Qualys ืคึฟืืจืืข ืคืืจ ืืื OpenBSD, ืืืื ืขืจ ืคืื ืืืึธืก ืึทืืึทืื ืืืจ ืฆื ืจืืืึธืืืื ืคืึทืจืืื ืื ืึธื ืึธืืขื ืืึทืงืืืฉืึทื ืฆื ืขืืืขืืข ื ืขืฅ ืืึทืืื ืื ืืก, ืืื ืื ืื ืืขืจืข ืืจืื ืคืึทืจืืจืขืกืขืจื ืืืื ืคึผืจืืืืืืึทืืืฉืึทื ืืื ืื ืกืืกืืขื. ืื ืงืืืึทืืืก ืืึทืจืืื ืืืืขืจืงื ืื ืฉื ืขื ืขื ืืคืขืจ ืคืื ืื OpenBSD ืืขืืืขืืึธืคึผืขืจืก - ืึทืืข ืคึผืจืึธืืืขืืก ืืขื ืขื ืืขืืืขื ะฒ ะธ ืื 40 ืฉืขื ื ืึธื ืคึผืจืืืืึทื ืึธื ืืึธื.
ืื ืจืืืึธืืืื ืขืงืกืคึผืืืืืึทืืึทื ืืืึทืื ืขืจืึทืืืืืื ืืื ืืขืคึฟืืจื ืืืจื ืึท ืืขืืช ืืื ืจืืคื ืื ืึธืืขื ืืึทืงืืืฉืึทื ืืึทื ืืืขืจ ืืื ืื ืืืืง ืืืืืืึธืืขืง, ืืืึธืก ืจืืคื
ืคึผืจืึธืืจืึทื /usr/libexec/auth/login_style ืคืึธืจื ืึทืจืืืืขื ืื ืืืืฃ ืื ืืึทืคึฟืขืื ืฉืืจื. ืึทืจืืึทื ืืขืจืขืื ื ืืืขื ืืืจ ืจืืคื login_style ื ืืฆื ืื ืึทืคึผืฉืึทื ืึทื ืคึผืึทืจืึทืืขืืขืจ "-s ืืื ืกื", ืขืก ืืื ืืขืืืขื ืฆื ืึทืจืืืขืจืคืืจื ืื ืคึผืจืึธืืึธืงืึธื ื ืึธืืขื. ืืืื ืืืจ ื ืืฆื ืึท "-" ืืึทืจืึทืงืืขืจ ืืื ืื ืึธื ืืืื ืคืื ืึท ื ืืืขื, ืืขื ื ืึธืืขื ืืืขื ืืืื ืืืืื ืืื ืืื ืึทื ืึธืคึผืฆืืข ืืืขื ืืืจ ืืืืคื ืืึธืืื_ืกืืื. ืึทืงืงืึธืจืืื ืืื, ืืืื ืืืจ ืกืคึผืขืฆืืคืืฆืืจื "-schallenge" ืึธืืขืจ "-schallenge:passwd" ืืื ืื ื ืืืขื ืืขืฉืึทืก ืึธืืขื ืืึทืงืืืฉืึทื, login_style ืืืขื ืืขื ืื ืืงืฉื ืืื ืึท ืืงืฉื ืฆื ื ืืฆื ืื ืืึทื ืืืขืจ. .
ืืขืจ ืคึผืจืึธืืืขื ืืื ืึทื ืื S / Key ืคึผืจืึธืืึธืงืึธื ืืื ืืึธืืื_ืกืืืืข ืืื ืืขืฉืืืฆื ืืืืื ืคืึธืจืืึทืื, ืึธืืขืจ ืืื ืคืืงืืืฉ ืืืื ืึธืจืืจื ืืื ืื ืจืขืืืืืึทื ืคืื ืึท ืฆืืืื ืคืื ืืขืจืึธืื ืึธืืขื ืืึทืงืืืฉืึทื. ืืืื, ืึท ืึทืืึทืงืขืจ ืงืขื ืขื, ืืืจื ืคึผืึธืืืื ื ืืื ืืขืจ ืืึทื ืืฆืขืจ "-challenge", ืืืืคึผืึทืก ืึธืืขื ืืึทืงืืืฉืึทื ืืื ืืึทืงืืืขื ืึทืงืกืขืก ืึธื ืคึผืจืึทืืืืืืื ื ืึท ืคึผืึทืจืึธื ืึธืืขืจ ืฉืืืกืืขื. ืึทืืข ื ืขืฅ ืืึทืืื ืื ืืก ืืืึธืก ื ืืฆื ื ืึธืจืืึทื ืืืืง ืงืึทืืืก ืคึฟืึทืจ ืึธืืขื ืืึทืงืืืฉืึทื ืืขื ืขื ืคึผืึทืืขื ืืฉืึทืื ืึทืคืขืงืืึทื ืืืจื ืืขื ืคึผืจืึธืืืขื. ืคึฟืึทืจ ืืืึทืฉืคึผืื, ืื ืคืืืืงืืื ืฆื ืืืืคึผืึทืก ืึธืืขื ืืึทืงืืืฉืึทื ืืื ืืขืฉืืืฆื ืืื smtpd (AUTH PLAIN), ldapd ืืื radiusd.
