forum.opennet.ru - "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." (57)

"Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..."

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..."	+/–
Сообщение от opennews (ok), 29-Авг-18, 21:42
Спустя менее недели с момента обнаружения прошлой проблемы (https://www.opennet.me/opennews/art.shtml?num=49142) в OpenSSH, позволявшей удалённо определить существует ли пользователь с данным именем в системе, выявлена (http://openwall.com/lists/oss-security/2018/08/28/2) ещё одна аналогичная уязвимость (CVE-2018-15919 (https://security-tracker.debian.org/tracker/CVE-2018-15919)). Проблема присутствует с 2011 года и проявляется в том числе в несколько дней назад опубликованном выпуске OpenSSH 7.8. Предложенный метод основан на различном поведении кода аутентификации на базе API GSS2 для существующих и не существующих пользователей. В частности, если пользователь не существует, то повторяющиеся попытки аутентификации приводят к обрыву соединения с возвратом ошибки "Too many authentication failures". Для существующих пользователей подобная ошибка не выводится. Дополнительно можно отметить выявление (http://lists.ucc.gu.uwa.edu.au/pipermail/dropbear/2018q3/002...) возможности определения существования пользователя в SSH-сервере Dropbear, который часто применяется на встраиваемых устройствах и домашних маршрутизаторах. Выявленная в Dropbear уязвимость (CVE-2018-15599) повторяет прошлую проблему (https://www.opennet.me/opennews/art.shtml?num=49142) в OpenSSH (эксплоит для OpenSSH работает для Dropbear). URL: http://openwall.com/lists/oss-security/2018/08/28/2 Новость: https://www.opennet.me/opennews/art.shtml?num=49197
Ответить \| Правка \| Cообщить модератору

Оглавление

Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..., gred (ok), 21:42 , 29-Авг-18, (1) +3

Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..., Hgtuugt (?), 21:49 , 29-Авг-18, (2) +10
Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..., Китайский ботнет (?), 21:51 , 29-Авг-18, (3) +3

Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..., Американский ботнет (?), 22:00 , 29-Авг-18, (6) +8

Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..., Аноним (4), 21:52 , 29-Авг-18, (4) +2

Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..., x3who (?), 15:22 , 30-Авг-18, (41) +1

Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..., Аноним (-), 22:50 , 29-Авг-18, (13) –2
Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..., Анонимусис (?), 23:54 , 29-Авг-18, (17) +3

Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..., Волжанин (?), 06:35 , 30-Авг-18, (25) +1

Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..., Урри (?), 11:57 , 30-Авг-18, (33)

Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..., pavard (ok), 00:37 , 30-Авг-18, (18)

Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..., Сигизмунд Точка (?), 00:54 , 30-Авг-18, (19) +3

Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..., pavard (ok), 01:32 , 30-Авг-18, (23) –1

Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..., angra (ok), 03:50 , 30-Авг-18, (24)

Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..., metakeks (?), 12:30 , 30-Авг-18, (34) –1

Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..., pavard (ok), 13:54 , 30-Авг-18, (37) +1

Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..., Аноним (40), 14:55 , 30-Авг-18, (40) –1

Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..., x3who (?), 15:27 , 30-Авг-18, (42) –2

Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..., Аноним (44), 15:33 , 30-Авг-18, (44)

Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..., AS (??), 16:17 , 30-Авг-18, (48)

Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..., pavard (ok), 15:44 , 30-Авг-18, (46)

Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..., x3who (?), 16:01 , 30-Авг-18, (47)
Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..., Аноним (44), 18:52 , 30-Авг-18, (49)

Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..., cutlass (?), 07:11 , 31-Авг-18, (51)

Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..., ЖопорукийТорвальдс (?), 11:02 , 30-Авг-18, (32)

Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..., Аноним (-), 21:54 , 29-Авг-18, (5) +1

Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..., asand3r (ok), 23:43 , 29-Авг-18, (16)

Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..., Аноним (7), 22:10 , 29-Авг-18, (7) +1

Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..., Аноним (-), 22:52 , 29-Авг-18, (14)

Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..., Аноним (8), 22:19 , 29-Авг-18, (8) –1

Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..., Аноним (10), 22:41 , 29-Авг-18, (10)

Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..., Китайский кулхацкер (?), 22:35 , 29-Авг-18, (9) –1

Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..., Аноним (10), 22:43 , 29-Авг-18, (11)

Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..., Сигизмунд Точка (?), 00:58 , 30-Авг-18, (20)

Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..., Аноним (-), 22:49 , 29-Авг-18, (12) +13

Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..., x3who (?), 15:32 , 30-Авг-18, (43)

Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..., PereresusNeVlezaetBuggy (ok), 22:54 , 29-Авг-18, (15) +5

Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..., Сигизмунд Точка (?), 01:01 , 30-Авг-18, (21)

Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..., Ленивый Перерезус (?), 09:21 , 30-Авг-18, (27)

Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..., Сигизмунд Точка (?), 01:05 , 30-Авг-18, (22)

Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..., lone_wolf (ok), 09:07 , 30-Авг-18, (26)
Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..., Нанобот (ok), 09:23 , 30-Авг-18, (28) –1
Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..., metakeks (?), 14:00 , 30-Авг-18, (38) –1

Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..., Аноним (29), 09:24 , 30-Авг-18, (29)

Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..., x3who (?), 15:36 , 30-Авг-18, (45)

Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..., lone_wolf (ok), 09:41 , 30-Авг-18, (30) –1

Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..., Andrey Mitrofanov (?), 09:47 , 30-Авг-18, (31) –3

Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..., lone_wolf (ok), 12:41 , 30-Авг-18, (35)

Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..., Andrey Mitrofanov (?), 12:58 , 30-Авг-18, (36) –2

Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..., lone_wolf (ok), 14:02 , 30-Авг-18, (39) –1

Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..., Аноним (50), 04:32 , 31-Авг-18, (50) –1

Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..., Аноним (-), 10:01 , 31-Авг-18, (52) +1

Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..., Аноним (50), 11:13 , 31-Авг-18, (53) –2

Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..., nox (??), 13:53 , 03-Сен-18, (54)

Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..., 1 (??), 16:50 , 05-Сен-18, (57)

Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..., Аноним (55), 18:25 , 03-Сен-18, (55) +1

Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..., Andrey Mitrofanov (?), 11:00 , 04-Сен-18, (56)

Сообщения по теме [Сортировка по времени | RSS]

1. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." +3 +/–

Сообщение от gred (ok), 29-Авг-18, 21:42

ну узнали они что есть допустим root. и что дальше-то???

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

2. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." +10 +/–

Сообщение от Hgtuugt (?), 29-Авг-18, 21:49

Ни байта врагу!

Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

3. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." +3 +/–

Сообщение от Китайский ботнет (?), 29-Авг-18, 21:51

И подбираем твой ключ несколько миллиардов лет чтобы после взлома включить тебя в единую сеть.

Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

6. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." +8 +/–

Сообщение от Американский ботнет (?), 29-Авг-18, 22:00

Ваш ботнет отстой! Вот у нас каждый подключён к нашему ботнету через Android, Apple и Windows 10.

Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

4. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." +2 +/–

Сообщение от Аноним (4), 29-Авг-18, 21:52

Мб некоторые ставят слабый пароль на обычного юзера в расчёте на то, что 1) атакующему неизвестен логин, 2) юзер без рутовых прав не так опасен.
Понятно что оба прероложения обходятся уязвимостями. В частности вот этой из новости.

Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

41. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." +1 +/–

Сообщение от x3who (?), 30-Авг-18, 15:22

В любом случае, угадать логин и пароль значительно сложнее чем перебрать логины а потом пароли к найденному логину. (да не услышат меня писатели ентерпрайзных полиси и да не заэнфорсят ограничения на простоту логинов)

Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

13. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." –2 +/–

Сообщение от Аноним (-), 29-Авг-18, 22:50

Дальше удовлетворятся этим знанием и распилял бабла)

Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

17. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." +3 +/–

Сообщение от Анонимусис (?), 29-Авг-18, 23:54

Рубежи обороны
"... а еще они узнали что в системе Х есть юзер с тем же именем что и в системе У, и попробовав пароль из системы У, смогли войти в систему Х"

Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

25. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." +1 +/–

Сообщение от Волжанин (?), 30-Авг-18, 06:35

А ещё, зная пароль пользователя в системе Y, можно сразу попытаться войти в систему X с именем пользователя и паролем из системы Y. Вне зависимости от того, точно известно, что в системе X есть такой пользователь, или только предполагается.

Ответить | Правка | ^ к родителю #17 | Наверх | Cообщить модератору

33. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." +/–

Сообщение от Урри (?), 30-Авг-18, 11:57

Что лучше - подбирать по словарю существующего пользователя, или вероятно не существующего?

Ответить | Правка | ^ к родителю #25 | Наверх | Cообщить модератору

18. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." +/–

Сообщение от pavard (ok), 30-Авг-18, 00:37

дальше пробуются пароли для аналогичного ника, утекшие через какой-нибудь форум.

Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

19. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." +3 +/–

Сообщение от Сигизмунд Точка (?), 30-Авг-18, 00:54

> ssh
> пароли
ССЗБ.
У всех у кого не рвота вместо мозга - либо ключи, либо сертификаты с своим PKI.

