On Thu, Aug 01, 2002 at 03:49:54PM +0200, Schmitt, Martin (Dregis STB C) wrote: > Jetzt kommts aber richtig dicke. > > 1) Webserver von OpenBSD.org geknackt > 2) Trojanisches Pferd in OpenSSH eingebaut
Hi Martin! Kann es sein, dass du dich im Betreff ein bischen in der Wortwahl vergriffen hast: Die gr��ten Deppen der Nation? Glaubst du wirklich, dass der Webserver von OpenSSH.org mit einem Well-Know Exploit gehackt worden ist, den jedes Skript-Kiddie einfach aus dem Internet herunterladen kann? Sicher nicht. Ich wette mit dir, dass im Moment viele Webserver im Internet genau so anf�llig sind wie der von OpenSSH.org, aber wir wissen es im Moment nicht. Au�erdem denke ich, dass es zu leicht ist, mit dem Finger auf andere zu zeigen. Was haben wir uns gefreut, als hundert tausende NT Server von Code Red infiziert worden waren (und zum Teil noch sind) und wir in unserer Auffassung best�tigt wurden, dass es mit der Sicherheit von MS Betriebssystemen nicht weit her ist. Wie sieht es heute aus? Am 17.6. wurde ein Fehler in Apache gefunden, der es einem entfernten Angreifer erlaubt, Code auf dem Server auszuf�hren: http://www.der-keiler.de/Mailing-Lists/securityfocus/bugtraq/2002-06/0181.html Zuerst wurde vermutet, dass diese Vulnerability nur f�r Windows/64bit Unix Systeme problematisch sein w�rde, doch Goobles wiederlegte diese These eindrucksvoll, in dem sie einen Exploit f�r x86 BSD Systeme ver�ffentlichten: http://www.der-keiler.de/Mailing-Lists/securityfocus/bugtraq/2002-06/0276.html Es ist nur eine Frage der Zeit, bis auch ein Exploit f�r x86 Linux Server ver�ffentlicht wird. Jedoch haben nur 20% aller UNIX-Server eine sichere (1.3.26) Apache-Version laufen, was zur Folge hat, dass der Release eines Exploits ein wahres Massacker ausl�sen wird. Was ich damit sagen will: Wir sollten uns zuerst an die eigene Nase fassen, bevor wir uns �ber Missgeschicke von anderen freuen. Und Martin: http://uptime.netcraft.com/up/graph/?mode_u=off&mode_w=on&site=www.dregis.com&submit=Examine Auch dein Arbeitgeber hat eine Apache Version laufen, die es heute schon erm�glicht, Code auf dem Webserver auszuf�hren. Ulrich -- http://www.der-keiler.de PGP Fingerprint: 5FA4 4C01 8D92 A906 E831 CAF1 3F51 8F47 1233 9AAD Public key available at http://www.der-keiler.de/uk/pgp-key.asc
msg11844/pgp00000.pgp
Description: PGP signature
