[LUGOS-SEC] OpenSSH vulnerable (again)

[Borut Mrak]

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

On Tuesday 25 June 2002 14:43, you wrote:
> > > omeniti je treba, da 3.3 se vedno vsebuje ta bugic, ki ga bojo
> > > objavili naslednji teden. Da se pa to obit tako, da se uporabi
> > > privilege separation.
>
> http://docs.freebsd.org/cgi/getmsg.cgi?fetch=255989+0+current/freebsd-secur
>ity
>
> uh oh ... komu zdej verjeti ...

Jaz sem malo pogooglal za tem Michaelom Richardsom in nisem nasel kaj 
izjemnega...zgleda da je nekaj debugiral postgres in se nekaj malenkosti...

Theo de Raadt je mogoce res zajeban in ima prenapihnjen ego, ampak nekako
bolj zaupam njemu kot pa nekomu, za katerega ni videt da bi ze naredil kaj
posebej pomembnega, security-wise.

> najboljs da gremo nazaj na telnet in one time password. :/

hehe...BTW privilege separation pokvari keyboard-interactive podporo, torej
pam_opie skozi ssh ne dela vec. Pravzaprav cel PAM bolj ali manj ne dela. Na 
eni masini kjer sem imel keyboard-interactive in disablan password auth sem
imel malo problemov...na sreco sem preizkusil ce vse dela preden sem se 
odlogiral.

Anyway, jaz imam na omrezju tocno eno masino, na kateri je SSH odprt vec kot 
za par IP-jev...the only sensible thing to do.

lp,

- -- 
Borut
b at aufbix.org
- ------------
<Cha0S> Jerovsek sux ;->
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.0.6 (GNU/Linux)
Comment: For info see http://www.gnupg.org

iEYEARECAAYFAj0Yi/MACgkQRUVvbWYRhIJiiACgz76qdCDZ4pulmHx8Xld0rpV4
6R0An01Tg7b2vY54vhGyicu+SofL9gKq
=3Tjl
-----END PGP SIGNATURE-----