Ответить | Правка | ^ к родителю #18 | Наверх | Cообщить модератору

23. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." –1 +/–

Сообщение от pavard (ok), 30-Авг-18, 01:32

почти никто не отклчючает аутентификацию по паролю, разместив свой ключ на машине. это раз. два - по моим представлениям( субъективным ощущениям ) людей живущих исключительно на паролях - в районе половины. тобишь как не крути...

Ответить | Правка | ^ к родителю #19 | Наверх | Cообщить модератору

24. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." +/–

Сообщение от angra (ok), 30-Авг-18, 03:50

Для того чтобы отключить что-нибудь ненужное, надо сначала включить это ненужное. Зачем устанавливать юзеру пароль, если можно сразу поставить публичный ключ?

Ответить | Правка | ^ к родителю #23 | Наверх | Cообщить модератору

34. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." –1 +/–

Сообщение от metakeks (?), 30-Авг-18, 12:30

Тоже есть обратная сторона. Ключ так же можно угнать. А на 100 серверов 100 ключей запароленных держать - это мало кто возьмётся.

Ответить | Правка | ^ к родителю #19 | Наверх | Cообщить модератору

37. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." +1 +/–

Сообщение от pavard (ok), 30-Авг-18, 13:54

ты похоже не пользуешься ключами( не понимаешь как они работают ).

Ответить | Правка | ^ к родителю #34 | Наверх | Cообщить модератору

40. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." –1 +/–

Сообщение от Аноним (40), 30-Авг-18, 14:55

А как они работают?

Ответить | Правка | ^ к родителю #37 | Наверх | Cообщить модератору

42. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." –2 +/–

Сообщение от x3who (?), 30-Авг-18, 15:27

>  А как они работают?
Они лежат на диске клиентского компа и поэтому могут оказаться недоступны в критический момент если этот комп внезапно и случайно сдох. И ты остаёшься без связи со своим сервером, к которому мог бы подключиться по SSH с любого утюга, если бы не запретил логины по паролю. Примерно как-то так они работают.

Ответить | Правка | ^ к родителю #40 | Наверх | Cообщить модератору

44. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." +/–

Сообщение от Аноним (44), 30-Авг-18, 15:33

Ох, малыш. Про то, что можно иметь несколько ключей в разных местах хранящихся ты не слышал, да?
У меня вот уже больше 10 лет на всех серверах запрещен ssh по паролю и ни разу не было проблемы с тем, что я не могу зайти.

Ответить | Правка | ^ к родителю #42 | Наверх | Cообщить модератору

48. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." +/–

Сообщение от AS (??), 30-Авг-18, 16:17

а мой старый ноут как раз 11 лет проработал и сдох HDD. а флешку с ключами запасными постирал случайно в ст. машине с неделю назад. пришлось вспоминать детский матерный стишок из 10 строчек, который в лат. раскладке и был у меня паролем. но моя мораль совсем из др. оперы:
ключ Можно Быстро уничтожить вслучае чего. а пароль в любом случае восстановят. с терморекральным то криптоанализом. и не дорого это.

Ответить | Правка | ^ к родителю #44 | Наверх | Cообщить модератору

46. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." +/–

Сообщение от pavard (ok), 30-Авг-18, 15:44

если ты мог подключиться с утюга - значит на нем есть копия приватного ключа, на случай если у тебя сдох комп. вот с него и заходи, с него и восстанавливай приватный ключ.

Ответить | Правка | ^ к родителю #42 | Наверх | Cообщить модератору

47. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." +/–

Сообщение от x3who (?), 30-Авг-18, 16:01

> с утюга - значит
С утюга - значит любого устройства, подключенного к сети и имеющего экран и клавиатуру. Из интернет-кафе, например. Естественно, двухфакторная авторизация была бы уместна, но на совсем крайний случай можно зайти и просто интерактивно и поменять себе пароль на дамп из /dev/random, чтобы обильно протрояненные кейлоггерами компы из кафе не обогатились твоим паролем.

Ответить | Правка | ^ к родителю #46 | Наверх | Cообщить модератору

49. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." +/–

Сообщение от Аноним (44), 30-Авг-18, 18:52

За копию приватного ключа нужно бить по роже. На каждом девайсе должен быть свой ключ чья публичная часть должна быть на сервере.

Ответить | Правка | ^ к родителю #46 | Наверх | Cообщить модератору

51. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." +/–

Сообщение от cutlass (?), 31-Авг-18, 07:11

Всё верно сказал. Я как-то почти наступил на эти грабли и осознав последствия хожу по случайному паролю из 20 символов.
Ключ удобен если скрипту надо лазить на другой хост периодически.

