Blog

Chiavi SSH e SSL in pericolo! [CVE-2008-0166]

Mag 15

E' stata scovata proprio ieri una vulnerabilità nel motore di generazione casuale usato da OpenSSL. Il modulo di generazione chiavi è il solito usato da OpenSSH, OpenVPN e per la generazione di certificati SSL. In pratica un certo Luciano Bello ha scoperto che le chiavi vengono generate in maniera non troppo casuale, ovvero potrebbero essere forzate con molta facilità. Questo fatto è dovuto da una modifica da parte di Debian al pacchetto ufficiale. I sistemi Linux vulnerabili sono quindi Debian, Ubuntu e tutte le derivate da Debian, nulla esclude che chiunque usi quel pacchetto possa essere affetto dal solito bug.

Qui c'è il ticket (DSA-1571) per Debian mentre gli annunci di vulnerabilità per Ubuntu sono qui (usn-612-1) e qui (usn-612-2).

Consiglio vivamente di aggiornare la propria distribuzione e di generare nuovamente le chiavi SSH e i certificati SSL.

Il pacchetto aggiornato per Ubuntu di OpenSSL è il seguente:

openssl-0.9.8g-4ubuntu3.1

DIASPORA* Facebook
CC BY-NC-SA 3.0 2004-2012 Daniele Napolitano — Per informazioni sulla licenza leggere le Note legali
Torna su