Re: вы уже обновили openssh? (-)

Maverick-I

Если у меня 2.9 - я дурак, да?

abrek

посчитай, сколько рутов у тебя там

Maverick-I

Два. Это много?

abrek

это те, которых ты знаешь
а на самом деле - больше

Maverick-I

По-моему, ты хочешь меня обмануть.

ruler

У меня - 3.6.1p2.
Хуй знает, насколько это круто.

Maverick-I

Так у меня на хостинг-машинке.
Правда, ещё ни разу не похачили.

victory_dream

аналогично
и что из этого следует?
это хуйово?

eee1

у меня 3.6.1p1 for win

victory_dream

всё пиздец бля
тебя поломают
ставь 3.7
http://www.linux.org.ru/view-message.jsp?msgid=387101&scroll=section&back=index.jsp

eee1

не надо - нужен только патч:

 

Subject: OpenSSH Security Advisory: buffer.adv

This is the 1st revision of the Advisory.

This document can be found at:  http://www.openssh.com/txt/buffer.adv

1. Versions affected:

        All versions of OpenSSH's sshd prior to 3.7 contain a buffer

        management error.  It is uncertain whether this error is

        potentially exploitable, however, we prefer to see bugs

        fixed proactively.

2. Solution:

	Upgrade to OpenSSH 3.7 or apply the following patch.

Appendix:

Index: buffer.c

===================================================================

RCS file: /cvs/src/usr.bin/ssh/buffer.c,v

retrieving revision 1.16

retrieving revision 1.17

diff -u -r1.16 -r1.17

--- buffer.c	26 Jun 2002 08:54:18 -0000	1.16

+++ buffer.c	16 Sep 2003 03:03:47 -0000	1.17

@@ -69,6 +69,7 @@

 void *

 buffer_append_space(Buffer *buffer, u_int len)

 {

+	u_int newlen;

 	void *p;

 

 	if (len > 0x100000)

@@ -98,11 +99,13 @@

 		goto restart;

 	}

 	/* Increase the size of the buffer and retry. */

-	buffer->alloc += len + 32768;

-	if (buffer->alloc > 0xa00000)

+	

+	newlen = buffer->alloc + len + 32768;

+	if (newlen > 0xa00000)

 		fatal("buffer_append_space: alloc %u not supported",

-		    buffer->alloc);

-	buffer->buf = xrealloc(buffer->buf, buffer->alloc);

+		    newlen);

+	buffer->buf = xrealloc(buffer->buf, newlen);

+	buffer->alloc = newlen;

 	goto restart;

 	/* NOTREACHED */

 }

---

Schneeprinz

А как узнать версию установленного OpenSSH ?

eee1

telnet <ip> 22

Maverick-I

ssh -V

eee1

неа - ssh это клиент

Maverick-I

Тоже верно.

tokuchu

> неа - ssh это клиент
Но он вместе с сервером! И версия у них одинаковая.

eee1

а вдруг у меня только ssh-клиент?

Coffin

лучше ставить из update соответствующего дистрибутива, чтобы не запариваться с пересборкой и прочими делами,
для Debian stable апдейт тут:
http://security.debian.org/pool/updates/main/o/openssh/ssh_3.4p1-1.1_i386.deb

tokuchu

Если у тебя только клиент, то сервера ssh у тебя нету и версии у него не может быть тем более.

ppplva

Для unstable бага исправлена в
ssh-3.6.1p2-7

eee1

не верно! у меня сейчас sshd 3.7p1-1, но ssh-клиент как раньше 3.6

telnet it 22
SSH-2.0-OpenSSH_3.7p1
Protocol mismatch.
Connection to host lost.
c:\dos\nmap>ssh -V
OpenSSH_3.6.1p1, SSH protocols 1.5/2.0, OpenSSL 0x0090701f

tokuchu

Ну если весь пакет обновлять - то там всё вместе идёт. Если ты лично извращаешься, то меня это не волнует.

Asgard

1) Версии ssh и sshd могут быть разными
2) То что выдает telnet localhost 22 может не соответствовать действительности

tokuchu

> То что выдает telnet localhost 22 может не соответствовать действительности
Да, вообще говоря, и для "ssh -V" это тоже верно.