Ответить | Правка | ^ к родителю #42 | Наверх | Cообщить модератору

32. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." +/–

Сообщение от ЖопорукийТорвальдс (?), 30-Авг-18, 11:02

А то что брут форсу теперь легче логин подобрать.
Шаг 1. Проверяем наличие Лузера по имени
Шаг 2. Брутфорсим парольчик
Шаг 3. ...
Шаг 4. Профит
Да да... количество всяких там уников с 2048+ ключами можно в 8-битный int записать. Все остальные пользуют пароли, дай бог не просто одно словарное слово по дефолту (тут должна быть ссылка к адинам на работе которые на root  ставят слово из словаря, но ее не будет ибо жало если кто-то за 3 дня подберёт единый пароль от систем за $12м ).

Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

5. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." +1 +/–

Сообщение от Аноним (-), 29-Авг-18, 21:54

Чото странное в новости, у меня все новые sshd всегда  ругаются на too many даже при наличии пользователя

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

16. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." +/–

Сообщение от asand3r (ok), 29-Авг-18, 23:43

У вас просто версия выпущенная до 2011 года.

Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

7. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." +1 +/–

Сообщение от Аноним (7), 29-Авг-18, 22:10

Ну так весь фикс в том, чтобы система обрубала соединение при множестве ошибках аутентификации при любом раскладе, есть такой пользователь или нет.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

14. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." +/–

Сообщение от Аноним (-), 29-Авг-18, 22:52

Спасибо за толковый совет!

Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

8. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." –1 +/–

Сообщение от Аноним (8), 29-Авг-18, 22:19

Извиняюсь за оффтоп, но может быть кто-нибудь знает, можно ли на манке настроить возможность подключения по ссш когда пользователь не залогинен графически?

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

10. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." +/–

Сообщение от Аноним (10), 29-Авг-18, 22:41

Можно. Я настроил.

Ответить | Правка | ^ к родителю #8 | Наверх | Cообщить модератору

9. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." –1 +/–

Сообщение от Китайский кулхацкер (?), 29-Авг-18, 22:35

Я уже разогреваю masscan и hydra, лаовай.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

11. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." +/–

Сообщение от Аноним (10), 29-Авг-18, 22:43

Хорошо у всех машин на облачном хостинге есть пользователь root с паролем из 32 символов.
Дальше что?

Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

20. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." +/–

Сообщение от Сигизмунд Точка (?), 30-Авг-18, 00:58

Есть пользователь root с passwd -l. и PermitRootLogin  no. И еще по 30-50 пользователей с такими же параметрами. Удачи в переборе.

Ответить | Правка | ^ к родителю #11 | Наверх | Cообщить модератору

12. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." +13 +/–

Сообщение от Аноним (-), 29-Авг-18, 22:49

Не люблю когда меня определяют. Я сам решаю, определяться или нет, а вот когда майор влезает и начинает чего-то определять за меня, шпионством заниматься, то это такое...

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

43. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." +/–

Сообщение от x3who (?), 30-Авг-18, 15:32

>  Я сам решаю, определяться или нет, а вот когда майор влезает и начинает чего-то определять за меня
Ну ты хватил. Ещё товарища генерал-майора бы вписал. В современном мире это задача уровня не выше ефрейтора.

Ответить | Правка | ^ к родителю #12 | Наверх | Cообщить модератору

15. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." +5 +/–

Сообщение от PereresusNeVlezaetBuggy (ok), 29-Авг-18, 22:54

На всякий случай: очень, очень мало существует ПО, которое аналогично SSH реально пытается противодействовать атакам на определение факта существования пользователя (то есть не просто возвращают одинаковое «access denied», а нивелируют как минимум тайминг-атаки). Так что если это считать реальной уязвимостью, то что тогда делать с 99% других сервисов, позволяющих получить аналогичную информацию ровно такими же методами?

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

21. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." +/–

Сообщение от Сигизмунд Точка (?), 30-Авг-18, 01:01

Это считается просто раскрытием информации но никак не критической уязвимостью. В oss-security уже обсосали. Весь шум подняли параноики не разобравшись в вопросе. В том же Apache таких дырок по 30 штук в год находят и всем (ну почти) нет до них дела.

Ответить | Правка | ^ к родителю #15 | Наверх | Cообщить модератору

27. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." +/–

Сообщение от Ленивый Перерезус (?), 30-Авг-18, 09:21

> Это считается просто раскрытием информации но никак не критической уязвимостью. В oss-security
> уже обсосали. Весь шум подняли параноики не разобравшись в вопросе. В
> том же Apache таких дырок по 30 штук в год находят
> и всем (ну почти) нет до них дела.
Истинно так.

