1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
|
#use wml::debian::translation-check translation="6267e9a2f71dd5e3a12c5eb13f60f528bb7e8b4b" maintainer="Lev Lamberov"
<define-tag description>утечка файловых дескрипторов</define-tag>
<define-tag moreinfo>
<p>Штефан Пфетцинг обнаружил, что в lshd, сервере протокола Secure Shell
v2 (SSH2), происходит утечка пары файловых дескрипторов, связанных с
генератором стохастичности, в командные оболочки пользователей, запущенные lshd.
Локальный злоумышленник может обрезать файл сервера с начальным числом, что может
не допустить запуск сервера, а при некоторых дополнительных усилия может приводить
к взолму сессионных ключей.</p>
<p>После применения данного обновления вам следует удалить файл сервера с начальным числом
(/var/spool/lsh/yarrow-seed-file) и заново создать его с помощью команды
"lsh-make-seed --server" от лица суперпользователя.</p>
<p>В целях безопасности lsh-make-seed следует запускать только из
консоли системы, на которой вы запускаете сервер. Если вы запускаете lsh-make-seed
через удалённую командную оболочку, то информация о таймингах, используемая lsh-make-seed для
создания случайного начального числа, вероятнее всего будет испорчена. Если вам нужно, то
вы можете создать случайное начальное числе на другой системе, чем та, на которой
оно будет использоваться, установив пакет lsh-utils и запустив команду
"lsh-make-seed -o my-other-server-seed-file". Затем вы можете передать
начальное число на целевую систему, используя защищённое соединение.</p>
<p>Предыдущий стабильный выпуск (woody) возможно не подвержен этой проблеме.</p>
<p>В стабильном выпуске (sarge) эта проблема была исправлена в
версии 2.0.1-3sarge1.</p>
<p>В нестабильном выпуске (sid) эта проблема была исправлена в
версии 2.0.1cdbs-4.</p>
<p>Рекомендуется обновить пакет lsh-server.</p>
</define-tag>
# do not modify the following line
#include "$(ENGLISHDIR)/security/2006/dsa-956.data"
# $Id$
|