ืื ืืืึทืื ืขืจืึทืืืืืื ืืื ื ืืฉื ืืขืืืืื ืืื sshd, ืืืืึทื ืขืก ืืื ื ืึธื ืฉืืฅ ืืืึธืก ืงืึธื ืืจืึธืืืจื ืื ืืืึทืืืึทื ืคืื ืื ืืึทื ืืฆืขืจ ืืื ืื ืกืืกืืขื. ืึธืืขืจ, sshd ืงืขื ืขื ืืืขืจื ืืขื ืืฆื ืฆื ืคึผืจืืืืจื ืื ืืืึทืื ืขืจืึทืืืืืื ืคืื ืึท ืกืืกืืขื - ืืืขื ืึทืงืกืขืกืื ื ืื ื ืืืขื "-sresponse:passwd", ืื ืงืฉืจ ืืึทื ืื, ืืื ื sshd ืืื ืืืืจืื ืคึฟืึทืจ login_passwd ืฆื ืฆืืจืืงืงืืืขื ืื ืึทืจืืืกืจืืคื ืคึผืึทืจืึทืืขืืขืจืก, ืืื login_passwd ืืื ืืืืจืื ืคึฟืึทืจ ืื ืคืขืื ืืืง ืคึผืึทืจืึทืืขืืขืจืก ืฆื ืืืขืจื ืืขืฉืืงื (ื ืึธืืขื "- ืขื ืืคืขืจ" ืืื ืืืืื ืืื ืืื ืึทื ืึธืคึผืฆืืข). ื ืืืงืืืข ืึทืืึทืงืขืจ ืงืขื ืคึผืึทืืขื ืืฉืึทืื ืคึผืจืืืืจื ืฆื ืืืืคึผืึทืก ืึธืืขื ืืึทืงืืืฉืึทื ืืื ืื ืกื ื ืืฆื, ืึธืืขืจ ืืืจืืืืื ืืขื ื ืึธืืขื "-ืกืคึผืึธื ืกืข" ื ืืขืจ ืคึผืจืึธืฆืขืก ืฆื ืงืจืึทื ืืืจื ืฆืืจืืงืงืืืขื ืึท ื ืึทื ืืืึทืื ืืืขื ืขืงืกืึทืงืืืืื ื ืื getpwnam_r("-schallenge", ...) ืคึฟืื ืงืฆืืข.
ืื ืืขืจืข ืืืึทืื ืขืจืึทืืืืืืื:
- CVE-2019-19520 ืืืงืืืข ืคึผืจืืืืืืขืืืข ืขืกืงืึทืืืจืื ื ืืืจื ืืึทื ืืคึผืืึทืืืืฉืึทื ืคืื ืื ืงืกืืึธืงืง ืืืืืืึทืืื ืกืึทืคึผืืืื ืืื ืื sgid ืคืึธื ืืฉืึทื ืืื ื ืื ืืจืืคึผืข ืฆื "ืึทืืื". ืืื ืื ืงืกืืึทืง ืงืึธื, ืจืืืืคืืื ืื ื ืคึผืึทืืก ืฆื ืืืืืจืขืจืื ืืื ืคึผืจืึธืืืืืึทืืึทื ืืืืื ืืืขื ืื ืืึทื ืืฆืขืจ ืืืืขื ืืืคืืฆืืจื (ืกืขืืืื) ืืื ืคืืจืขื ืืขืจื, ืืืึธืก ืึทืืึทืื ืื ืึทืืึทืงืขืจ ืฆื ืืืืฉื ืื ืกืืืืืืข ืืืึทืืขืืืืืง "LIBGL_DRIVERS_PATH" ืืื ืึธืจืืึทื ืืืืจื ืื ืืึธืืืื ื ืคืื ืืืื ืฉืขืจื ืืืืืืึธืืขืง, ืื ืงืึธื ืคืื ืืืึธืก ืืืขื ืืืื ืขืงืกืึทืงืืืืึทื. ื ืึธื ืจืืืืื ื ืคึผืจืืืืืืึทืืืฉืึทื ืฆื ืื "ืึทืืื" ืืจืืคึผืข.
- CVE-2019-19522 - ืึทืืึทืื ืึท ืืืืข ืืึทื ืืฆืขืจ ืืืึธืก ืืื ืึท ืืืืืืื ืคืื ืืขืจ "ืึทืืื" ืืจืืคึผืข ืฆื ืืืืคื ืงืึธื ืืื ืืืึธืจืฆื ืืืขื S/Key ืึธืืขืจ YubiKey ืึธืืขื ืืึทืงืืืฉืึทื ืืื ืขื ืืืืึทืื ืืืืฃ ืื ืกืืกืืขื (ื ืื ืึทืงืืืื ืืืจื ืคืขืืืงืืึทื). ืืืฉืืื ืื ื ืื "ืึทืืื" ืืจืืคึผืข, ืืืึธืก ืงืขื ืขื ืืืื ืึทืงืกืขืกื ืืืจื ืขืงืกืคึผืืืืืื ื ืื ืืืืื-ืืขืจืืื ื ืืืึทืื ืขืจืึทืืืืืื ืืื xlock, ืึทืืึทืื ืืืจ ืฆื ืฉืจืืึทืื ืืขืงืขืก ืฆื ืื ืืืจืขืงืืขืจืื /etc/skey ืืื /var/db/yubikey. ืคึฟืึทืจ ืืืึทืฉืคึผืื, ืึท ืึทืืึทืงืขืจ ืงืขื ืืืืื ืึท ื ืืึทืข ืืขืงืข /etc/skey/root ืฆื ืืืฉืขื ืขืจืืื ืืืื ืืึธื ืฉืืืกืืขื ืคึฟืึทืจ ืึธืืขื ืืึทืงืืืฉืึทื ืืื ืืขืจ ืืืึธืจืฆื ืืึทื ืืฆืขืจ ืืืจื S/Key.
