Menéame: comentarios [2545487]

#31 Grave vulnerabilidad en el cliente de OpenSSH (CVE-2016-0777, CVE-2016-0778)

--504295-- — Fri, 15 Jan 2016 14:08:37 +0000

#2 A mi también me sale . Eso si que es rapidez.

» autor: --504295--

#30 Grave vulnerabilidad en el cliente de OpenSSH (CVE-2016-0777, CVE-2016-0778)

--231265-- — Fri, 15 Jan 2016 12:50:09 +0000

#26 Microsoft Windows

winscp.net/eng/docs/guide_windows_openssh_server

github.com/PowerShell/Win32-OpenSSH/releases/

» autor: --231265--

#29 Grave vulnerabilidad en el cliente de OpenSSH (CVE-2016-0777, CVE-2016-0778)

Nathaniel.Maris — Fri, 15 Jan 2016 11:53:17 +0000

#26 Mi debian de casa aunque ya está parcheado.

» autor: Nathaniel.Maris

#28 Grave vulnerabilidad en el cliente de OpenSSH (CVE-2016-0777, CVE-2016-0778)

--502633-- — Fri, 15 Jan 2016 10:20:53 +0000

#26 MacOS X lo usa.

» autor: --502633--

#27 Grave vulnerabilidad en el cliente de OpenSSH (CVE-2016-0777, CVE-2016-0778)

yemeth — Fri, 15 Jan 2016 09:08:00 +0000

Jo, yo pensando que iba a ser una mañana complicada y era un exploit de cliente y se apaña con una línea de configuración.

Pero me encanta eso de encontrarme los fallos de seguridad serios en la misma web donde leo las noticias de política

» autor: yemeth

#26 Grave vulnerabilidad en el cliente de OpenSSH (CVE-2016-0777, CVE-2016-0778)

--354299-- — Fri, 15 Jan 2016 08:54:58 +0000

¿Qué SSOO usan OpenSSH?

» autor: --354299--

#25 Grave vulnerabilidad en el cliente de OpenSSH (CVE-2016-0777, CVE-2016-0778)

anv — Fri, 15 Jan 2016 08:02:23 +0000

#7 Claro. Pero a no ser que estés conectándote a servidores poco confiables, es difícil que te afecte.

» autor: anv

#24 Grave vulnerabilidad en el cliente de OpenSSH (CVE-2016-0777, CVE-2016-0778)

anv — Fri, 15 Jan 2016 08:01:19 +0000

Para tranquilizar a la gente: el problema está en el cliente, no en el servidor. Y sólo es explotable si el cliente se conecta a un servidor mailicioso. O sea que no hace falta correr a ajustar la configuración de todos los servidores.

» autor: anv

#23 Grave vulnerabilidad en el cliente de OpenSSH (CVE-2016-0777, CVE-2016-0778)

xkill — Fri, 15 Jan 2016 07:57:17 +0000

Resumen para vagos:
A. Un servidor malicioso podría llegar a robarte la clave privada de SSH por culpa del roaming del cliente: solución desactivarlo o actualizar el cliente.
B. Un servidor malicioso podría ejecutar código en tu máquina pero la conexión tiene que usar ProxyComand y ForwardAgent o ForwardX11. Cosa un tanto enrevesada.

Por el momento no hay exploits publicados.

» autor: xkill

#22 Grave vulnerabilidad en el cliente de OpenSSH (CVE-2016-0777, CVE-2016-0778)

deabru — Fri, 15 Jan 2016 07:51:17 +0000

#4 se necesita que el cliente haga uso de esa función y que el servidor esté comprometido. Es serio, como dice #7, pero dentro de una organización debería estar contenido.

» autor: deabru

#21 Grave vulnerabilidad en el cliente de OpenSSH (CVE-2016-0777, CVE-2016-0778)

Penetrator — Fri, 15 Jan 2016 07:45:11 +0000

#12 Theo de Raadt, fundador de OpenBSD y uno de los creadores de OpenSSH: en.wikipedia.org/wiki/Theo_de_Raadt

» autor: Penetrator

#20 Grave vulnerabilidad en el cliente de OpenSSH (CVE-2016-0777, CVE-2016-0778)

oohay — Fri, 15 Jan 2016 07:43:11 +0000

#12 es.wikipedia.org/wiki/Theo_de_Raadt

» autor: oohay

#19 Grave vulnerabilidad en el cliente de OpenSSH (CVE-2016-0777, CVE-2016-0778)

AlbertoPiO — Fri, 15 Jan 2016 07:31:54 +0000

#18 El otro día leí a uno por aquí que se atrevió a afirmar que windows es el sistema más seguro que existía... Claro está que si esperar meses a que micro$osft solucione el agujero es muy fiable. Por estas cosas me gusta el software libre.