Ответить | Правка | ^ к родителю #21 | Наверх | Cообщить модератору

22. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." +/–

Сообщение от Сигизмунд Точка (?), 30-Авг-18, 01:05

Специально для параноиков:
Crazy workaround - создать пару десятков тысяч пользователей с disabled login.
Ну и классику в виде изменения id 0 на foobar/toor/doom. никто не отменял.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

26. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." +/–

Сообщение от lone_wolf (ok), 30-Авг-18, 09:07

> Crazy workaround - создать пару десятков тысяч пользователей с disabled login.
Это вы имеете виду установить shell для юзера в /sbin/noligin ???
> Ну и классику в виде изменения id 0 на foobar/toor/doom. никто не отменял.
А вот это как реализовать подскажите пожалуйста?

Ответить | Правка | ^ к родителю #22 | Наверх | Cообщить модератору

28. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." –1 +/–

Сообщение от Нанобот (ok), 30-Авг-18, 09:23

для параноиков не катит - они будут бояться, что какой-то из этих тысяч пользователей сможет залогиниться, несмотря на запрет

Ответить | Правка | ^ к родителю #22 | Наверх | Cообщить модератору

38. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." –1 +/–

Сообщение от metakeks (?), 30-Авг-18, 14:00

У докеристов кровь из глаз не пошла? :)

Ответить | Правка | ^ к родителю #22 | Наверх | Cообщить модератору

29. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." +/–

Сообщение от Аноним (29), 30-Авг-18, 09:24

Уязвимость конечно нужно исправлять.
Но и Fail2Ban уже "изобрели"

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

45. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." +/–

Сообщение от x3who (?), 30-Авг-18, 15:36

>     Fail2Ban уже "изобрели"
Не в опенврт, например.

Ответить | Правка | ^ к родителю #29 | Наверх | Cообщить модератору

30. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." –1 +/–

Сообщение от lone_wolf (ok), 30-Авг-18, 09:41

Самое обидное что в CentOS до сих пор не бекпортировали исправления из версии 7.8, для предыдущей уязвимости. Хотя о чем это я в Fedora 7.8 есче пока в тестовом репозитории.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

31. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." –3 +/–

Сообщение от Andrey Mitrofanov (?), 30-Авг-18, 09:47

>в CentOS до сих пор не бекпортировали исправления из
Ты хотел сказать, обидно, что редхет не выпустил следующий пойнт-релиз рхела, не подождал недкльку-другую, и выложил src.rpm так необходимого тебе openssh в wault.как его  там, а центов не подпереразнапрягся, ежё через недулю-другую!, и и не пересобрал твой насущный патчонный .rpm ???
Обидно, да.  Не то слово, прям, как обидно.

Ответить | Правка | ^ к родителю #30 | Наверх | Cообщить модератору

35. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." +/–

Сообщение от lone_wolf (ok), 30-Авг-18, 12:41

Причем тут новый релиз к накладыванию патчей? Если бы я сказал про новые фичи да тут бы был уместен ваш сарказм, и т.д.
И опять же когда intel выпустил новый микрокод RHEL быстро выкатил обновленное ядро, вас это не смущает? А когда была найдена уязвимость в openssh и разрабы выпустили свежую версию с исправлением, RHEL должен по вашей логике сидеть и ждать с моря погоды, вот про новые фичи и т.д я согласен их надо проверить обкатать а уже потом выкатывать в стабильную ветку.

Ответить | Правка | ^ к родителю #31 | Наверх | Cообщить модератору

36. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." –2 +/–

Сообщение от Andrey Mitrofanov (?), 30-Авг-18, 12:58

> Причем тут новый релиз к накладыванию патчей? Если бы я сказал про
> новые фичи да тут бы был уместен ваш сарказм, и т.д.
> И опять же когда intel выпустил новый микрокод RHEL быстро выкатил обновленное
> ядро, вас это не смущает?
Ты ж  про центос там выше "скучал"?  Мне казалось, что они из исходников всё пересобирают, а рхел исходники не сразу даёт.  Я о них "плохо подумал"?
> openssh и разрабы выпустили свежую версию с исправлением, RHEL должен по
> вашей логике сидеть и ждать с моря погоды,
Не rhel. а cantos твой.   Так именно и делает, нет?
> фичи и т.д я согласен их надо проверить обкатать а уже
> потом выкатывать в стабильную ветку.
Федору не приплетай.  Сказал "центос" -- полезай в кузовок.

