ubuntuusers.de

Schon seit fast drei Wochen (24.01.) scheint es keine Security-Updates mehr zu geben. Dabei war diese Zeit mit teilweise kritischen Lücken in Kernel, OpenSSH, Firefox und GnuTLS nicht gerade ereignislos. Weiß jemand was da los ist? Normalerweise gehörte das Ubuntu-Security-Team doch immer zu den schnellsten.

Hallo,

bist du sicher, dass die Versionen von Ubuntu Breezy auch betroffen sind. Vom Kernel habe ich nichts gehört, aber betraf das auch Kernel 2.6.12? OpenSSH habe ich nicht installiert, ebensowenig GnuTLS. Bei Firefox war die Version 1.0.7 definitiv nicht betroffen. Da dies die offizielle Version von Breezy ist, braucht es da auch kein Update zu geben:
heise.de hat geschrieben:

Mozilla 1.7 und Firefox 1.0.x sind laut Security Advisory nicht von dem Problem betroffen.

Gruß
pippovic

Hä, kritische Lücke in OpenSSH?
Link, Bitte. 😲

OpenSSH:

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-0225:

scp in OpenSSH 4.2p1 allows attackers to execute arbitrary commands via filenames that contain shell metacharacters or spaces, which are expanded twice.

http://www.securityfocus.com/bid/16369/discuss:

OpenSSH is susceptible to an SCP shell command-execution vulnerability. This issue is due to the application's failure to properly sanitize user-supplied input before using it in a 'system()' function call.

This issue allows attackers to execute arbitrary shell commands with the privileges of users executing a vulnerable version of SCP.

This issue reportedly affects version 4.2 of OpenSSH. Other versions may also be affected.

http://bugzilla.mindrot.org/show_bug.cgi?id=1094
Breezy hat noch OpenSSH 4.1p1. Ich habe aber den Bug reproduzieren können:

$ touch foo\ bar
$ mkdir somedir
$ scp foo\ bar somedir
cp: Aufruf von stat für "foo" nicht möglich: Datei oder Verzeichnis nicht gefunden
cp: Aufruf von stat für "bar" nicht möglich: Datei oder Verzeichnis nicht gefunden

Auch wenn das nicht unbedingt ein "kritischer" Bug ist, gehört er dennoch gefixt.

Mozilla/Firefox:

Es wurden mehrere Bugs entdeckt. Nur einer davon betrifft 1.0.7 tatsächlich nicht.

http://www.mozilla.org/security/announce/mfsa2006-01.html:

Title: JavaScript garbage-collection hazards
Severity: Moderate
Date: February 1, 2006
CVE-2006-0293 was introduced during Firefox 1.5 development and does not affect Firefox 1.0.
CVE-2006-0292 affecs all versions of Firefox.

http://www.mozilla.org/security/announce/mfsa2006-05.html:

Title: Localstore.rdf XML injection through XULDocument.persist()
Severity: Critical
Date: February 1, 2006
Fixed in: Firefox 1.5.0.1
SeaMonkey 1.0
Bug details will be embargoed pending the release of Firefox 1.0.8

Kernel:

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-0454:

Linux kernel before 2.6.15.3 down to 2.6.12, while constructing an ICMP response in icmp_send, does not properly handle when the ip_options_echo function in icmp.c fails, which allows remote attackers to cause a denial of service (crash) via vectors such as (1) record-route and (2) timestamp IP options with the needaddr bit set and a truncated value.

GnuTLS:

http://lists.gnupg.org/pipermail/gnutls-dev/2006-February/001058.html:

this release fixes several serious bugs that would make the DER
decoder in libtasn1 crash on invalid input.
[...]
Particularly, it would be useful to answer the question of whether
these bugs are possible to exploit remotely. It is certainly possible
to cause the server to crash.

Kann ja mal sein, dass das eine oder andere Advisory sich verzögert, weil es in den Augen des Security-Teams nicht so eine hohe Priorität besitzt. Aber ich frage mich auf Grund der langen Funkstille, ob Ubuntu nicht gerade dasselbe Problem hat, wie das Debian-Projekt irgendwann im letzten Jahr, dass die komplette Security ausfällt, weil sich sowieso nur einer drum gekümmert hat, der dann auch auf einmal ausgefallen ist.

Edit: Habe gerade ein Lebenszeichen in Gestalt von "[USN-247-1] Heimdal vulnerability" hereinbekommen. Vielleicht kommt der Rest dann ja auch in den kommenden Tagen.

Danke schön 😀

Naja und Firefox 1.5 hat ja eh eine Autoupdate Funktion... 😉

Grüße,

die von den Distributionen verwendeten Versionen der Programme wurden oftmals mehr oder weniger stark verändert (mit diversen Patches versehen), so dass Sicherheitsmeldungen oft nicht auf ein Ubuntu Packet zutreffen. Manche Fehler treten ausserdem nur auf, wenn ein Programm mit einer ganz spezifischen Konfiguration läuft, die so in der Praxis selten vor kommt.

Also kein Grund sich unsicher zu fühlen 😀

Phish

Heute gab es bei mir ein Kernel-Update. Habe keine Infos, was da gefixt wurde.

Gruß
pippovic

pippovic hat geschrieben:

Heute gab es bei mir ein Kernel-Update. Habe keine Infos, was da gefixt wurde.

Gruß
pippovic

Welche Kernelversion hast du denn jetzt? Bei mir gabs vor ein par Wochen ein Update auf 2.6.12-10-k7

Hallo,

habe jetzt 2.6.12-10.28. Habe jedoch nicht das k7-Image sondern ein "normales".

Gruß
pippovic