OpenBSD માં બહુવિધ નબળાઈઓ

Qualys Labs ના નિષ્ણાતોએ BSD (PAM ને અનુરૂપ) માં વપરાતા પાસવર્ડ ચેકિંગ મિકેનિઝમ્સ માટે જવાબદાર પ્રોગ્રામ્સને છેતરવાની ક્ષમતા સંબંધિત ઘણી સુરક્ષા સમસ્યાઓ શોધી કાઢી છે. યુઝરનેમ "-ચેલેન્જ" અથવા "-ચેલેન્જ:પાસડબ્લ્યુડી" પાસ કરવાની યુક્તિ છે, જે પછી વપરાશકર્તાનામ તરીકે નહીં, પણ વિકલ્પ તરીકે અર્થઘટન કરવામાં આવે છે. આ પછી, સિસ્ટમ કોઈપણ પાસવર્ડ સ્વીકારે છે. સંવેદનશીલ, એટલે કે. પરિણામે, સેવાઓ smtpd, ldapd, radiusd દ્વારા અનધિકૃત ઍક્સેસની મંજૂરી છે. sshd સેવાનો ઉપયોગ કરી શકાતો નથી, કારણ કે sshd એ નોંધ્યું છે કે વપરાશકર્તા "-ચેલેન્જ" વાસ્તવમાં અસ્તિત્વમાં નથી. su પ્રોગ્રામ ક્રેશ થાય છે જ્યારે તે તેનો ઉપયોગ કરવાનો પ્રયાસ કરે છે, કારણ કે તે અસ્તિત્વમાં ન હોય તેવા વપરાશકર્તાની uid શોધવાનો પણ પ્રયાસ કરે છે.

xlock માં, S/Key અને Yubikey દ્વારા અધિકૃતતામાં તેમજ su માં પણ વિવિધ નબળાઈઓ જાહેર કરવામાં આવી હતી, જે “-ચેલેન્જ” વપરાશકર્તાને સ્પષ્ટ કરવા સંબંધિત નથી. xlock માં નબળાઈ સામાન્ય વપરાશકર્તાને auth જૂથને વિશેષાધિકારો વધારવા માટે પરવાનગી આપે છે. S/Key અને Yubikey ઓથોરાઈઝેશન મિકેનિઝમ્સના ખોટા ઓપરેશન દ્વારા auth ગ્રૂપમાંથી રૂટ યુઝરને વિશેષાધિકારોમાં વધારો કરવો શક્ય છે, પરંતુ આ ડિફોલ્ટ OpenBSD કન્ફિગરેશનમાં કામ કરતું નથી કારણ કે S/Key અને Yubikey અધિકૃતતા અક્ષમ છે. છેલ્લે, su માં નબળાઈ વપરાશકર્તાને સિસ્ટમ સ્રોતો પર મર્યાદા વધારવા માટે પરવાનગી આપે છે, જેમ કે ઓપન ફાઈલ વર્ણનકર્તાઓની સંખ્યા.

આ ક્ષણે, નબળાઈઓને ઠીક કરવામાં આવી છે, સુરક્ષા અપડેટ્સ પ્રમાણભૂત syspatch(8) પદ્ધતિ દ્વારા ઉપલબ્ધ છે.

સોર્સ: linux.org.ru