Ernstig beveiligingslek in OpenSSH gepatcht
Er is een ernstig beveiligingslek in OpenSSH gepatcht waardoor een aanvaller in het ergste geval de privésleutels van gebruikers kon stelen. OpenSSH, ook bekend als OpenBSD Secure Shell, is een verzameling van netwerktools gebaseerd op het SSH-protocol, en laat gebruikers op een beveiligde manier op bijvoorbeeld servers inloggen of op afstand machines beheren.
In de OpenSSH-clientcode vanaf versie 5.4 tot en met 7.1 was experimentele ondersteuning voor het herstellen van ssh-verbindingen toegevoegd, genaamd 'roaming'. De bijbehorende servercode ontbrak echter. In de client stond de optie standaard ingeschakeld. Als de client verbinding met een kwaadaardige of gehackte server maakte, kon vervolgens informatie uit het geheugen van de client naar de server worden gestuurd, waaronder de privésleutels.
Om het probleem te verhelpen is nu OpenSSH 7.1p2 uitgebracht. Daarnaast is er ook een workaround die kan worden ingesteld, zoals Theo de Raadt van OpenBSD op de OpenBSD-mailinglist laat weten. De kwetsbaarheid, die vorig jaar januari aan de code werd toegevoegd, werd ontdekt door beveiligingsbedrijf Qualys en staat bekend onder de code CVE-2016-0777.
zie voor meer info over deze bug: http://undeadly.org/cgi?action=article&sid=20160114142733
Alsof closed software zoveel veiliger is. De grote jongens reageren echt niet veel sneller.
On topic: Het is natuurlijk niet zo dat Open Source intrinsiek veiliger is dan closed source. We hebben bij het Heartbleed lek in OpenSSL wel gezien dat iedereen, inclusief de grote bedrijven, fijn de software op grote schaal wil gebruiken, maar dat er (bijna) niemand, wederom inclusief de grote bedrijven, de moeite neemt om echt naar de source code te kijken. Daar zit het echte probleem, niet in het feit dat source code open is. Maar dat weet u eigenlijk ook wel natuurlijk. ;-)
Groet,
Jeroen
Niet "vorig jaar januari" zoals security.nl beweert.
LOL, tijd voor een nieuwe fork iemand? :P
.
On topic: Het is natuurlijk niet zo dat Open Source intrinsiek veiliger is dan closed source. We hebben bij het Heartbleed lek in OpenSSL wel gezien dat iedereen, inclusief de grote bedrijven, fijn de software op grote schaal wil gebruiken, maar dat er (bijna) niemand, wederom inclusief de grote bedrijven, de moeite neemt om echt naar de source code te kijken. Daar zit het echte probleem, niet in het feit dat source code open is. Maar dat weet u eigenlijk ook wel natuurlijk. ;-)
Jeroen
Dat open source door grote bedrijven als een winstmaker gezien wordt omdat de mensen erachter niet hoeven te betalen is een heel vreemd gedoe. (het is gratis..)
Het was zo verleidelijk. Ik wordt soms wat moedeloos van het constant afgeven bij issues op labels/merken.
Het gaat er om dat de boel beter veiliger, met overwogen privacy, wordt. Dat is op een ander wijze er tegenaan kijken dan een OS of tool of wat dan ook als binding nemen. Ik mis de algemenere achterliggende concepten te vaak.
Nee, nooit ernstige beveiligingslekken, wel NSA/CIA backdoors.
N.B.: ik ben geen Linux fanboy. Ik gebruik gewoon wat (goed) werkt. (En dat is in het verleden een tijdlang Windows geweest, voordat ik iets ontdekte wat (veel) beter werkte en nog robuust en gratis was ook: Debian Linux).
Bij bedrijven proberen ook iets te met "gebruiken wat goed werkt" kom je dan in de data-governance hoek (security) dan is de Unix/Linux opzet bijna rampzalig. Je noemt dat onderwerp "data governance" niet eens voor het echte werk, jammer.
Professionele bedrijven hebben niet met een persoonlijk desktopje te maken maar met vele machines en interacties.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
