vine-users ML アーカイブ

[vine-users:062504] Re: OpenSSH のセキュリティホー ルについて

  • From: "F.M." <makoto@xxxxxxxxxxxxxxxxxxx>
  • Subject: [vine-users:062504] Re: OpenSSH のセキュリティホー ルについて
  • Date: Wed, 08 Oct 2003 21:45:52 +0900
自分のためにまとめてみました．
間違いなどありましたら，御指摘いただければと思います．

1. 関係ウェブページ

  http://vinelinux.org/errata/25x/20030918-1.html
  関連URL: http://www.openssh.com/txt/buffer.adv


  http://www.openssh.org/security.html
  (下の方)

  * OpenSSH 3.7.1 and newer are not vulnerable to "September 16, 2003:
    OpenSSH Buffer Management bug", OpenSSH Security Advisory and CERT
    Advisory CA-2003-24.
     (注 : buffer.adv へのリンク)

  * Portable OpenSSH 3.7.1p2 and newer are not vulnerable to "September
    23, 2003: Portable OpenSSH Multiple PAM vulnerabilities", OpenSSH
    Security Advisory. (This issue does not affect OpenBSD versions)
     (注 : sshpam.adv へのリンク)

  つまり
      + 3.7.1 ( Linux 用が含まれる Portable 版は 3.7.1p1 )以降は
      http://www.openssh.com/txt/buffer.adv の穴は無い
      + 3.7.1p2 以降は http://www.openssh.com/txt/sshpam.adv の穴は無い
  ということである．

2.  (現在 updates にある)3.6.1p2-0vl0.2 では，buffer.adv の穴は無い

3.  3.7.1p2 でふさがれた sshpam.adv の穴は 3.6.1p2-0vl0.2 に残っている．
    ただし，標準設定では UsePrivilegeSeparation yes なので問題無い．
    ([vine-users:062501])

4.  sshpam.adv の穴をふさいだパッケージは，必要と判断されればテスト完了
    後に出るが，不要と判断される可能性もある．
    ([vine-users:062489])