A CERT SSH sebezhetőségre figyelmeztet

Sok Unix és Linux változat használja az OpenSSH-t, de számtalan hardver - útválasztó és kapcsoló - vár befoltozásra, vélekedik Dan Ingevaldson, az ISS X-Force biztonsági csoportjának műszaki igazgatója. A kihasználható hiba az OpenSSH szoftver 3.7 verzióját megelőző verziók pufferkezelő funkciójában található, segítségével a távoli támadó puffer túlcsordulás idézhet elő a gépen. Ehhez csak módosítania kell bizonyos OpenSSH paramétereken és extra méretű - 10 megabájtnál nagyobb - SSH adatcsomagokat kell küldenie a sebezhető gépnek. Az ISS csak a közelmúltban ismerte fel a hibát, de mások már korábban tudomást szereztek róla és közzétették a nyilvános biztonsági hírcsoportokban, sőt egyesek tudnak is kódokról, amelyek sebezhetőség kihasználására készültek. Ilyenről az ISS nem tud. De épp az OpenSSH népszerűsége miatt a sebezhetőség vonzó lehet az ártó szándékú hackerek számára. Az OpenBSD program időközben maga is felhívta a figyelmet a problémára, és kedden kibocsátotta az OpenSSH 3.7.1 verzióját. Azt javasolja a sebezhető verziókat használó cégeknek, frissítsenek a legújabb verzióra, vagy telepítsék a javítóprogramot.