In einer experimentellen Funktion in OpenSSH steckt ein schwerwiegender Sicherheitsfehler. Wie das IT-Sicherheitsunternehmen Qualys mitteilt entdeckt. Damit soll es einem Angreifer möglich sein, Verbindungen wieder aufzunehmen. Laut einer Mailing-Liste könnte ein speziell eingerichteter Server einen OpenSSH-Client dazu bringen, den Inhalt des Speichers und damit auch privaten Schlüssel des Clients offen zulegen.
Die OpenSSH-Versionen 5.4 bis 7.1 sind von dem Problem betroffen. OpenSSH gilt als Standard-Implementierung und wird daher unter anderem von OpenBSD, FreeBSD und diversen Linux-Distributionen wie Debian, Ubuntu 12.04, 14.04, 15.04 und 15.10 sowie Red Hat Enterprise Linux 7 (RHEL) eingesetzt. Darüber hinaus ist auch Mac OS X anfällig. “Da Apple normalerweise Sicherheitsfixes verzögert, raten wir dazu, den Workaround anzuwenden”, heißt es in der Mailing-Liste.
Nutzer, die noch keinen Zugriff auf einen Patch haben, können ihrer SSH-Konfiguration den Eintrag “UseRoaming no” hinzufügen oder ihren SSH-Client mit der Option “-oUseRoaming=no” über die Eingabeaufforderung starten. Dadurch wird die fragliche experimentelle Funktion vollständig abgeschaltet. OpenSSH-Server sind laut OpenBSD nicht von der Anfälligkeit betroffen, da der Server-Code nie ausgeliefert worden sei.
Patches stehen ab sofort für OpenSSH 5.7 und 5.8 zur Verfügung. Laut Mailing-Liste enthalten Portable OpenSSH 7.1p2, sowie Snapshots für OpenBSD ab 12. Januar 2016 einen Fix. Für die meisten Linux-Distributionen sei das Update ebenfalls ab sofort oder in Kürze erhältlich.
Laut Wolfgang Kandek, Chief Technology Officer bei Qualys, hat sein Unternehmen die OpenSSH-Entwickler am 11. Januar über die Schwachstelle informiert. Der Patch sei daraufhin in nur drei Tagen entwickelt worden. Allerdings veröffentlichte Qualys gestern auch Beispielcode für einen Exploit, was den Druck auf OpenSSH-Nutzer erhöht, die verfügbaren Patches so schnell wie möglich einzuspielen.
Sicherheitsexperte Kenneth White befürchtet, dass SSH-Schlüssel von Hunderttausenden Linux-Servern weltweit in Gefahr sind. Außer Linux-Servern seien außerdem viele Router und Firewalls betroffen. Er rät Administratoren von betroffenen Systemen, egal ob es sich um Hobby-Projekte oder Server mit vertraulichen Daten handelt, die SSH-Schlüssel neu zu generieren oder zu tauschen.
[mit Material von Stefan Beiersmann, ZDNet.de]
Ein elementarer Bestandteil einer effektiven Cloud-Strategie ist nach erfolgter Implementierung die künftige Verwaltung des Dienstes.
Die Neuerungen sollen den Digital Thread, die Low-Code-Entwicklung, die Visualisierung komplexer Baugruppen und das Lieferantenmanagement…
Eine Bitkom-Umfrage attestiert der Datenraum-Initiative des Bundes hohe Bekanntheit in der Industrie. Doch noch ist…
Ransomware-as-a-Service ist ein lukratives Geschäft und in den Händen professionell organisierter Gruppen. Jetzt können Kriminelle…
Bad Bots richten nicht nur wirtschaftlichen Schaden an. Laut dem Bad Bot Report von Imperva…
Studie von OVHcloud verdeutlicht Stellenwert von Datenresidenz und Datensouveränität bei KI-Anwendungen.