https://opennet.ru/openforum/vsluhforumID3/47757.html Две уязвимости во всех поддерживаемых релизах FreeBSD:<br><br>- FreeBSD-SA-09:01.lukemftpd (http://security.freebsd.org/advisories/FreeBSD-SA-09:01.lukemftpd.asc) (CVE-2008-4247) - аналогична FreeBSD-SA-08:12.ftpd (http://security.freebsd.org/advisories/FreeBSD-SA-08:12.ftpd.asc); позволяет злоумышленнику организовать проведение CSRF (Cross Site Request Forgery) атаки, направленной на незаметное совершение авторизированным пользователем определенной FTP операции, будучи прозрачно перенаправленным на защищенный FTP ресурс.<br><br>- FreeBSD-SA-09:02.openssl (http://security.freebsd.org/advisories/FreeBSD-SA-09:02.openssl.asc) (CVE-2008-5077) - OpenSSL некорректно проверяет результат вызова функции EVP_VerifyFinal, что позволяет принять сформированную злоумышленником подпись<br>как корректную. Уязвимости подвержена проверка подписи ключей DSA и ECDSA, используемые совместно с SSL/TLS.<br><br>Уязвимости подвержена OpenSSL версии ниже 0.9.8j, функционирующая в роли клиента SSL/TLS при работе с сервером...<br><br>URL: http://securit https://opennet.ru/openforum/vsluhforumID3/47757.html#16 Tue, 03 Nov 2015 20:29:18 GMT (Знаю, что меня только что разморозили) Вы сами ответили на вопрос, freebsd-update ставит GENERIC ядро, не-GENERIC апдейтить не будет.<br> https://opennet.ru/openforum/vsluhforumID3/47757.html#15 Sat, 10 Jan 2009 18:42:27 GMT &gt;Я бы больше сказал. Баг был потому что мэйнтейнер пакета дурак. И <br>&gt;гнать таких нужно поганной метлой. <br><br>Гони своих ментейнеров своей с...ой метёлкой (назови анОнимный дистрибутив, btw?). И сиди "как дура"(тм) без пакетов. Наших 8-P мантейнеров ни трож, испражняйся в сторонке -- приоритет своему дистр-ву.<br> https://opennet.ru/openforum/vsluhforumID3/47757.html#14 Sat, 10 Jan 2009 18:35:13 GMT &gt;Тогда был Debian спецыфичный баг из-за поломанного /dev/random, а теперь-то баг обший <br>&gt;(то есть баг в OpenSSL). <br><br>Я бы больше сказал. Баг был потому что мэйнтейнер пакета дурак. И гнать таких нужно поганной метлой.<br><br><br> https://opennet.ru/openforum/vsluhforumID3/47757.html#13 Fri, 09 Jan 2009 20:02:50 GMT &gt;Где там у нас iZen постоянно злорадно тыкающий в Debian'щиков громким скандалом <br>&gt;OpenSSL в Debian? Много времени потратил на обновление серверов?<br><br>А что, на серверах уже невозможно обойтись без Gtk? :))<br>На домашней машинке сделал:<br>% portupgrade -rfp libgcrypt<br><br>Всё (кроме ru-openoffice, с этим потом как-нибудь разберусь, да и так работает оно) ф фоне пересобралось из исходников за ~8 часов.<br>Заодно получил каталог бинарных пакетов для быстрой установки ПО на другие машины.<br><br>Ы?<br><br><br><br> https://opennet.ru/openforum/vsluhforumID3/47757.html#12 Fri, 09 Jan 2009 11:07:57 GMT Тогда был Debian спецыфичный баг из-за поломанного /dev/random, а теперь-то баг обший (то есть баг в OpenSSL).<br> https://opennet.ru/openforum/vsluhforumID3/47757.html#11 Fri, 09 Jan 2009 09:40:48 GMT Где там у нас iZen постоянно злорадно тыкающий в Debian'щиков громким скандалом OpenSSL в Debian? Много времени потратил на обновление серверов?<br> https://opennet.ru/openforum/vsluhforumID3/47757.html#10 Fri, 09 Jan 2009 05:54:20 GMT &gt;[оверквотинг удален]<br>&gt;Dependency: gettext-0.17_1 <br>&gt;Dependency: libgpg-error-1.6_1 <br>&gt;Required by: <br>&gt;..........<br>&gt;..........<br>&gt;Аааааааааааа! Всё ПО нужно пересобирать!!!! <br>&gt;<br>&gt;P.S. <br>&gt;Кстати, не сегодня &#8212; завтра такое же "повальное обновление" будет у всех <br>&gt;пользователей Linux. <br><br>Читай лучше, нужно пересобрать только зависимости (depencies)<br><br><br> https://opennet.ru/openforum/vsluhforumID3/47757.html#9 Thu, 08 Jan 2009 21:03:23 GMT /usr/ports/UPDATING:<br>20090107:<br> AFFECTS: users of security/libgcrypt<br> AUTHOR: rafan@FreeBSD.org<br><br> libgcrypt has been upgraded to 1.4.3 which has a shared library<br> version bump. You need to reinstall all ports depending on it.<br> Use something like this:<br><br> portupgrade -rf libgcrypt<br> portmaster -r libgcrypt<br><br>% pkg_info -rR libgcrypt-1.4.3<br>Information for libgcrypt-1.4.3:<br><br>Depends on:<br>Dependency: libiconv-1.11_1<br>Dependency: gettext-0.17_1<br>Dependency: libgpg-error-1.6_1<br>Required by:<br>Terminal-0.2.8.3<br>Thunar-0.9.3<br>abiword-2.6.3_1<br>audacity-1.2.4b_4<br>beep-media-player-0.9.7.1_3,1<br>bmp-faad2-2.6.1_1<br>bmp-flac-20040316_5<br>bmp-musepack-1.2_5<br>bmp-wma-0.1.1_6<br>bug-buddy-2.22.0_3<br>cups-base-1.3.9_2<br>cups-pstoraster-8.15.4_2<br>deluge-0.5.9.3_1<br>easytag-2.1_3<br>eclipse-devel-3.4.1_1<br>eel-2.22.2_1<br>epiphany-2.22.3<br>evince-2.22.2_3<br>evolution-data-server-2.22.3_2<br>file-roller-2.22.4,1<br>firefox-3.0.5,1<br>gail-1.22.3<br>gajim-0.12.1<br>galculator-1.3.1_2<br>gconf2-2.22.0_1<br>gedit-2.22.3_1<br>gedit-plugins-2.22. https://opennet.ru/openforum/vsluhforumID3/47757.html#7 Thu, 08 Jan 2009 12:11:21 GMT дык через csup обновил и пересобрал нужное, только делать пришлось на шести машинах :) а лень то - вот она.<br>