Säkerhetsinformation / 2002 / Säkerhetsinformation -- DSA-119-1 ssh

Säkerhetsbulletin från Debian

DSA-119-1 ssh -- lokalt roothål, fjärrklienthål

Rapporterat den:

2002-03-07

Berörda paket:

ssh

Sårbara:

Nej

Referenser i säkerhetsdatabaser:

I Bugtraq-databasen (hos SecurityFocus): BugTraq-id 4241.
I Mitres CVE-förteckning: CVE-2002-0083.

Ytterligare information:

Joost Pol rapporterar att OpenSSH i versioner mellan 2.0 och 3.0.2 har ett stegfel i kanalallokeringskoden. Denna sårbarhet kan utnyttjas av autentiserade användare för att uppnå root-behörighet eller av en illvillig server som utnyttjar en klient med detta fel.

Eftersom Debian 2.2 (potato) innehåller OpenSSH (paketet ”ssh”) version 1.2.3 är den inte sårbar för detta problem. Ingen rättelse behövs för Debian 2.2 (potato).

Debians instabila och uttestningsarkiv innehåller ett nyare OpenSSH-paket (ssh). Om du kör dessa förhandsutgåvor bör du försäkra dig om att du kör version 3.0.2p1-8, en patchad version som lades till den instabila versionen idag, eller en senare version.