Luka w projekcie OpenSSH tylko żartem?

Jak donosi serwis heise-online, odkryta podobno kilka dni temu luka w OpenSSH była tylko żartem, której celem miałobyć tylko wprowadzenie zamieszania.

"Jako dowód specjalista przytacza logi z włamań dokonanych rzekomo z użyciem tajemniczego exploita. Wynika z nich, że do włamania się na konto użytkownika wykorzystano metodę brute force (podano plik z listą użytkowników). Zdrnja śmieszy fakt, że niektóre firmy uwierzyły w przekonujące wpisy o tym, że luka na pewno istnieje, i nawet wyłączyły swoje serwery WWW. Kolejnym dowodem jest przytoczona wiadomość wysłana przez jednego z programistów projektu, któremu od ofiar ataków nie udało się uzyskać żadnych informacji potwierdzających, że za włamanie odpowiada exploit będący w stanie zadziałać bez uwiarygadniania użytkownika."

Na podst.: heisse-online

Pogłoski o krytycznej luce w OpenSSH w Red Hat Enterprise Linuksie

Wpis na forum WebHosting Talk wywołał spekulacje na temat krytycznej luki w serwerze OpenSSH w systemach CentOS i Red Hat Enterprise Linux (RHEL).

Problem

Jak wynika z wpisu, luka znajduje się w zastosowanej tam wersji OpenSSH 4.3. Wprawdzie to wydanie ma już ładnych parę lat, ale programiści dbają o włączanie wsteczne patchy, w wyniku czego oprogramowanie to może być całkowicie aktualne.

Teraz jednak mówi się, że programiści przy aplikowaniu poprawek przypadkiem włączyli do kodu błąd, który może być wykorzystywany do włamań na serwery. Istnieją już w Sieci protokoły z udanych ataków, np. z ostatniego przypadku serwisu ssanz.net i z ataku na serwis Astalaivista, który odbył się przed kilkoma tygodniami. Te przesłanki mogą również wskazywać na to, że istnieje exploit klasy Zero Day, który wykorzystuje bliżej nieznaną lukę w określonych wersjach SSH.

Zespół Red Hat Security Response Team zapytany przez heise Security nie chciał potwierdzić istnienia żadnej luki. Członkowie zespołu nie lekceważą jednak doniesień i obserwują sytuację, aby zbierać kolejne dane. Jeśli potwierdzą się pogłoski o niezałatanej luce, firma zareaguje tak szybko, jak to tylko możliwe.

Serwis heise Security prosi swoich czytelników o informacje, które mogłyby przyczynić się do wyjaśnienia tej sytuacji.

Od autorów CentOS Centrum dodam, że polecamy zgłaszać wszelkie błędy m.in. z OpenSSH do bugzilli Red Hat oraz mantis projektu CentOS.

Zródło: Heise OnLine