Ответить | Правка | ^ к родителю #35 | Наверх | Cообщить модератору

39. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." –1 +/–

Сообщение от lone_wolf (ok), 30-Авг-18, 14:02

> Ты ж  про центос там выше "скучал"?  Мне казалось, что они из исходников всё пересобирают, а рхел исходники не сразу даёт.  Я о них "плохо подумал"?
Совершенно верно про CentOS, и да из исходников, и да не сразу.
> Не rhel. а cantos твой.   Так именно и делает, нет?
CentOS реально ожидает когда RHEL выпустит сорци, я это и не отрицаю. Вот привожу вашу цитату
> Ты хотел сказать, обидно, что редхет не выпустил следующий пойнт-релиз рхела, не подождал недкльку-другую, и выложил src.rpm
на основании которой и говорю что по вашей логике RHEL должен сидеть ждать с моря погоды а не выкатывать пусть и сначала для себя обновленный пакет с исправлением уязвимости. А CentOS этот пакет достанется дня через 3-4 + пусть 2-3 дня они его будут пересобирать и в общей сложности продет 6-7 дней. Да признаю я поспешил орать на перекрёстке ибо прошло всего лишь 5-6 дней.
> Федору не приплетай.  Сказал "центос" -- полезай в кузовок.
А я и не отрицаю что я сказал CentOS. Внесу ясность почему я упомянул Fedora. Как известно очередная ветка RHEL базируется на релизе Fedora, и как следствие Fedora является в какой то степени "тестовым полигоном" для RHEL, хоть уже давно и стал самостоятельным и довольно таки стабильным дистрибутивом который некоторые используют для серверов, и довольно таки часто для десктопов. По моей логике RedHat для начала проверяет те или иные фичи на сообществе а потом уже пихает их корпоративным клиентам. (Всё выше сказанное мной это сугубо моё ИМХО и я его некому не навязываю, и да вполне возможно я не прав.)

Ответить | Правка | ^ к родителю #36 | Наверх | Cообщить модератору

50. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." –1 +/–

Сообщение от Аноним (50), 31-Авг-18, 04:32

Что плохого в подключении по паролю к root с 60-значным паролем? Например 82wH7BSVF5oEhVF8c9RvN7Gll2ycFZIorygBsmoSIfYclPTSLHqwmGoq8tPC
Это намного хуже подключения по ключу?

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

52. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." +1 +/–

Сообщение от Аноним (-), 31-Авг-18, 10:01

да

Ответить | Правка | ^ к родителю #50 | Наверх | Cообщить модератору

53. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." –2 +/–

Сообщение от Аноним (50), 31-Авг-18, 11:13

Так что плохого-то? Кто сможет перебрать длюннющий пароль, тем более при включенном fail2ban?

Ответить | Правка | ^ к родителю #52 | Наверх | Cообщить модератору

54. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." +/–

Сообщение от nox (??), 03-Сен-18, 13:53

Его не нужно перебирать, если у тебя на лэптопе завёлся кейлоггер или еще какая гадость. Конечно троян и ключ может увести, но поменять/ревокнуть ключ на 1000 серверов много проще, чем тоже самое с паролем (они же уникальные должны быть)

Ответить | Правка | ^ к родителю #53 | Наверх | Cообщить модератору

57. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." +/–

Сообщение от 1 (??), 05-Сен-18, 16:50

>Конечно троян и ключ может увести
С железного ключа (например, Yubikey) - не сможет.

Ответить | Правка | ^ к родителю #54 | Наверх | Cообщить модератору

55. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." +1 +/–

Сообщение от Аноним (55), 03-Сен-18, 18:25

Воспользовался уязвимостью в OpenSSH и с уверенностью могу сказать пользователи существуют ;)

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

56. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." +/–

Сообщение от Andrey Mitrofanov (?), 04-Сен-18, 11:00

>пользователи существуют
> ;)
Тс-с-с!  Не пали главную Уязвимость.

Ответить | Правка | ^ к родителю #55 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..."	+3 +/–
Сообщение от gred (ok), 29-Авг-18, 21:42
ну узнали они что есть допустим root. и что дальше-то???
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	2. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..."	+10 +/–
	Сообщение от Hgtuugt (?), 29-Авг-18, 21:49
	Ни байта врагу!
	Ответить \| Правка \| ^ к родителю #1 \| Наверх \| Cообщить модератору


	3. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..."	+3 +/–
	Сообщение от Китайский ботнет (?), 29-Авг-18, 21:51
	И подбираем твой ключ несколько миллиардов лет чтобы после взлома включить тебя в единую сеть.
	Ответить \| Правка \| ^ к родителю #1 \| Наверх \| Cообщить модератору


	6. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..."	+8 +/–
	Сообщение от Американский ботнет (?), 29-Авг-18, 22:00
	Ваш ботнет отстой! Вот у нас каждый подключён к нашему ботнету через Android, Apple и Windows 10.
	Ответить \| Правка \| ^ к родителю #3 \| Наверх \| Cообщить модератору


	4. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..."	+2 +/–
	Сообщение от Аноним (4), 29-Авг-18, 21:52
	Мб некоторые ставят слабый пароль на обычного юзера в расчёте на то, что 1) атакующему неизвестен логин, 2) юзер без рутовых прав не так опасен. Понятно что оба прероложения обходятся уязвимостями. В частности вот этой из новости.
	Ответить \| Правка \| ^ к родителю #1 \| Наверх \| Cообщить модератору


