Fehler in Secure Shell schnell behoben

Schnell reagiert haben die Entwickler von OpenSSH auf einen vor zwei Tagen bekannt gewordenen Sicherheitsmangel in der Software. Betroffen sind alle Versionen von 2.3.2p2 bis 3.3. Die Security-Firma ISS hatte auf zwei mit einem Fehler in der ChallengeResponse-Authentifizierung zusammenhängende mögliche Exploits in der Open-Source-Secure Shell hingewiesen. Diese ermöglichten einem Hacker aus der Ferne mittels eines Buffer-Overflows die Ausführung von Code auf dem betreffenden Server. Mit OpenSSH 3.4 legen die Entwickler nun in Zusammenarbeit mit ISS einen Patch vor, der diese Mängel beheben soll. Wessen Konfiguration es erlaubt, der soll zusätzlich die Funktion Privilege Separated OpenSSH aktivieren. Dieses Feature steht seit Version 3.3 zur Verfügung. Weitere Massnahmen gegen das Sicherheitsleck schlägt CERT auf seiner Website vor. Diese umfassen unter anderem die Beschränkung auf die SSH-Protokollversion 1 oder die Deaktivierung der ChallengeResponse-Authentifizierung.