ওপেনবিএসডি-তে একাধিক দুর্বলতা

কোয়ালিস ল্যাবসের বিশেষজ্ঞরা বিএসডি (পিএএম-এর অনুরূপ) ব্যবহার করা পাসওয়ার্ড চেকিং পদ্ধতির জন্য দায়ী প্রোগ্রামগুলিকে প্রতারণা করার ক্ষমতা সম্পর্কিত বেশ কয়েকটি নিরাপত্তা সমস্যা আবিষ্কার করেছেন। কৌশলটি হল ব্যবহারকারীর নাম "-চ্যালেঞ্জ" বা "-schallenge:passwd" পাস করা, যা পরে ব্যবহারকারীর নাম হিসাবে নয়, একটি বিকল্প হিসাবে ব্যাখ্যা করা হয়। এর পরে, সিস্টেম যেকোনো পাসওয়ার্ড গ্রহণ করে। দুর্বল, যেমন ফলস্বরূপ, smtpd, ldapd, radiusd পরিষেবাগুলি দ্বারা অননুমোদিত অ্যাক্সেস অনুমোদিত। sshd পরিষেবাটি ব্যবহার করা যাবে না, যেহেতু sshd তখন লক্ষ্য করে যে ব্যবহারকারী "-চ্যালেঞ্জ" আসলে বিদ্যমান নেই। su প্রোগ্রামটি যখন এটিকে কাজে লাগানোর চেষ্টা করে তখন এটি ক্র্যাশ হয়, কারণ এটি একটি অস্তিত্বহীন ব্যবহারকারীর uid খুঁজে বের করার চেষ্টা করে।

Xlock-এ S/Key এবং Yubikey-এর মাধ্যমে অনুমোদনের পাশাপাশি su-তেও বিভিন্ন দুর্বলতা প্রকাশ করা হয়েছে, যা “-চ্যালেঞ্জ” ব্যবহারকারীকে নির্দিষ্ট করার সাথে সম্পর্কিত নয়। xlock-এ একটি দুর্বলতা একজন সাধারণ ব্যবহারকারীকে auth গ্রুপে বিশেষাধিকার বৃদ্ধি করতে দেয়। S/Key এবং Yubikey অনুমোদন পদ্ধতির ভুল অপারেশনের মাধ্যমে auth গোষ্ঠী থেকে রুট ব্যবহারকারীর কাছে বিশেষাধিকার বৃদ্ধি করা সম্ভব, কিন্তু এটি ডিফল্ট OpenBSD কনফিগারেশনে কাজ করে না কারণ S/Key এবং Yubikey অনুমোদন নিষ্ক্রিয় করা আছে। অবশেষে, su-তে একটি দুর্বলতা ব্যবহারকারীকে সিস্টেম সংস্থানগুলির সীমা বাড়াতে দেয়, যেমন খোলা ফাইল বর্ণনাকারীর সংখ্যা।

এই মুহুর্তে, দুর্বলতাগুলি সংশোধন করা হয়েছে, নিরাপত্তা আপডেটগুলি স্ট্যান্ডার্ড সিসপ্যাচ(8) পদ্ধতির মাধ্যমে উপলব্ধ।

উত্স: linux.org.ru