	41. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..."	+1 +/–
	Сообщение от x3who (?), 30-Авг-18, 15:22
	В любом случае, угадать логин и пароль значительно сложнее чем перебрать логины а потом пароли к найденному логину. (да не услышат меня писатели ентерпрайзных полиси и да не заэнфорсят ограничения на простоту логинов)
	Ответить \| Правка \| ^ к родителю #4 \| Наверх \| Cообщить модератору


	13. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..."	–2 +/–
	Сообщение от Аноним (-), 29-Авг-18, 22:50
	Дальше удовлетворятся этим знанием и распилял бабла)
	Ответить \| Правка \| ^ к родителю #1 \| Наверх \| Cообщить модератору


	17. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..."	+3 +/–
	Сообщение от Анонимусис (?), 29-Авг-18, 23:54
	Рубежи обороны "... а еще они узнали что в системе Х есть юзер с тем же именем что и в системе У, и попробовав пароль из системы У, смогли войти в систему Х"
	Ответить \| Правка \| ^ к родителю #1 \| Наверх \| Cообщить модератору


	25. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..."	+1 +/–
	Сообщение от Волжанин (?), 30-Авг-18, 06:35
	А ещё, зная пароль пользователя в системе Y, можно сразу попытаться войти в систему X с именем пользователя и паролем из системы Y. Вне зависимости от того, точно известно, что в системе X есть такой пользователь, или только предполагается.
	Ответить \| Правка \| ^ к родителю #17 \| Наверх \| Cообщить модератору


	33. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..."	+/–
	Сообщение от Урри (?), 30-Авг-18, 11:57
	Что лучше - подбирать по словарю существующего пользователя, или вероятно не существующего?
	Ответить \| Правка \| ^ к родителю #25 \| Наверх \| Cообщить модератору


	18. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..."	+/–
	Сообщение от pavard (ok), 30-Авг-18, 00:37
	дальше пробуются пароли для аналогичного ника, утекшие через какой-нибудь форум.
	Ответить \| Правка \| ^ к родителю #1 \| Наверх \| Cообщить модератору


	19. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..."	+3 +/–
	Сообщение от Сигизмунд Точка (?), 30-Авг-18, 00:54
	> ssh > пароли ССЗБ. У всех у кого не рвота вместо мозга - либо ключи, либо сертификаты с своим PKI.
	Ответить \| Правка \| ^ к родителю #18 \| Наверх \| Cообщить модератору


	23. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..."	–1 +/–
	Сообщение от pavard (ok), 30-Авг-18, 01:32
	почти никто не отклчючает аутентификацию по паролю, разместив свой ключ на машине. это раз. два - по моим представлениям( субъективным ощущениям ) людей живущих исключительно на паролях - в районе половины. тобишь как не крути...
	Ответить \| Правка \| ^ к родителю #19 \| Наверх \| Cообщить модератору


	24. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..."	+/–
	Сообщение от angra (ok), 30-Авг-18, 03:50
	Для того чтобы отключить что-нибудь ненужное, надо сначала включить это ненужное. Зачем устанавливать юзеру пароль, если можно сразу поставить публичный ключ?
	Ответить \| Правка \| ^ к родителю #23 \| Наверх \| Cообщить модератору


	34. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..."	–1 +/–
	Сообщение от metakeks (?), 30-Авг-18, 12:30
	Тоже есть обратная сторона. Ключ так же можно угнать. А на 100 серверов 100 ключей запароленных держать - это мало кто возьмётся.
	Ответить \| Правка \| ^ к родителю #19 \| Наверх \| Cообщить модератору


	37. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..."	+1 +/–
	Сообщение от pavard (ok), 30-Авг-18, 13:54
	ты похоже не пользуешься ключами( не понимаешь как они работают ).
	Ответить \| Правка \| ^ к родителю #34 \| Наверх \| Cообщить модератору


	40. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..."	–1 +/–
	Сообщение от Аноним (40), 30-Авг-18, 14:55
	А как они работают?
	Ответить \| Правка \| ^ к родителю #37 \| Наверх \| Cообщить модератору


	42. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..."	–2 +/–
	Сообщение от x3who (?), 30-Авг-18, 15:27
	> А как они работают? Они лежат на диске клиентского компа и поэтому могут оказаться недоступны в критический момент если этот комп внезапно и случайно сдох. И ты остаёшься без связи со своим сервером, к которому мог бы подключиться по SSH с любого утюга, если бы не запретил логины по паролю. Примерно как-то так они работают.
	Ответить \| Правка \| ^ к родителю #40 \| Наверх \| Cообщить модератору


