openssl

NetBSD SA2010-012 i -013 czyli OpenSSL TLS race condition i UDP6 DoS

29 października światło dzienne ujrzały dwa nowe SA:

  • NetBSD SA 2010-012
    Luka opisana w CVE-2010-3864 została znaleziona w OpenSSL i umożliwa przeprowadzenie ataku DoS lub wykorzystanie w celu uruchomienia kodu poprzez przepełnienie bufora. Luka ta nie stwarza zagrożenia ani serwerowi HTTP Apache, ani też innym demonom dostarczonym wraz z NetBSD. Podatne wersje to: 5.0, 5.0.*, 5.1, -current sprzed 18 listopada 2010, a także paczka pkgsrc starsza niż 0.9.8p. Pełny opis oraz instrukcja łatania pod adresem: http://ftp.netbsd.org/pub/NetBSD/security/advisories/NetBSD-SA2010-012.txt.asc (j. ang.)
  • NetBSD SA 2010-013
    Funkcja udp6_output() niepoprawnie zarządza parametrami, przez co umożliwia lokalnemu użytkownikowi zawieszenie systemu poprzez wysłanie odpowiednio spreparowanego datagramu UDP6. Błąd dotyczy wyłącznie systemów skompilowanych z opcją INET6 w jądrze. Podatne wersje to: 4.0, 4.0.*, 5.0, 5.0.* oraz -current sprzed 15 lipca 2010. Pełny opis oraz instrukcja łatania pod adresem: http://ftp.netbsd.org/pub/NetBSD/security/advisories/NetBSD-SA2010-013.txt.asc (j. ang.)

Łatajcie swoje systemy.

Podsumowanie września/października, czyli nowy deweloper i garść SA.

Z powodu braku czasu jesteśmy troszkę w tyle z aktualnościami ze świata NetBSD i należy to nadrobić, więc informujemy iż 1 października 2010 do projektu NetBSD dołączył nowy deweloper, Zoltan Arnold NAGY (login: zoltan), który będzie pracował nad bootloader’em, biblioteką libsa, oraz środowiskiem sieciowym. Oprócz tego (jakby ktoś przeoczył) ukazały się następujące luki bezpieczeństwa:

Należy pamiętać iż wersje NetBSD starsze niż 4.0 nie są wspierane. To by było na tyle, łatajcie swoje systemy ;)

NetBSD 3.1 RC4

www.netbsd.org/Changes/#netbsd-3-1-rc4-available

Więcej szczegółów można znaleźć w postingu Geerta Hendrickxa (po ang.), m. in. informację, że w wydaniu tym będą naprawione odkryte niedawno problemy w OpenSSL. Podane są też adresy, pod którymi udostępniono binaria, ISO oraz oczywiście źródła.
Dla pragnących skorzystać z cvs odpowiednim tagiem jest „netbsd-3-1-RC4″.

Adres postingu:
http://mail-index.netbsd.org/netbsd-announce/2006/10/12/0000.html

Wersja 3.1 ”Release” i aktualizacja 3.0.2 spodziewane są pod koniec miesiąca.