[sisyphus] OpenSSL overflow

[sisyphus] OpenSSL overflow

[Slava Dubrovskiy]

[-- Attachment #1: Type: text/plain, Size: 1828 bytes --]

Здравствуйте

Использую бранч 5.0
Банк требует прохождение сервером теста https://www.hackerguardian.com

При тестировании получаю:


Security hole found on port/service "https (443/tcp)"

     Plugin      "OpenSSL overflow (generic test)"

     Category      "Gain a shell remotely "

     Priority      "Medium Priority "The remote host seems to be using a 
version of OpenSSL which is older than 0.9.6e or 0.9.7-beta3  This 
version is vulnerable to a buffer overflow which, may allow an attacker 
to obtain a shell on this host.  *** Note that since safe checks are 
enabled, this check  *** might be fooled by non-openssl implementations 
and *** produce a false positive. *** In doubt, re-execute the scan 
without the safe checks

        Solution : Upgrade to version 0.9.6e (0.9.7beta3) or newer

        Risk factor : High

    CVE:     CVE-2002-0656     
http://cgi.nessus.org/cve.php3?cve=CVE-2002-0656
     CVE-2002-0655     http://cgi.nessus.org/cve.php3?cve=CVE-2002-0655
     CVE-2002-0657     http://cgi.nessus.org/cve.php3?cve=CVE-2002-0657
     CVE-2002-0659     http://cgi.nessus.org/cve.php3?cve=CVE-2002-0659
     CVE-2001-1141     http://cgi.nessus.org/cve.php3?cve=CVE-2001-1141
     BID : 3004, 5361, 5362, 5363, 5364, 5366 Other references : 
IAVA:2002-a-0004, OSVDB:853, OSVDB:857, OSVDB:3940, OSVDB:3941, 
OSVDB:3942, OSVDB:3943, SuSE:SUSE-SA:2002:033


Естественно что на сервере:

# rpm -qa | grep -i ssl
libssl7-0.9.8j-alt1
openssl-0.9.8j-alt1


Вопрос: Это ошибка теста, или эта уязвимость действительно существует?
Как проверить и доказать что уязвимости нет?

-- 
WBR,
Dubrovskiy Vyacheslav


[-- Attachment #2: S/MIME Cryptographic Signature --]
[-- Type: application/pkcs7-signature, Size: 3262 bytes --]

Re: [sisyphus] OpenSSL overflow

[Max Ivanov]

>
> Вопрос: Это ошибка теста, или эта уязвимость действительно существует?
> Как проверить и доказать что уязвимости нет?
>
Отключить safe check  и проверить еще раз, тогда тест будет проверять
уязвимости на практике, а не просто сверяя версии, т.е. вас фактически
будут ломать известными составителями тестов эксплоитами.

Re: [sisyphus] OpenSSL overflow

[Slava Dubrovskiy]

[-- Attachment #1: Type: text/plain, Size: 705 bytes --]

On 25.05.2009 16:02, Max Ivanov wrote:
>> Вопрос: Это ошибка теста, или эта уязвимость действительно существует?
>> Как проверить и доказать что уязвимости нет?
> Отключить safe check  и проверить еще раз, тогда тест будет проверять
> уязвимости на практике, а не просто сверяя версии, т.е. вас фактически
> будут ломать известными составителями тестов эксплоитами.
>    
Ага, спасибо. Щас попробую.

-- 
WBR,
Dubrovskiy Vyacheslav


[-- Attachment #2: S/MIME Cryptographic Signature --]
[-- Type: application/pkcs7-signature, Size: 3262 bytes --]

Re: [sisyphus] OpenSSL overflow

[Slava Dubrovskiy]

[-- Attachment #1: Type: text/plain, Size: 897 bytes --]

On 25.05.2009 16:02, Max Ivanov wrote:
>> Вопрос: Это ошибка теста, или эта уязвимость действительно существует?
>> Как проверить и доказать что уязвимости нет?
>>
>>      
> Отключить safe check  и проверить еще раз, тогда тест будет проверять
> уязвимости на практике, а не просто сверяя версии, т.е. вас фактически
> будут ломать известными составителями тестов эксплоитами.
>    
Отключил safe check.
Но странно. На сервере 7 IP. На 3 из них работает SSL. Для 2 IP тест 
прошел. А для 1 уязвимость осталась.
Кому верить...

-- 
WBR,
Dubrovskiy Vyacheslav


[-- Attachment #2: S/MIME Cryptographic Signature --]
[-- Type: application/pkcs7-signature, Size: 3262 bytes --]

Re: [sisyphus] OpenSSL overflow

[Vladimir Lettiev]

25 мая 2009 г. 16:56 пользователь Slava Dubrovskiy <slava@> написал:

> # rpm -qa | grep -i ssl
> libssl7-0.9.8j-alt1
> openssl-0.9.8j-alt1
>
>
> Вопрос: Это ошибка теста, или эта уязвимость действительно существует?
> Как проверить и доказать что уязвимости нет?

Судя по различию changelog'ов для этого пакета в branch5.0 и в
Sisyphus следует, что версия в бранче имеет немного другие дыры в
безопасности: CVE-2009-0789, CVE-2009-0591, CVE-2009-0590,
CVE-2009-1377, CVE-2009-1378, CVE-2009-1379

-- 
Vladimir Lettiev aka crux <theCrux@gmail.com>

Re: [sisyphus] OpenSSL overflow

[Evgeny Sinelnikov]

25 мая 2009 г. 17:36 пользователь Vladimir Lettiev <thecrux@gmail.com> написал:
> 25 мая 2009 г. 16:56 пользователь Slava Dubrovskiy <slava@> написал:
>
>> # rpm -qa | grep -i ssl
>> libssl7-0.9.8j-alt1
>> openssl-0.9.8j-alt1
>>
>>
>> Вопрос: Это ошибка теста, или эта уязвимость действительно существует?

Перепроверьте и пришлите снова... Я уточню по коду...

>> Как проверить и доказать что уязвимости нет?

Сделать мне багу на openssl, с подробным описанием, если сможете...

> Судя по различию changelog'ов для этого пакета в branch5.0 и в
> Sisyphus следует, что версия в бранче имеет немного другие дыры в
> безопасности: CVE-2009-0789, CVE-2009-0591, CVE-2009-0590,
> CVE-2009-1377, CVE-2009-1378, CVE-2009-1379
>

Всё это не столь давние приобретения...Вскоре они появятся в 5.0...


-- 
Sin (Sinelnikov Evgeny)

Re: [sisyphus] OpenSSL overflow

[Evgeny Sinelnikov]

25 мая 2009 г. 17:36 пользователь Vladimir Lettiev <thecrux@gmail.com> написал:
> 25 мая 2009 г. 16:56 пользователь Slava Dubrovskiy <slava@> написал:
>
>> # rpm -qa | grep -i ssl
>> libssl7-0.9.8j-alt1
>> openssl-0.9.8j-alt1
>>
>>
>> Вопрос: Это ошибка теста, или эта уязвимость действительно существует?

Перепроверьте и пришлите снова... Я уточню по коду...

>> Как проверить и доказать что уязвимости нет?

Сделать мне багу на openssl, с подробным описанием, если сможете...

> Судя по различию changelog'ов для этого пакета в branch5.0 и в
> Sisyphus следует, что версия в бранче имеет немного другие дыры в
> безопасности: CVE-2009-0789, CVE-2009-0591, CVE-2009-0590,
> CVE-2009-1377, CVE-2009-1378, CVE-2009-1379
>

Всё это не столь давние приобретения...Вскоре они появятся в 5.0...


-- 
Sin (Sinelnikov Evgeny)