	44. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..."	+/–
	Сообщение от Аноним (44), 30-Авг-18, 15:33
	Ох, малыш. Про то, что можно иметь несколько ключей в разных местах хранящихся ты не слышал, да? У меня вот уже больше 10 лет на всех серверах запрещен ssh по паролю и ни разу не было проблемы с тем, что я не могу зайти.
	Ответить \| Правка \| ^ к родителю #42 \| Наверх \| Cообщить модератору


	48. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..."	+/–
	Сообщение от AS (??), 30-Авг-18, 16:17
	а мой старый ноут как раз 11 лет проработал и сдох HDD. а флешку с ключами запасными постирал случайно в ст. машине с неделю назад. пришлось вспоминать детский матерный стишок из 10 строчек, который в лат. раскладке и был у меня паролем. но моя мораль совсем из др. оперы: ключ Можно Быстро уничтожить вслучае чего. а пароль в любом случае восстановят. с терморекральным то криптоанализом. и не дорого это.
	Ответить \| Правка \| ^ к родителю #44 \| Наверх \| Cообщить модератору


	46. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..."	+/–
	Сообщение от pavard (ok), 30-Авг-18, 15:44
	если ты мог подключиться с утюга - значит на нем есть копия приватного ключа, на случай если у тебя сдох комп. вот с него и заходи, с него и восстанавливай приватный ключ.
	Ответить \| Правка \| ^ к родителю #42 \| Наверх \| Cообщить модератору


	47. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..."	+/–
	Сообщение от x3who (?), 30-Авг-18, 16:01
	> с утюга - значит С утюга - значит любого устройства, подключенного к сети и имеющего экран и клавиатуру. Из интернет-кафе, например. Естественно, двухфакторная авторизация была бы уместна, но на совсем крайний случай можно зайти и просто интерактивно и поменять себе пароль на дамп из /dev/random, чтобы обильно протрояненные кейлоггерами компы из кафе не обогатились твоим паролем.
	Ответить \| Правка \| ^ к родителю #46 \| Наверх \| Cообщить модератору


	49. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..."	+/–
	Сообщение от Аноним (44), 30-Авг-18, 18:52
	За копию приватного ключа нужно бить по роже. На каждом девайсе должен быть свой ключ чья публичная часть должна быть на сервере.
	Ответить \| Правка \| ^ к родителю #46 \| Наверх \| Cообщить модератору


	51. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..."	+/–
	Сообщение от cutlass (?), 31-Авг-18, 07:11
	Всё верно сказал. Я как-то почти наступил на эти грабли и осознав последствия хожу по случайному паролю из 20 символов. Ключ удобен если скрипту надо лазить на другой хост периодически.
	Ответить \| Правка \| ^ к родителю #42 \| Наверх \| Cообщить модератору


	32. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..."	+/–
	Сообщение от ЖопорукийТорвальдс (?), 30-Авг-18, 11:02
	А то что брут форсу теперь легче логин подобрать. Шаг 1. Проверяем наличие Лузера по имени Шаг 2. Брутфорсим парольчик Шаг 3. ... Шаг 4. Профит Да да... количество всяких там уников с 2048+ ключами можно в 8-битный int записать. Все остальные пользуют пароли, дай бог не просто одно словарное слово по дефолту (тут должна быть ссылка к адинам на работе которые на root ставят слово из словаря, но ее не будет ибо жало если кто-то за 3 дня подберёт единый пароль от систем за $12м ).
	Ответить \| Правка \| ^ к родителю #1 \| Наверх \| Cообщить модератору

5. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..."	+1 +/–
Сообщение от Аноним (-), 29-Авг-18, 21:54
Чото странное в новости, у меня все новые sshd всегда ругаются на too many даже при наличии пользователя
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	16. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..."	+/–
	Сообщение от asand3r (ok), 29-Авг-18, 23:43
	У вас просто версия выпущенная до 2011 года.
	Ответить \| Правка \| ^ к родителю #5 \| Наверх \| Cообщить модератору

7. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..."	+1 +/–
Сообщение от Аноним (7), 29-Авг-18, 22:10
Ну так весь фикс в том, чтобы система обрубала соединение при множестве ошибках аутентификации при любом раскладе, есть такой пользователь или нет.
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	14. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..."	+/–
	Сообщение от Аноним (-), 29-Авг-18, 22:52
	Спасибо за толковый совет!
	Ответить \| Правка \| ^ к родителю #7 \| Наверх \| Cообщить модератору

8. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..."	–1 +/–
Сообщение от Аноним (8), 29-Авг-18, 22:19
Извиняюсь за оффтоп, но может быть кто-нибудь знает, можно ли на манке настроить возможность подключения по ссш когда пользователь не залогинен графически?
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору