Debian セキュリティ勧告

DSA-086-1 ssh-nonfree -- リモートからのルート権限奪取

報告日時:
2001-11-13
影響を受けるパッケージ:
ssh-nonfree, ssh-socks
危険性:
あり
参考セキュリティデータベース:
Mitre の CVE 辞書: CVE-2001-0361.
詳細:

「SSH CRC-32補正攻撃検出の脆弱性」が盛んに攻撃されているという報告を 受けています。これは、以前 DSA-027-1 において修正された、整数演算の 問題と同様のものです。 OpenSSH (Debian の ssh パッケージ) はその時に修正されましたが、 ssh-nonfree と ssh-socks は修正されていませんでした。

アーカイブの non-free セクションのパッケージは Debian プロジェクトでは 公式にサポートされていませんが、今回は OpenSSH に移行していない ユーザのために、特別に ssh-nonfree/ssh-socks のアップデートされた パッケージをリリースするという措置をとることにします。 ただし、常にサポートされ、DFSG (Debian ソフトウェアガイドライン) 上フリーな "ssh" (OpenSSH) に早急に移行することが推奨されます。 Debian 2.2r4 で利用できる OpenSSH パッケージ は、ssh 1.2.3-9.3 です。

修正された ssh-nonfree/ssh-socks パッケージは、Debian 2.2 (potato) 用にはバージョン 1.2.27-6.2 および Debian 開発版/試験版用には バージョン 1.2.27-8 があります。 新しい ssh-nonfree/ssh-socks パッケージは setuid ビットを ssh バイナリ から落とすため、rhosts-rsa 認証が行えなくなることにご注意ください。 この機能が必要な場合には、パッケージをインストールしてから

chmod u+s /usr/bin/ssh1

を実行してください。

修正:

Debian GNU/Linux 2.2 (potato)

ソース:
http://security.debian.org/dists/potato/updates/non-free/source/ssh-nonfree_1.2.27-6.2.diff.gz
http://security.debian.org/dists/potato/updates/non-free/source/ssh-nonfree_1.2.27-6.2.dsc
http://security.debian.org/dists/potato/updates/non-free/source/ssh-nonfree_1.2.27.orig.tar.gz
Alpha:
http://security.debian.org/dists/potato/updates/non-free/binary-alpha/ssh-askpass-nonfree_1.2.27-6.2_alpha.deb
http://security.debian.org/dists/potato/updates/non-free/binary-alpha/ssh-nonfree_1.2.27-6.2_alpha.deb
http://security.debian.org/dists/potato/updates/non-free/binary-alpha/ssh-socks_1.2.27-6.2_alpha.deb
ARM: Not yet available
Intel ia32:
http://security.debian.org/dists/potato/updates/non-free/binary-i386/ssh-askpass-nonfree_1.2.27-6.2_i386.deb
http://security.debian.org/dists/potato/updates/non-free/binary-i386/ssh-nonfree_1.2.27-6.2_i386.deb
http://security.debian.org/dists/potato/updates/non-free/binary-i386/ssh-socks_1.2.27-6.2_i386.deb
Motorola M680x0:
http://security.debian.org/dists/potato/updates/non-free/binary-m68k/ssh-askpass-nonfree_1.2.27-6.2_m68k.deb
http://security.debian.org/dists/potato/updates/non-free/binary-m68k/ssh-nonfree_1.2.27-6.2_m68k.deb
http://security.debian.org/dists/potato/updates/non-free/binary-m68k/ssh-socks_1.2.27-6.2_m68k.deb
PowerPC:
http://security.debian.org/dists/potato/updates/non-free/binary-powerpc/ssh-askpass-nonfree_1.2.27-6.2_powerpc.deb
http://security.debian.org/dists/potato/updates/non-free/binary-powerpc/ssh-nonfree_1.2.27-6.2_powerpc.deb
http://security.debian.org/dists/potato/updates/non-free/binary-powerpc/ssh-socks_1.2.27-6.2_powerpc.deb
Sun Sparc:
http://security.debian.org/dists/potato/updates/non-free/binary-sparc/ssh-askpass-nonfree_1.2.27-6.2_sparc.deb
http://security.debian.org/dists/potato/updates/non-free/binary-sparc/ssh-nonfree_1.2.27-6.2_sparc.deb
http://security.debian.org/dists/potato/updates/non-free/binary-sparc/ssh-socks_1.2.27-6.2_sparc.deb

一覧にあるファイルの MD5 チェックサムは勧告の原文にあります。