Dem Forscherteam von Qualys ist es gelungen, eine ältere Sicherheitslücke in OpenSSH, die schon eigentlich längst geschlossen war, erneut auszunutzen. Die neue Lücke wird als CVE-2024-6387 geführt und ist deswegen brisant, weil Sie bei Erfolg dem Angreifer Root-Rechte ohne vorherige Authentifizierung ermöglicht. Die nötigen Bedingungen für ein Ausnutzen der Lücke sind allerdings nicht ganz trivial.

Die gesamte Erläuterung der Sicherheitslücke ist im Bericht von Qualys umfangreich erläutert wollen. Wenn wir es schaffen, werden wir diesen schon Mittwoch im Risikozone-Podcast detaillierter erläutern.

So viel sei gesagt: die Lücke existierte schon mal als CVE-2006-5051, wurde dann gefixt und konnte jetzt (erstmals) ausgenutzt werden, da der eigentlich kritische Teil 2020 wieder versehentlich eingebaut wurde. Der Fehler selber baut darauf, dass syslog() zur Protokollierung asynchron aufgerufen wird, obwohl die Funktion nicht "async-signal-safe" ist. Kann ein Angreifer Timingeigenschaften ausnutzen, wird er in die Lage versetzt, Code einzuschleusen, der in einem privilegierten Teil von OpenSSH ausgeführt wird. Der Zeitaufwand ist allerdings hierfür nicht zu unterschätzen, da das Codefragment nur bei einem Verbindungstimeout aufgerufen wird.

Es ist gemäß des Qualys-Berichtes hervorzuheben:

• Die OpenSSH-Versionen vor 4.4p1 (2006) sind angreifbar, sofern sie nicht explizit gepatcht wurden.
• Die OpenSSH-Versionen zwischen 4.4p1 und 8.5p1 (2021) hatten nicht den besagten Code drin.
• Die OpenSSH-Versionen ab 8.5p1 hatten den Code wieder drin.
• Mit OpenSSH 9.8p1 wurde die Lücke gepatcht.

Mit anderen Worten: abhängig von eurem System ist die Schwachstelle vorhanden, weswegen ihr in eure Distribution schauen solltet, ob es Updates gibt.

OpenSSH ist nichtsdestotrotz im Hinblick auf seine Rolle und Exposition eines der sichersten Programme der Welt. Die Software ist ein sehr stringent abgesicherter Dienst, der u. a. auf Sandboxing-Mechansimen setzt, um den Umfang der Codesegmente, die als root ausgeführt werden, gering zu halten. Diese Lücke ist eine der seltenen Situationen, in der trotzdem ein Security-Bug vorhanden ist. Dabei ist eine Ausnutzung vergleichsweise aufwändig.

Sommer, Sonne, Fediverse. Bereits zum 3. Mal findet das Fedicamp in Gedelitz statt. Was ist so besonders an dem freien Netzwerk, dass sich jedes Jahr Menschen nicht nur online sondern auch offline treffen und ihren Urlaub miteinander verbringen?

Die OpenEU-Allianz bringt 14 Universitäten und 13 akademische, wirtschaftliche, ländliche, kommunale und zivilgesellschaftliche Verbände aus Europa zusammen, um eine paneuropäische offene…

Ab sofort hat Debian 10 LTS alias Buster das End of Life (EoL) erreicht. Buster ist im Juli 2019 erschienen. Schon 2022 war Debian 10 vom LTS-Team übernommen worden.

Die Raspberry Pi Foundation bietet mit Raspberry Pi Connect Zugriff über den Browser. Die aktuelle Beta-Version erweitert den Dienst auf alle Raspberry Pi-Modelle.

Quelle

Das Firefox Add-on Enterprise Policy Generator hilft Administratoren, Firefox über eine Konfigurationsdatei zu konfigurieren. Die Version 6.0.0 bringt neue Funktionen.

Ein Kurztest des auf der Engine Webkit basierten Browsers GNOME Web. Taugt er als Firefox-Ersatz?

Europe needs Free Software to master its digital infrastructure

The FSFE calls upon the European Commission to use Free Software to ensure a secure and resilient digital infrastructure. Software freedom will also benefit the economy, civil society and democracy.

The Free Software Foundation Europe (FSFE) provided last evening its input to the European Commission's consultation on the white paper "How to master Europe’s digital infrastructure needs?". As an advocate for software freedom, the FSFE underscores the crucial role of Free Software in building secure and resilient digital infrastructure for Europe while strengthening economy, democracy and civil society alike.

Challenges around digital infrastructure occur at global, regional and local levels, often revolving around control and access. Collaboration and openness are playing just as important role as the capability and skills to swiftly and effectively fix issues. Challenges addressed by the White paper could be addressed by redirecting IT investments in software freedom instead of procuring closed source, proprietary software. This approach not only boosts the European IT landscape and creates jobs but also saves costs and resources in the medium and long term by avoiding the need to repeatedly reinvent the the wheel.

“The European digital infrastructure, the European tech market, the IT skills of Europeans and civil society would greatly benefit if investments in software adhered to the principle of “Public money? Public Code!” We need software that fosters the sharing of good ideas and solutions. Like this we will be able to manage and improve IT services and digital infrastructure all over Europe. We need software that guarantees freedom of choice, access, and competition. We need software that helps public administrations regain full control of their critical digital infrastructure, allowing them to become and remain independent from a handful of companies. Therefore, laws and programs are needed, that publicly financed software developed for public sector must be made publicly available under a Free Software licence. Investment in the Free Software ecosystem will pay off quickly while strengthening Europe infrastructure, economy, democracy and civil society alike.” , demands Alexander Sander, FSFE’s Senior Policy Consultant.

The "Public Money? Public Code!" initiative aims to establish Free Software as the standard for publicly funded software. The "Public Money? Public Code!" initiative of the Free Software Foundation Europe is supported by over 200 organizations and administrations.

Support FSFE

Die Macher des Vivaldi-Browsers entziehen sich dem Hype um KI und werden derzeit keine Large Language Models in den Browser einbauen.

Quelle

Total verrückte Zeiten! Während Canonical kürzlich den Support für Ubuntu LTS via Ubuntu Pro auf 12 Jahre insgesamt ausdehnte, kontert SUSE nun und macht einen dicken fetten grünen Strich durch die Rechnung. Denn künftig werden SUSE Linux Enterprise (SLE) – Produkte insgesamt 19 Jahre lang unterstützt. Den längsten LTS Supportzeitraum gibts bei SUSE Die derzeit […]

Der Beitrag SUSE Linux Enterprise: Künftig 19 Jahre LTS Support erschien zuerst auf fosstopia.