Ernstig remote authenticatielek in OpenBSD gepatcht
Er is een ernstig remote authenticatielek in OpenBSD gepatcht dat aanvallers op afstand toegang tot verschillende systemen had kunnen geven. De kwetsbaarheid in het authenticatiesysteem werd ontdekt door onderzoekers van securitybedrijf Qualys en maakte het mogelijk om de authenticatie te omzeilen.
Door het opgeven van een bepaalde gebruikersnaam kon een remote aanvaller in het geval van smtpd, ldapd en radiusd de authenticatie beïnvloeden zodat die automatisch succesvol was. Zodoende was het mogelijk om zonder geldig wachtwoord in te loggen. Hiervoor moest de gebruikersnaam "-schallenge" (of "-schallenge:passwd") worden gebruikt. Zodra een aanvaller deze gebruikersnaam opgaf werd hij automatisch ingelogd.
De aanval werkte vanwege "defense-in-depth" maatregelen niet tegen sshd. Qualys waarschuwde de ontwikkelaars van OpenBSD, die binnen 40 uur met een patch kwamen. Naast het authenticatielek zijn ook drie andere kwetsbaarheden verholpen waardoor een aanvaller die al toegang tot een systeem had zijn rechten kon verhogen. Gebruikers van OpenBSD 6.5 en OpenBSD 6.6 krijgen het advies om de laatste updates te installeren.
____ Qualys Security Advisory
"You can’t secure what you can’t see or don’t know."
'nough said. Nog steeds geen remote hole dus.
Dat klopt en ik denk dat ze dat nummer nu zullen moeten verhogen.
Maar als je dan kijkt naar de Wall of Shame van Android [1], dan lijkt mij dat OpenBSD nog steeds een goede keuze is.
[1] https://www.security.nl/posting/633881/Google+patchte+dit+jaar+477+beveiligingslekken+in+Android
Die is gebaseerd op BSD, dus is het niet mogelijk dat Apple het lek ook heeft overgenomen ?
Die is gebaseerd op BSD, dus is het niet mogelijk dat Apple het lek ook heeft overgenomen ?
Enige historie hier: https://en.wikipedia.org/wiki/Darwin_(operating_system)
Die is gebaseerd op BSD, dus is het niet mogelijk dat Apple het lek ook heeft overgenomen ?
Als ik naar de manpages kijk van de dingen waar het over gaat, nou, vergelijk de manpage van login.conf op man.openbsd.org en man.freebsd.org. Er worden compleet andere dingen beschreven. Vergelijkbare functionaliteit zit bij FreeBSD onder "pam" (pluggable authentication modules, ideetje van sun microsystems maar ook beschikbaar op linux) en ik weet zo snel even niet wat MacOS X gebruikt. Mijn "educated guess" zou zijn dat dit een OpenBSD ding is. Maar als je het zeker wil weten, kijk het na.
Die is gebaseerd op BSD, dus is het niet mogelijk dat Apple het lek ook heeft overgenomen ?
Als ik naar de manpages kijk van de dingen waar het over gaat, nou, vergelijk de manpage van login.conf op man.openbsd.org en man.freebsd.org. Er worden compleet andere dingen beschreven. Vergelijkbare functionaliteit zit bij FreeBSD onder "pam" (pluggable authentication modules, ideetje van sun microsystems maar ook beschikbaar op linux) en ik weet zo snel even niet wat MacOS X gebruikt. Mijn "educated guess" zou zijn dat dit een OpenBSD ding is. Maar als je het zeker wil weten, kijk het na.
Thanks voor de uitleg.
Het was meer een ingeving, ik ben zelf geen Apple gebruiker, maar mijn werkgevers gebruiken dat wel, vandaar mijn vraagtekens :)
Nee. Zeker niet.
Heeft men dan nog steeds niets geleerd?
Heeft men dan nog steeds niets geleerd?
Fix jij het anders even..
Heeft men dan nog steeds niets geleerd?
Fix jij het anders even..
Zoals de titel van het artikel doet vermoeden is het al lang opgelost. Zie ook: https://cyware.com/news/openbsd-fixes-authentication-bypass-flaw-and-other-severe-bugs-4a3a184f.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
