![[OpenSSH]](../images/smalltitle.gif)
Veiligheid
OpenSSH wordt ontwikkeld met hetzelfde rigoureuze veiligheidsproces waar de
OpenBSD groep beroemd om is. Indien u een veiligheidsprobleem in OpenSSH
wilt melden, neem dan alstublieft contact op met de besloten lijst van de
ontwikkelaars <openssh@openssh.com>.
Kijk voor meer informatie naar de
OpenBSD Veiligheidspagina.
-
OpenSSH voorafgaand aan versie 5.2 is kwetsbaar voor de zwakheden in
het protocol als beschreven in
CPNI-957037 "Plaintext Recovery Attack Against SSH".
Echter, gebaseerd op de beperkt beschikbare informatie, lijkt het erop dat
deze aanval niet uitvoerbaar is onder de meeste omstandigheden.
Kijk voor meer informatie naar de
cbc.adv advisory
en de
OpenSSH 5.2 release notes.
- Portable OpenSSH 5.1 en nieuwer zijn niet kwetsbaar voor de
X11UseLocalhost=no kapingsaanval op HP/UX (en mogelijk andere systemen)
beschreven in de
OpenSSH 5.1 release notes.
- OpenSSH 5.0 en nieuwer zijn niet kwetsbaar voor de X11 kapingsaanval
bschreven in
CVE-2008-1483 en de
OpenSSH 5.0 release notes.
- OpenSSH 4.9 en nieuwer voeren ~/.ssh/rc niet uit voor sessies waarvan het
commando is overschreven met een ForceCommand-optie in
sshd_config(5).
Dat was gedocumenteerd, maar onveilig gedrag (beschreven in de
OpenSSH 4.9 release notes).
- OpenSSH 4.7 en nieuwer vallen niet terug op het creëren van vertrouwde
X11 authentication cookies als het genereren van een niet-vertrouwd cookie
mislukt (bijvoorbeeld vanwege het bewust uitputten van bronnen), zoals
beschreven in de
OpenSSH 4.7 release notes.
- OpenSSH 4.5 en nieuwer repareren een kwetsbaarheid in de privilege
sepration-monitor die kan worden gebruikt om succesvolle authenticatie te
spoofen (beschreven in de
OpenSSH 4.5 release notes).
Merk op dat exploitatie van deze kwetsbaarheid vereist dat een aanvaller
reeds is doorgedrongen tot een netwerk-gericht sshd(8)-proces en er zijn
geen kwetsbaarheden bekend die dit toestaan.
- OpenSSH 4.4 en nieuwer zijn niet kwetsbaar voor de onveilige signal handler
kwetsbaarheid zoals beschreven in de
OpenSSH 4.4 release notes.
- OpenSSH 4.4 en nieuwer zijn niet kwetsbaar voor de SSH protocol 1 denial of
service aanval beschreven in de
OpenSSH 4.4 release notes.
- OpenSSH 4.3 en nieuwer zijn niet kwetsbaar voor de shell metacharacter
expansie in scp(1) bij "local-local" en "remote-remote" kopieën
(CVE-2006-0225), zoals beschreven in de
OpenSSH 4.3 release notes.
- OpenSSH 4.2 en nieuwer staan delegatie van GSSAPI credentials niet toe na
authenticatie met een niet-GSSAPI methode zoals beschreven in de
OpenSSH 4.2 release notes.
- OpenSSH 4.2 en nieuwer activeren niet onterecht GatewayPorts voor
dynamische forwardings (bug geintroduceeerd in OpenSSH 4.0) zoals
beschreven in de
OpenSSH 4.2 release notes.
- Portable OpenSSH 3.7.1p2 en nieuwer zijn niet kwetsbaar voor de
"September 23, 2003: Portable OpenSSH Multiple PAM vulnerabilities",
OpenSSH
Security Advisory. (Deze kwestie betreft niet de OpenBSD-versies.)
- OpenSSH 3.7.1 en nieuwer zijn niet kwetsbaar voor de
"September 16, 2003: OpenSSH Buffer Management bug",
OpenSSH
Security Advisory en CERT Advisory
CA-2003-24.
- OpenSSH 3.4 en nieuwer zijn niet kwetsbaar voor de
"June 26, 2002: OpenSSH Remote Challenge Vulnerability",
OpenSSH
Security Advisory.
- OpenSSH 3.2.1 en nieuwer zijn niet kwetsbaar voor de
"April 21, 2002: Buffer overflow in AFS/Kerberos token passing code",
OpenSSH
Security Advisory:
Versies voor OpenSSH 3.2.1 verlenen bevoorrechte toegang als
AFS/Kerberos token passing ingebouwd en aangezet is (in het systeem
of in sshd_config).
