Säkerhetsbulletin från Debian

DSA-956-1 lsh-server -- läcker filidentifierare

Rapporterat den:

2006-01-26

Berörda paket:

lsh-utils

Sårbara:

Referenser i säkerhetsdatabaser:

I Debians felrapporteringssystem: Fel 349303.
I Mitres CVE-förteckning: CVE-2006-0353.

Ytterligare information:

Stefan Pfetzing upptäckte att lshd, en server för Secure Shell v2-protokollet (SSH2), läckte några filidentifierare som hör till slumptalsgeneratorn, till användarskal som startas av lshd. En lokal angripare kan klippa av serverns fröfil, vilket kan hindra servern från att starta, och med lite mer arbete kanske även knäcka sessionsnycklarna.

Efter att dessa uppdateringar installerats bör du ta bort serverns fröfil (/var/spool/lsh/yarrow-seed-file) och sedan skapa den på nytt genom att köra ”lsh-make-seed --server” som root.

Av säkerhetsskäl måste lsh-make-seed verkligen köra från konsolen på det system du kör det på. Om du kör lsh-make-seed från ett fjärrskal kommer den timinginformation som lsh-make-seed använder för att generera sitt slumptalsfrö antagligen att vara trasigt. Om du måste kan du generera slumptalsfröet på en annat system än det som det skall ligga på, genom att installera paketet lsh-utils och köra ”lsh-make-seed -o seed-fil-för-min-andra-server”. Du kan sedan överföra fröet till målsystemet över en säker anslutning.

Den gamla stabila utgåvan (Woody) påverkas troligtvis inte av detta problem.

För den stabila utgåvan (Sarge) har detta problem rättats i version 2.0.1-3sarge1.

För den instabila utgåvan (Sid) har detta problem rättats i version 2.0.1cdbs-4.

Vi rekommenderar att ni uppgraderar ert lsh-server-paket.

Rättat i:

Debian GNU/Linux 3.1 (sarge)

Källkod:: http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-utils_2.0.1-3sarge1.dsc; http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-utils_2.0.1-3sarge1.diff.gz; http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-utils_2.0.1.orig.tar.gz
Arkitekturoberoende komponent:: http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-utils-doc_2.0.1-3sarge1_all.deb
Alpha:: http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-client_2.0.1-3sarge1_alpha.deb; http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-server_2.0.1-3sarge1_alpha.deb; http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-utils_2.0.1-3sarge1_alpha.deb
ARM:: http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-client_2.0.1-3sarge1_arm.deb; http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-server_2.0.1-3sarge1_arm.deb; http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-utils_2.0.1-3sarge1_arm.deb
Intel IA-32:: http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-client_2.0.1-3sarge1_i386.deb; http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-server_2.0.1-3sarge1_i386.deb; http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-utils_2.0.1-3sarge1_i386.deb
Intel IA-64:: http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-client_2.0.1-3sarge1_ia64.deb; http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-server_2.0.1-3sarge1_ia64.deb; http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-utils_2.0.1-3sarge1_ia64.deb
HPPA:: http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-client_2.0.1-3sarge1_hppa.deb; http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-server_2.0.1-3sarge1_hppa.deb; http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-utils_2.0.1-3sarge1_hppa.deb
Motorola 680x0:: http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-client_2.0.1-3sarge1_m68k.deb; http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-server_2.0.1-3sarge1_m68k.deb; http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-utils_2.0.1-3sarge1_m68k.deb
Big endian MIPS:: http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-client_2.0.1-3sarge1_mips.deb; http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-server_2.0.1-3sarge1_mips.deb; http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-utils_2.0.1-3sarge1_mips.deb
Little endian MIPS:: http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-client_2.0.1-3sarge1_mipsel.deb; http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-server_2.0.1-3sarge1_mipsel.deb; http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-utils_2.0.1-3sarge1_mipsel.deb
PowerPC:: http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-client_2.0.1-3sarge1_powerpc.deb; http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-server_2.0.1-3sarge1_powerpc.deb; http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-utils_2.0.1-3sarge1_powerpc.deb
IBM S/390:: http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-client_2.0.1-3sarge1_s390.deb; http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-server_2.0.1-3sarge1_s390.deb; http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-utils_2.0.1-3sarge1_s390.deb
Sun Sparc:: http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-client_2.0.1-3sarge1_sparc.deb; http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-server_2.0.1-3sarge1_sparc.deb; http://security.debian.org/pool/updates/main/l/lsh-utils/lsh-utils_2.0.1-3sarge1_sparc.deb

MD5-kontrollsummor för dessa filer finns i originalbulletinen.