- CVE-2019-19519 - ืื ืืขืืืขืืงืืื ืฆื ืคืึทืจืืจืขืกืขืจื ืืืื ืืืืึทืฅ ืืืจื ืืึทื ืืคึผืืึทืืืืฉืึทื ืคืื ืื ืกื ื ืืฆื. ืืืขื ืื "-ื" ืึธืคึผืฆืืข ืืื ืกืคึผืขืกืืคืืขื, ืืืึธืก ื ืึธืืขื ืืึทืงืืืฉืึทื ืคืจืืืื ืฆื ืืืื ืจืืคึผืืืื ืกืืืงืึทืืื ืืืื ื ืื ืืขืจืึธืื, ืืขืจ ืืึทื ืืฆืขืจ ืงืืึทืก ืืื ืืึทืฉืืืื ืืืืื ืึทืืึธื ืืื ืืื ื ืืฉื ืืึทืฉืืขืืืง ืืืืฃ ืกืึทืืกืึทืงืืืึทื ื ืคืจืืืื. ืึท ืึทืืึทืงืขืจ ืงืขื ืขื ืืืกืคืืจื "ืกื -ื -ื" ืืืืฃ ืืขืจ ืขืจืฉืืขืจ ืคึผืจืืืื ืฆื ืึทืจืืึทื ืขืืขืฆืขืจ ืึทื ืืขืจืฉ ืก ืืึธืืื ืืื ืึท ืึทื ืืขืจืฉ ืืฉืืื ืงืืึทืก, ืึธืืขืจ ืืื ืื ืจืืข ืคึผืจืืืื ืขืจ ืงืขื ืขื ืืฆืืื ืึธืืขื ืืึทืงืืื ืืื ืืื. ืืื ืืขื ืกืืืืึทืฆืืข, ืืขืจ ืืึทื ืืฆืขืจ ืืืขื ืืืื ืืื ืืขืจืืขื ืืง ืฆื ืืืืึทืฅ ืืืืืจื ืืืืฃ ืืขืจ ืืึทื ืืฆืขืจ ืงืืึทืก ืืืึธืก ืืื ืกืคึผืขืกืืคืืขื ืืื ืืขืจ ืขืจืฉืืขืจ ืคึผืจืืืื (ืืืฉื, ืื ืืึทืงืกืืืื ื ืืืขืจ ืคืื ืคึผืจืึทืกืขืกืึทื ืึธืืขืจ ืื ืืืงืึธืจื ืืจืืืก ืคึฟืึทืจ ืึท ืคึผืจืึธืฆืขืก). ืืขืจ ืืืคึฟื ืึทืจืืขื ืืืืื ืคึฟืึทืจ ืืึทืจืึธืืื ื ืืืืึทืฅ ืคืื ืึทื ืคึผืจืืืืืืืืืฉื ื ืืฆืขืจืก, ืืืืึทื ืืขืจ ืืืึธืจืฆื ืืึทื ืืฆืขืจ ืืืื ืืืื ืืื ืื ืจืึธื ืืจืืคึผืข).
ืืื ืืขืจืฆื, ืขืก ืงืขื ืขื ืืืื ืืืืขืจืงื ืืื OpenBSD, ืึท ื ืืึทืข ืืืคึฟื ืคึฟืึทืจ ืงืึธื ืืจืึธืืืจืื ื ืื ืืืืืืงืืึทื ืคืื ืกืืกืืขื ืจืืคื, ืืืึธืก ืืืืึทืืขืจ ืงืึทืืคึผืืืงืืืฅ ืื ืขืงืกืคึผืืืืืืืฉืึทื ืคืื ืืืึทืื ืขืจืึทืืืืืืื. ืืขืจ ืืืคึฟื ืึทืืึทืื ืกืืกืืขื ืงืึทืืืก ืฆื ืืืื ืขืงืกืึทืงืืืืึทื ืืืืื ืืืื ืืื ืืขื ืขื ืึทืงืกืขืกื ืคึฟืื ืคืจืืขืจ ืจืขืืืกืืจืืจื ืืึผืจืื ืืขืืืื. ืฆื ืฆืืืื ืืึผืจืื ืืขืืืื ื ืืึท ืกืืกืืขื ืจืืคื .
ืืงืืจ: opennet.ru