» autor: AlbertoPiO

#18 Grave vulnerabilidad en el cliente de OpenSSH (CVE-2016-0777, CVE-2016-0778)

--301232-- — Fri, 15 Jan 2016 07:21:49 +0000

#2 Leído hace dos minutos y descubierto hace dos o tres días. Igualito que windows, que no ha tenido el fallo, y que se actualiza semanalmente.

» autor: --301232--

#17 Grave vulnerabilidad en el cliente de OpenSSH (CVE-2016-0777, CVE-2016-0778)

--491879-- — Fri, 15 Jan 2016 05:48:28 +0000

#5 que si te conectas por consola de comandos a un servidor chungo te pueden robar las contraseñas de otros servidores. Lo más simplificado posible.

» autor: --491879--

#16 Grave vulnerabilidad en el cliente de OpenSSH (CVE-2016-0777, CVE-2016-0778)

peligrogitano — Fri, 15 Jan 2016 05:38:42 +0000

#15 (Sin entrar en que SIGKILL es la unica señal que SI fuerza la terminación de un proceso )

» autor: peligrogitano

#15 Grave vulnerabilidad en el cliente de OpenSSH (CVE-2016-0777, CVE-2016-0778)

peligrogitano — Fri, 15 Jan 2016 05:29:34 +0000

#14 Leer tampoco es lo tuyo. El propio titulo de la noticia dice que manda un SIGABRT.

» autor: peligrogitano

#14 Grave vulnerabilidad en el cliente de OpenSSH (CVE-2016-0777, CVE-2016-0778)

--125581-- — Fri, 15 Jan 2016 04:54:28 +0000

#13 Estaba sopa >_<

OpenBSD es muy estricto, prima la seguridad y estabilidad por encima de todo, incluso la velocidad.

De hecho han creado la función pledge() para que solo pueda acceder a según qué llamadas del sistema y en caso de que lo intente en los demás por algún intento de exploit, "casque" (es más bien un cierre forzado, la señal para matar un programa es SIGKILL).

A process which attempts a restricted operation is killed with an uncatchable SIGABRT, delivering a core file if possible.

www.openbsd.org/cgi-bin/man.cgi/OpenBSD-current/man2/pledge.2

» autor: --125581--

#13 Grave vulnerabilidad en el cliente de OpenSSH (CVE-2016-0777, CVE-2016-0778)

--471550-- — Fri, 15 Jan 2016 04:48:27 +0000

Theo de Raadt¹, fundador de OpenBSD y OpenSSH, y el mismo que anuncia originalmente esta vulnerabilidad en la lista de correos. Es famoso por ser exigente en el manejo del software y la comunidad alrededor, de este enfoque se ha derivado la fama de OpenBSD como un sistema "seguro". Para que te hagas a la idea, Linus Torvalds lo ha descrito como una persona dificil de tratar, me imagino que este chiste no debio agradarle mucho.

Tenia entendido que los procesos para aceptar codigo en OpenBSD eran muy estrictos, hasta llegar al punto de limitar el hardware soportado en este SO. Tal vez las cosas han cambiado, tal vez ha sido causa de un descuido. Creo que @Ander_ esta mas enterado sobre esta comunidad.

1: en.wikipedia.org/wiki/Theo_de_Raadt

» autor: --471550--

#12 Grave vulnerabilidad en el cliente de OpenSSH (CVE-2016-0777, CVE-2016-0778)

capitan__nemo — Fri, 15 Jan 2016 04:28:23 +0000

#10 ¿Quien es "Theo" me he perdido con eso?

Lo que si veo luego es que el parche o codigo debia ser auditado. No sé en qué consiste esa auditoria o pruebas de calidad para aceptar un parche en la rama main y en la versión release.

"It's not in the patch which was mentioned on this list. I don't want it
to be a moving target so I'm not going to add any features to it until
it's been audited and accepted. But please feel free to enhance it and
it can be added when/if this patch is committed.
/Andreas"

Quizas este bug debería servir para revisar esos procesos o procedimientos de auditoria.

