Bienvenue visiteur (Inscription |  Connexion)
Qui est en ligne ?
Il y a : 15 utilisateurs en ligne, consultez le détail

Forum » Logiciels » alerte securité OpenSSL sur Debian et consorts

 Forum modéré par : Ascodas

| Même auteur

Score ( voter ) :
Page : [1]
Auteur Message
nabusco
#0 Message posté le : 13-05-2008 à 21:11:03


Scarabée


Forum : Inscrit
Association :
Arrivé(e) le : 14-03-2005
Nombre de messages : 382
 Grosse bourde du packageur d'openSSL pour celui-çi lors du calcul de la génération d'un nombre aléatoire le resultat donne un nombre prévisible, donc cela le fait pas pour la crypto et les clés.

Distros affectées Debian etch , lenny et sid je sais pas-, Ubuntu versions 7.04, 7.10, 8.04 LTS
et probable mépis knoppix et en plus sur toutes plateformes.

Donc il vous faudra régénerer les clés et certificats pour SSH keys, OpenVPN keys, DNSSEC keys, et key X.509 certificats et session de connections SSL/TLS - c'est pas rien quand même-.

Cela n'affecte pas GnuPG ou GNUTLS.

Voila faire un update dist-upgrade de votre distro, cela risque de ramer côté serveur.
Pour les serveurs en prod vaut mieux attendre les versions signés.

J'aimerais pas être à la place du mainteneur.

Source: http://lists.debian.org/debian-security-announce/2008/msg00152.html

http://www.ubuntu.com/usn/usn-612-2
http://www.ubuntu.com/usn/usn-612-1

Pour le buzz: http://linuxfr.org/~snt/26611.html

a++

--Message édité par nabusco le 13-05-2008 à 21:20:14--
tonton nestor
#1 Message posté le : 14-05-2008 à 01:18:12


Maître Jedi


Forum : Inscrit
Association :
Arrivé(e) le : 16-01-2003
Nombre de messages : 8931
 Même si je ne suis pas directement concerné, et même indirectement d'ailleurs, sympa de relayer l'information.
stanislas
#2 Message posté le : 14-05-2008 à 12:16:29


Jedi


Forum : Administrateur
Association : Membre fondateur
Arrivé(e) le : 08-05-2003
Nombre de messages : 4286
 J'ai fait une mise à jour de ma Debian ce matin, avec des paquets concernant SSL, ça a réglé le problème, à en croire le wiki : http://wiki.debian.org/SSLkeys .

-------------------------------------
Quand le dernier arbre aura été abattu, et le dernier animal exterminé, les hommes se rendront compte que l'argent ne se mange pas.
nabusco
#3 Message posté le : 14-05-2008 à 14:21:44


Scarabée


Forum : Inscrit
Association :
Arrivé(e) le : 14-03-2005
Nombre de messages : 382
 hello,

Précision d'importance :
si votre serveur est en accès qu'avec ssh vos clefs seront apparement désactivées- aprés l'upgrade vous ne pourrez plus vous loguer si les options d'authentification du m-d-p ne sont pas réglé (Options PasswordAuthentication et UsePAM) mais cela dépend aussi du réglage par défaut de la distro. Prenez vos précautions si le serveur est "trés" distant et seulement "sshable".

Probablement que d'autres effets de bord vont découler de ce bug .

A+

--Message édité par nabusco le 14-05-2008 à 16:47:30--
Page : [1]

Forum » Logiciels » alerte securité OpenSSL sur Debian et consorts

 Forum modéré par : Ascodas

| Même auteur

Score ( voter ) :