Рекомендация Debian по безопасности

DSA-956-1 lsh-server -- утечка файловых дескрипторов

Дата сообщения:

26.01.2006

Затронутые пакеты:

lsh-utils

Уязвим:

Да

Ссылки на базы данных по безопасности:

В системе отслеживания ошибок Debian: Ошибка 349303.
В каталоге Mitre CVE: CVE-2006-0353.

Более подробная информация:

Штефан Пфетцинг обнаружил, что в lshd, сервере протокола Secure Shell v2 (SSH2), происходит утечка пары файловых дескрипторов, связанных с генератором стохастичности, в командные оболочки пользователей, запущенные lshd. Локальный злоумышленник может обрезать файл сервера с начальным числом, что может не допустить запуск сервера, а при некоторых дополнительных усилия может приводить к взолму сессионных ключей.

После применения данного обновления вам следует удалить файл сервера с начальным числом (/var/spool/lsh/yarrow-seed-file) и заново создать его с помощью команды "lsh-make-seed --server" от лица суперпользователя.

В целях безопасности lsh-make-seed следует запускать только из консоли системы, на которой вы запускаете сервер. Если вы запускаете lsh-make-seed через удалённую командную оболочку, то информация о таймингах, используемая lsh-make-seed для создания случайного начального числа, вероятнее всего будет испорчена. Если вам нужно, то вы можете создать случайное начальное числе на другой системе, чем та, на которой оно будет использоваться, установив пакет lsh-utils и запустив команду "lsh-make-seed -o my-other-server-seed-file". Затем вы можете передать начальное число на целевую систему, используя защищённое соединение.

Предыдущий стабильный выпуск (woody) возможно не подвержен этой проблеме.

В стабильном выпуске (sarge) эта проблема была исправлена в версии 2.0.1-3sarge1.

В нестабильном выпуске (sid) эта проблема была исправлена в версии 2.0.1cdbs-4.

Рекомендуется обновить пакет lsh-server.

Исправлено в:

Debian GNU/Linux 3.1 (sarge)

Исходный код:: http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-utils_2.0.1-3sarge1.dsc; http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-utils_2.0.1-3sarge1.diff.gz; http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-utils_2.0.1.orig.tar.gz
Независимые от архитектуры компоненты:: http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-utils-doc_2.0.1-3sarge1_all.deb
Alpha:: http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-client_2.0.1-3sarge1_alpha.deb; http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-server_2.0.1-3sarge1_alpha.deb; http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-utils_2.0.1-3sarge1_alpha.deb
ARM:: http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-client_2.0.1-3sarge1_arm.deb; http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-server_2.0.1-3sarge1_arm.deb; http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-utils_2.0.1-3sarge1_arm.deb
Intel IA-32:: http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-client_2.0.1-3sarge1_i386.deb; http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-server_2.0.1-3sarge1_i386.deb; http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-utils_2.0.1-3sarge1_i386.deb
Intel IA-64:: http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-client_2.0.1-3sarge1_ia64.deb; http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-server_2.0.1-3sarge1_ia64.deb; http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-utils_2.0.1-3sarge1_ia64.deb
HPPA:: http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-client_2.0.1-3sarge1_hppa.deb; http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-server_2.0.1-3sarge1_hppa.deb; http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-utils_2.0.1-3sarge1_hppa.deb
Motorola 680x0:: http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-client_2.0.1-3sarge1_m68k.deb; http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-server_2.0.1-3sarge1_m68k.deb; http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-utils_2.0.1-3sarge1_m68k.deb
Big endian MIPS:: http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-client_2.0.1-3sarge1_mips.deb; http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-server_2.0.1-3sarge1_mips.deb; http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-utils_2.0.1-3sarge1_mips.deb
Little endian MIPS:: http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-client_2.0.1-3sarge1_mipsel.deb; http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-server_2.0.1-3sarge1_mipsel.deb; http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-utils_2.0.1-3sarge1_mipsel.deb
PowerPC:: http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-client_2.0.1-3sarge1_powerpc.deb; http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-server_2.0.1-3sarge1_powerpc.deb; http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-utils_2.0.1-3sarge1_powerpc.deb
IBM S/390:: http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-client_2.0.1-3sarge1_s390.deb; http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-server_2.0.1-3sarge1_s390.deb; http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-utils_2.0.1-3sarge1_s390.deb
Sun Sparc:: http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-client_2.0.1-3sarge1_sparc.deb; http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-server_2.0.1-3sarge1_sparc.deb; http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-utils_2.0.1-3sarge1_sparc.deb

Контрольные суммы MD5 этих файлов доступны в исходном сообщении.