CERT/CC (organizacja powstała w 1988 roku, zajmująca się szeroko pojętym bezpieczeństwem sieci i systemów komputerowych) informuje, że zagrożone są te komputery, na których zainstalowano popularne pakiety obsługujące bezpieczne połączenia sieciowe, w skład których wchodzi program OpenSSH. Jest rzeczą ogólnie znaną, że systemy operacyjne Unix i Linux są często dostarczane razem z oprogramowaniem OpenSSH, które nie jest wcale takie bezpieczne jak do tej pory sądzono. Na dodatek w sieciach pracuje wiele ruterów i przełączników, które też korzystają z takiego oprogramowania i dlatego powinny być jak najprędzej modyfikowane.

OpenSSH to bardzo popularne narzędzie używane przez administratorów do zdalnego zarządzania systemami, zastępując takie mniej bezpieczne metody jak "telnet" czy "rlogin" (zdalny login), które przesyłają pakiety w postaci niezaszyfrowanej.

Zobacz również:

• Wdrożono system, który ochroni nas przed niechcianymi wiadomościami SMS
• Ta inicjatywa ma ułatwić firmom zadanie wdrażania systemów AI

"Furtka" umożliwiająca atak jest usytuowana w funkcji programu OpenSSH zarządzającej buforem na dane i dotyczy wszystkich wersji wcześniejszych od 3.7. Okazuje się, że osoba atakująca system może doprowadzić do tego, że bufor ulega przepełnieniu, co unieruchamia komputer.

Aby przeprowadzić atak, włamywacz modyfikuje określone parametry w jednej z funkcji OpenSSH i następnie zaczyna wysyłać bardzo duże pakiety, większe niż 10 MB, które po krótkim czasie kompletnie zapełniają bufor.

Pierwszą firmą, która dostrzegła ten problem i skontaktowała się natychmiast z programistami z OpenBDS (którzy sprawują pieczę nad oprogramowaniem OpenSSH), była Internet Security Systems. Jak dotąd nikt nie ujawnił w szczegółach, jak taki atak można przeprowadzić. I chociaż nie odnotowano jeszcze oficjalnie żadnego ataku wykorzystującego tę lukę, to problem jest jednak poważny biorąc pod uwagę fakt, że oprogramowanie OpenSSH cieszy się bardzo dużą popularnością i tak naprawdę nikt nie jest w stanie określić, jak duża jest liczba węzłów sieci korzystających z tego rozwiązania. Jedno jest pewne - jest to bardzo, ale to bardzo duża liczba.

Programiści z OpenBSD opublikowali już ostrzeżenie dotyczące oprogramowania OpenSSH, w którym zachęcają użytkowników do jak najszybszego przechodzenia na najnowszą wersję tego narzędzia, względnie do pozostania przy starszej wersji, ale po zainstalowaniu stosownej "łaty". Szczegółowe informacje na ten temat umieszczono na stroniehttp://www.openssh.com/txt/buffer.adv ).