Tag Archives: openssh

zuviel Wind um Backdoor in OpenSSH

Wie Deutschlands Lieblings-IT-Verschwörer Fefe in seinem Blog berichtet, hat das FBI in einer Informationsfreiheitsanfrage zu OpenBSD mit einem Dokument geantwortet, daß auf eine Backdoor in OpenSSH hindeutet, allerdings schon im Jahr 2002.

Wo da jetzt die Neuigkeit war, wird allerdings nicht gesagt, was nicht verwundert, denn das war gar keine:

https://www.symantec.com/security-center/writeup/2002-111413-3305-99

Der Fall ging ordnungsgemäß durch die Securityportale 🙂 Da war wohl der FTP Server von OpenBSD aufgehebelt worden und jemand hat den Sourcecode verunreinigt. Wurde gefunden, wurde behoben, wurde vergessen 😀

Fedora OpenSSH Alarm: Nicht updaten auf 7.2p2-6 !

Posted on by

Achtung: openssh-server version 7.2p2-6 ist defekt

Das heute von Fedora verteilte Update von openssh „7.2p2-6“ ist defekt. Wer per ssh auf einen Server mit dieser Version einloggt, sieht aus wie root, aber man ist nicht root. Man hat keine Root-Capabilities mehr, was z.b. darin gipfelt, daß man nicht mehr in sein eigenes Homeverzeichis wechseln kann.

Wer in seinem dnf.rpm.log das findet:

Oct 19 14:03:16 INFO Upgraded: openssh-7.2p2-6.fc23.i686
Oct 19 14:03:20 INFO Upgraded: openssh-server-7.2p2-6.fc23.i686
Oct 19 14:03:20 INFO Upgraded: openssh-clients-7.2p2-6.fc23.i686
Oct 19 14:03:20 INFO Cleanup: openssh-clients-7.2p2-3.fc23.i686
Oct 19 14:03:20 INFO Cleanup: openssh-server-7.2p2-3.fc23.i686
Oct 19 14:03:25 INFO Cleanup: openssh-7.2p2-3.fc23.i686

ist betroffen.

Aufgrund des Fehler kann man den Fehler auch  nicht via SSH beheben. Ihr könnt natürlich auf das nächste Fedora Update warten, daß dann offentlich einen Bugfix enthält, aber bis dahin habt Ihr im Notfall ein Problem.

Bei RedHat ist bereits ein Bugticket offen und man arbeitet an einem Fix. Scheinbar ist SELinux, bzw. dessen Abwesenheit daran beteiligt.

Workaround: Downgrade auf 7.2p2-3

Über den Kojilink lädt man die drei Paket runter:

Koji :  http://koji.fedoraproject.org/koji/buildinfo?buildID=756836

dann loggt man sich via MONITOR KONSOLE ein und downgraded die Files mit :

rpm -U –force openssh*rpm

danach in /etc/dnf/dnf.conf einfügen:

exclude=openssh*

erst dann zieht das nächste Update nicht wieder die defekte Version auf den Server.