» autor: capitan__nemo

#11 Grave vulnerabilidad en el cliente de OpenSSH (CVE-2016-0777, CVE-2016-0778)

Jakeukalane — Fri, 15 Jan 2016 03:52:30 +0000

Woah, super interesante para aprender nuevas cosas.

Por cierto, ¿esto tiene algo que ver con la revisión de seguridad que OpenBSD empezó con LibreSSL (desde OpenSSL) o con el dinero nuevo destinado a aplicaciones fundamentales de seguridad de Google, Linux Foundation etc?

» autor: Jakeukalane

#10 Grave vulnerabilidad en el cliente de OpenSSH (CVE-2016-0777, CVE-2016-0778)

--471550-- — Fri, 15 Jan 2016 03:30:22 +0000

#6 www.gossamer-threads.com/lists/openssh/dev/49018?do=post_view_threaded

Curioso ver el mensaje con el workaround de Theo prometiendo mas informacion. Seguramente estaba demasiado enojado como para escribir algo mas.

» autor: --471550--

#9 Grave vulnerabilidad en el cliente de OpenSSH (CVE-2016-0777, CVE-2016-0778)

capitan__nemo — Fri, 15 Jan 2016 02:05:59 +0000

#8 Es completamente factible, despues de historias como estas.

Juniper descubre un backdoor en sus firewalls ScreenOS
www.meneame.net/story/juniper-descubre-backdoor-firewalls-screenos

Researchers Solve Juniper Backdoor Mystery; Signs Point to NSA
www.meneame.net/m/news/researchers-solve-juniper-backdoor-mystery-sign

» autor: capitan__nemo

#8 Grave vulnerabilidad en el cliente de OpenSSH (CVE-2016-0777, CVE-2016-0778)

--44542-- — Fri, 15 Jan 2016 01:58:09 +0000

» autor: --44542--

#7 Grave vulnerabilidad en el cliente de OpenSSH (CVE-2016-0777, CVE-2016-0778)

pax0r — Fri, 15 Jan 2016 01:57:15 +0000

#4 grave es. es un information leak. un atacante puede robar la private key, lo que no es un exploit de ./lala y padentro

» autor: pax0r

#6 Grave vulnerabilidad en el cliente de OpenSSH (CVE-2016-0777, CVE-2016-0778)

capitan__nemo — Fri, 15 Jan 2016 01:56:33 +0000

¿Desde cuando conocía esta vulnerabilidad la nsa?
¿El olvido de incluir esta funcionalidad que no habia sido "activada" en el codigo del server, es accidental?
¿Hay registros de quienes exactamente hicieron los commit de estos asuntos?
¿Quizás les suplantaron?

» autor: capitan__nemo

#5 Grave vulnerabilidad en el cliente de OpenSSH (CVE-2016-0777, CVE-2016-0778)

--165145-- — Fri, 15 Jan 2016 01:49:07 +0000

¿Puede traducir alguien la noticia? A castellano entendible a poder ser.

» autor: --165145--

#4 Grave vulnerabilidad en el cliente de OpenSSH (CVE-2016-0777, CVE-2016-0778)

--502633-- — Fri, 15 Jan 2016 01:44:01 +0000

No parece tan grave si es un fallo en el cliente. Que susto

» autor: --502633--

#3 Grave vulnerabilidad en el cliente de OpenSSH (CVE-2016-0777, CVE-2016-0778)

thingoldedoriath — Fri, 15 Jan 2016 01:38:39 +0000

#2 En una Mint LTS que tengo instalada se actualizó ayer sobre las tres de la madrugada A esta misma versión que pones en la imagen.

» autor: thingoldedoriath

#2 Grave vulnerabilidad en el cliente de OpenSSH (CVE-2016-0777, CVE-2016-0778)

joancarrio — Thu, 14 Jan 2016 20:05:57 +0000

Leído hace dos minutos y tachan, ya están actualizándolo. Igualito que el windows.

» autor: joancarrio

#1 Grave vulnerabilidad en el cliente de OpenSSH (CVE-2016-0777, CVE-2016-0778)

juliander — Thu, 14 Jan 2016 18:14:13 +0000

OpenSSH con Roaming?
Sigo siendo aprendiz!

» autor: juliander