Pogłoski o krytycznej luce w OpenSSH w Red Hat Enterprise Linuksie

Wpis na forum WebHosting Talk wywołał spekulacje na temat krytycznej luki w serwerze OpenSSH w systemach CentOS i Red Hat Enterprise Linux (RHEL).

Problem

Jak wynika z wpisu, luka znajduje się w zastosowanej tam wersji OpenSSH 4.3. Wprawdzie to wydanie ma już ładnych parę lat, ale programiści dbają o włączanie wsteczne patchy, w wyniku czego oprogramowanie to może być całkowicie aktualne.

Teraz jednak mówi się, że programiści przy aplikowaniu poprawek przypadkiem włączyli do kodu błąd, który może być wykorzystywany do włamań na serwery. Istnieją już w Sieci protokoły z udanych ataków, np. z ostatniego przypadku serwisu ssanz.net i z ataku na serwis Astalaivista, który odbył się przed kilkoma tygodniami. Te przesłanki mogą również wskazywać na to, że istnieje exploit klasy Zero Day, który wykorzystuje bliżej nieznaną lukę w określonych wersjach SSH.

Zespół Red Hat Security Response Team zapytany przez heise Security nie chciał potwierdzić istnienia żadnej luki. Członkowie zespołu nie lekceważą jednak doniesień i obserwują sytuację, aby zbierać kolejne dane. Jeśli potwierdzą się pogłoski o niezałatanej luce, firma zareaguje tak szybko, jak to tylko możliwe.

Serwis heise Security prosi swoich czytelników o informacje, które mogłyby przyczynić się do wyjaśnienia tej sytuacji.

Od autorów CentOS Centrum dodam, że polecamy zgłaszać wszelkie błędy m.in. z OpenSSH do bugzilli Red Hat oraz mantis projektu CentOS.

Zródło: Heise OnLine