ProHoster > Blogs > Interneta ziņas > Vairāki droŔības trÅ«kumi OpenBSD

Vairāki droŔības trūkumi OpenBSD

Qualys Labs speciālisti atklāja vairākas droŔības problēmas, kas saistÄ«tas ar iespēju apmuldat programmas, kas atbild par BSD paroles pārbaudes mehānismu izmantoÅ”anu (analogs PAM). Apmulsums notiek, ievadot lietotāja vārdu Ā«-schallengeĀ» vai Ā«-schallenge:passwdĀ», kas pēc tam tiek interpretēts nevis kā lietotāja vārds, bet kā opcija. Pēc tam sistēma pieņem jebkuru paroli. Vainojami, t.i., beigu rezultātā atļaujot nesankcionētu piekļuvi, ir smtpd, ldapd, radiusd pakalpojumi. sshd pakalpojumu neizdodas izmantot, jo vēlāk sshd pamanÄ«ja, ka lietotājs Ā«-schallengeĀ» patiesÄ«bā nepastāv. Programma su, mēģinot ekspluatēt acÄ«mredzamo, avarē, jo arÄ« mēģina noskaidrot neesoÅ”a lietotāja uid.

Tika arÄ« publiskotas dažādas ievainojamÄ«bas xlock, autorizācijā caur S/Key un Yubikey, kā arÄ« su, kas nav saistÄ«tas ar lietotāja Ā«-schallengeĀ» norādÄ«Å”anu. IevainojamÄ«ba xlock ļauj parastam lietotājam paaugstināt privilēģijas lÄ«dz auth grupai. Caursitot nepareizu S/Key un Yubikey autorizācijas mehānismu darbu, var paaugstināt privilēģijas no auth grupas lÄ«dz root lietotājam, taču OpenBSD noklusējuma konfigurācijā tas nedarbojas, jo S/Key un Yubikey autorizācija ir izslēgta. Visbeidzot, ievainojamÄ«ba su ļauj lietotājam palielināt resursu ierobežojumus, piemēram, atvērtās failu aprakstÄ«tāju skaitu.

PaÅ”laik ievainojamÄ«bas ir novērstas, droŔības atjauninājumi ir pieejami, izmantojot standarta syspatch(8) mehānismu.

Avots: linux.org.ru

Iegādājieties uzticamu tÄ«mekļa hostingu ar DDoS aizsardzÄ«bu, VPS VDS serveriem šŸ”„ Iegādājieties uzticamu tÄ«mekļa hostingu ar DDoS aizsardzÄ«bu, VPS VDS serveriem | ProHoster