0day SSH : le net retient son souffle
Rien n’est encore confirmé à l’heure actuelle, il n’y a donc pas (encore) lieu de céder à la panique.
Une rumeur insistante de 0day sur OpenSSH 4.3 fait trembler le Net. On commence à trouver pas mal de choses, mais rien encore qui ne nous permet d’affirmer ou d’infirmer l’existence d’une vulnérabilité exploitable à distance qui mettrait en péril la sécurité de nombreuses machines et de millions de sites web.
On parle pour l’instant d’OpenSSH 4.3 mais rien n’indique qu’une version supérieure soit immunisée … bref on est pour le moment dans le flou le plus total .
Cependant, il est recommandé d’être prudent en faisant par exemple écouter ssh sur un port non standard et de désactiver l’authentification par password et lui préférer une authentification par clef.
A noter pour le moment, un déni de service sur OpenSSH est disponible sur milw0rm.
Plus d’info :
- http://lwn.net/Articles/340360/
- http://isc.sans.org/diary.html?storyid=6742
- http://secer.org/hacktools/0day-openssh-remote-exploit.html
Sécuriser OpenSSH
Possibly Related Posts:
- 0day IE* : fuite d’informations
- 0day exploit sur Windows 7 … et de un !
- Bug de renégociation SSL exploité sur Twitter
