommentierte den Versuch die Seite aufzurufen wie folgt: „Nach 10 Redirects von hinz zu kunz habe ich aufgehört.“ 🙂 Jetzt fragt sich der eine oder andere natürlich, wieso jemand deswegen die Kripo einschalten würde, aber schaut Euch mal den Domainnamen an: „bmgbund.de“, denn normal wäre „bund.de“ tatsächlich die Hauptdomain für Bundesbehörden. Da kann man schnell mal drauf reinfallen. Daher habe ich die Behörden zwecks Beschlagnahme der Domain eingeschaltet.  (Das hier keine Links sind, ist Absicht 😉 )

Ich mag ja mit dem Kurs des Gesundheitsministers nicht ganz einverstanden sein, aber so etwas geht gar nicht.

In weiteren echten Corona News

Ein Statistiker aus München hat eine Erklärung(Link wäre hinter PayWall, daher kein Link) für die Coronainfektionszahlen: Das Dunkelfeld wird bei 1.2 Millionen Tests die Woche weit ausgeleuchtet. Das Dunkelfeld sind die Infizierten, die nichts merken und nicht zum Arzt gehen, auch als Dunkelziffer bekannt. Das erklärt natürlich schön den Umstand, daß es kaum schwer Erkrankte gibt und entsprechend wenige Tote. Das das RKI eine besondere Beziehung zu den Todeszahlen hat, hatten wir ja öfters als Thema im Blog ( CoronaChroniken: Sterbezahlen nicht mehr veröffentlicht , CoronaChroniken: also so langsam.. )

RCE: 68.8< Firefox Mobile <80.x Schwachstelle

Posted on by

Es ist vielleicht nicht das schlechteste, daß Mozilla seine Leute rausgekantet hat, denn je weniger da arbeiten, desto weniger können so richtig tief in die Scheiße greifen 🙁

RCE: 68.8< Firefox Mobile <80.x Schwachstelle

Wie gestern Abend von den Hacker News  berichtet wurde, gibt es im FireFox Mobile eine so gravierende Sicherheitslücke, daß sich einem die Fußnägel aufrollen. Wenn man mit einem FF M < Version 80 gemeinsam in einem WLAN oder anderen Netz ist, kann man dem Firefox eine Nachricht senden, und er führt das direkt aus: Eine Remote Code Execution Schwachstelle.Die Schwachstelle wurde im FireFox Mobile 80 für Android gefixt.

Hinweis: In einem FF Mobile 68.8 konnte das Verhalten, trotz absichtlicher Aktivierung des Features nicht reproduziert werden.

FireFox sendet SSDP Pakete ins Netz um Geräte zu finden, die man als Screencast verwenden kann. Das wäre a) der Job vom OS und b) nicht so schlimm, wenn man das Ergebnis, das einem unaufgefordert jeder im Netz senden kann, mal auf SINNVOLLE Werte prüfen würde, statt es BLIND auszuführen.

Über so einen Intent kann man auch Addons oder andere Apps Installieren’und natürlich auch Webseiten mit Exploits besuchen, das macht es so gefährlich.

Kleines Demo gefällig?

Dies Video stammt von Gitlab-Account des Red Teams:

Wer sich mit Android Programmierung nicht auskennt, ein „Intent“ ist eine Anfrage von App A an (meistens) alle anderen Apps, ob die mit dem Inhalt was anfangen können. So brauche ich bspw. als Browser keinen Videoplayer integrieren, weil das eine andere App vermutlich viel besser kann als ich.

Aber selbstverständlich nehme ich als Anwendung dazu keine Infos, die selbst von einer dubiosen anderen Stelle im Netz bekommen habe, sondern leite da nur Sachen hin, die „ich selbst“ erstellt oder runtergeladen habe vom Ziel.

So ein Verhalten ist grob fahrlässig und eines Anfängers ohne Security Schulung würdig, aber doch nicht den Entwicklern eines Marken-Browsers.

Fußnote

NetFlix Mobile scheint auch per SSDP nach Sachen zu suchen, aber ob die Entwickler den gleichen dicken Bug eingebaut haben, ist nicht bekannt. Wer selbst nachsehen will, soltle in seinem WLAN mal das hier starten: „sudo tcpdump -A -n not tcp and not icmp and port ssdp“

SSDP ist das Simple Service Discovery Protocol und gehört als UDP basiertem Dienst zum UPnP, den Universal Plug & Play. Diese ganzen Autodetect Sachen sind als Funktion ganz nett, aber führen immer mal wieder zu Schwachstellen. Per UPnP kann man z.b. als Programm der Firewall sagen, daß man gern ein Loch haben würde für seinen Dienst, ohne das der Firewall-Admin was davon mitbekommt. Wird oft von Instant-Messengern benutzt um durch die DSL-Router zu kommen.