- OpenSSH 3.1 en nieuwer zijn niet kwetsbaar voor de
"March 7, 2002: Off-by-one error in the channel code",
OpenSSH
Security Advisory.
- OpenSSH 3.0.2 en nieuwer laten
gebruikers niet toe om
omgevingsvariabelen naar login(1) te sturen als UseLogin aangezet is.
De optie UseLogin staat standaard uit in alle versies van OpenSSH.
- OpenSSH 2.9.9 en nieuwer zijn niet kwetsbaar voor de
"Sep 26, 2001: Weakness in OpenSSH's source IP based access control
for SSH protocol v2 public key authentication.",
OpenSSHSecurity Advisory.
- OpenSSH 2.9.9 en nieuwer laten
gebruikers niet toe
bestanden die "cookies" heten te verwijderen als X11-forwarding aangezet is.
X11-forwarding in standaard uitgezet.
- OpenSSH 2.3.1, een ontwikkelversie die nooit uitgebracht is, was kwetsbaar
voor de
"Feb 8, 2001: Authentication By-Pass Vulnerability in OpenSSH-2.3.1",
OpenBSD Security Advisory.
In protocol 2 kon de authenticatie omzeild worden als publieke
sleutelauthenticatie toegestaan was. Dit probleem is alleen aanwezig in
OpenSSH 2.3.1, een interne ontwikkelversie van drie weken.
OpenSH 2.3.0 en versies nieuwer dan 2.3.1 zijn niet kwetsbaar voor dit
probleem.
- OpenSSH 2.3.0 en nieuwer verlenen
kwaadwillige servers geen toegang tot de X11 of ssh-agent van de client.
Dit probleem is hersteld in OpenSSH 2.3.0.
- OpenSSH 2.3.0 en nieuwer zijn niet kwetsbaar voor de
"Feb 8, 2001: SSH-1 Daemon CRC32 Compensation Attack Detector Vulnerability",
RAZOR Bindview Advisory CAN-2001-0144.
Een buffer overflow in de "CRC32 compensation atttack detector" kan leiden
tot "remote root" toegang. Dit probleem is hersteld in OpenSSH 2.3.0.
Versies tot en met 2.3.0 zijn echter kwetsbaar.
- OpenSSH 2.2.0 en nieuwer zijn niet kwetsbaar voor de
"Feb 7, 2001: SSH-1 Session Key Recovery Vulnerability",
CORE-SDI Advisory CORE-20010116. OpenSSH legt limieten op aan het
verbindingstempo, waardoor de aanval niet uit te voeren is.
Daarnaast is het Bleichenbacher orakel compleet gesloten sinds 29 januari
2001.
- OpenSSH 2.1.1 en nieuwer stellen een aanvaller niet in staat op afstand
willekeurige commando's uit te voeren met de privileges van sshd wanneer UseLogin
is aangezet door de beheerder. UseLogin staat standaard niet aan.
Dit probleem is gerepareerd in OpenSSH 2.1.1.
- OpenSSH was nooit kwetsbaar voor de
"Feb 5, 2001: SSH-1 Brute Force Password Vulnerability",
Crimelabs Security Note CLABS200101.
- OpenSSH was niet kwetsbaar voor de RC4 cipher
"password cracking",
"replay" of
"modification"
aanvallen. Toen OpenSSH begon, was reeds bekend
dat SSH 1 het RC4-stroomcijfer verkeerd gebruikte en
daarom werd ondersteuning voor RC4 verwijderd.
- OpenSSH was niet kwetsbaar voor
"client forwarding" aanvallen
in onversleutelde verbindingen aangezien ondersteuning voor onversleutelde
verbindingen tijdens de start van het OpenSSH project verwijderd is.
- OpenSSH was niet kwetsbaar voor de IDEA-encryptiealgoritme
"attacks on the last packet",
aangezien het IDEA-algoritme niet ondersteund wordt. De status van het
patent op IDEA maakt het ongeschikt voor gebruik in OpenSSH.
- OpenSSH sluit localhost niet uit van "host key checking"
en is daarom niet kwetsbaar voor de
"host key authentication bypass"
aanval.
- OpenSSH was niet kwetsbaar voor
"uncontrollable X11 forwarding"
aanvallen omdat X11-forwarding standaard niet aan staat en de gebruiker het
uit kan zetten.
- OpenSSH heeft de SSH 1 protocol onvolkomenheid die een "insertion attack"
moeilijk maar mogelijk maakt. Het CORE-SDI
"deattack" mechanisme
wordt gebruikt om de normale voorvallen te elimineren. Er wordt naar
manieren gezocht om dit probleem op te lossen, aangezien het SSH 1 protocol
nog niet dood is.
www@openbsd.org
$OpenBSD: security.html,v 1.15 2009/02/24 10:23:35 tobias Exp $