PoC
От: Александър Станев <alex __@__ stanev __точка__ org>
На: 21-03-2007@10:07 GMT+2
Оценка: 1/НеутраленА според младежите, открили уязвимостта, въобще не става дума за DoS, а remote code execution:
http://www.coresecurity.com/index.php5?...
[Отговори на този коментар]
Към: PoC
От: DarkLight <darhazer __@__ gmail< dot >com>
На: 21-03-2007@11:16 GMT+2
Оценка: 1/НеутраленСпоред тях да, но от екипа на OpenBSD твърдят, че това не е възможно
[Отговори на този коментар]
Към: Към: PoC
От: _c_ <misho< at >openbsd-bg__dot__org>
На: 23-03-2007@13:54 GMT+2
Оценка: 1/НеутраленСтава дума за реакцията и това че не е чак толкова фатална. Remote execution не върви :)
[Отговори на този коментар]
ох журналисти...
От: growchie <growchie (a) yahoo __точка__ com>
На: 21-03-2007@10:24 GMT+2
Оценка: 1/Неутрален"За 10 години са намерени само няколко такива уязвимости."
1 уязвимост не е няколко уязвимости. Този проблем стана новина защото това е ВТОРАТА уязвимост за ДЕСЕТ годни, която може да се използва за атака на системата от разстояние. За такова постижение трябва да се застава "мирно" и да се козирува на разработчиците.
Предната уязвимост беше в OpenSSH сървъра открита през Юни 2002 година. Преди това те не бяха имали грешки в инсталацията по подразбиране за период от 6 години.
OpenSSH експлойта беше обезсмъртен във втория епизод на Матрицата, а именно момента когато Тринити "хаква" компютрите на електроцентралата (сещате ли се).
[Отговори на този коментар]
Към: ох журналисти...
От: DarkLight <darhazer__at__gmail __точка__ com>
На: 21-03-2007@11:21 GMT+2
Оценка: 1/НеутраленНе само remote code execution е remote уязвимост ;)Не че искам да споря де, тъй като нито ползвам OpenBSD нито я следя от близо, но бърза справка в SecurityLab.ru показва и други уязвимости, които могат да се използват от отдалечн потребител
[Отговори на този коментар]
Към: Към: ох журналисти...
От: _c_ <misho (a) openbsd-bg< dot >org>
На: 21-03-2007@13:10 GMT+2
Оценка: 1/НеутраленУффффффффффф ....
Мисля, че не си прав :):):):) DarkLight
Само 2 са remote дупките забележи в default install пише го под картинката в openbsd.org
Това е най-сигурната ОС в света и като код, политика и идея.
Между другото, напоследък виждам доста достоен противник за титлата най-сигурна ОС. Тиха вода която не шуми много, но кода и е впечетляващо чист и добър NetBSD.
Ще ми е интересно как ще се развият нещата между 2те сходни ОС OpenBSD/NetBSD
[Отговори на този коментар]
Към: Към: Към: ох журналисти...
От: borj
На: 22-03-2007@10:45 GMT+2
Оценка: 1/НеутраленТова какво пише на сайта ... Тео деРаад е малко като DJB - и двамата трудно признават грешки :) Предполагам, че кода на един NetBSD форк би трябвало да е наследил някаква подреденост? :)
[Отговори на този коментар]
Към: ох журналисти...
От: Mr.700 <gunchev__at__gmail[ точка ]com>
На: 23-03-2007@12:07 GMT+2
Оценка: 1/НеутраленАз бих им козирувал и час, но им свалям и шапка - евала. Не го ползвам, но причината е липса на време, не липса на желание...
[Отговори на този коментар]
Глупости :)
От: Гочев
На: 22-03-2007@11:19 GMT+2
Оценка: 1/НеутраленПълни глупости
за 10 години е 1 remote учзвимост и то в дефаулт инсталацията
първо ти с тази инсталация ли караш ?
и 2ро само 1 ? аи стига аз за 4 години сам виждал поне 10 :)
[Отговори на този коментар]
Към: Към: ох журналисти...
От: growchie <growchie__at__yahoo< dot >com>
На: 21-03-2007@13:44 GMT+2
Оценка: 1/НеутраленНастоящия бъг е не позволява изпълнение на код до колкото знам.
[Отговори на този коментар]
Към: Към: Към: ох журналисти...
От: DarkLight
На: 21-03-2007@14:29 GMT+2
Оценка: 1/НеутраленТочно това писах в поста "Към: PoC" и исках да кажа че може за 10 години да има една-единствена RCE уязвимост ( за което наистина са си спечелили име хората ), но няколко Remote DoS такива ;)
[Отговори на този коментар]
Към: Към: Към: Към: ох журналисти...
От: growchie <growchie__at__yahoo__dot__com>
На: 21-03-2007@19:48 GMT+2
Оценка: 1/НеутраленРимоут, ДДОс все тая. Ама в Матрицата Презареждане първият експлойт си беше доста фенски. Няма да заправя как в един пишкодръжковски филм "хакваха" сателит с нортон командер. Трябва да направим класация за най-кухите "хаквания" във филмите. Винаги ми е било супер смешно как все си познават паролите.
Редактиран на: 21-03-2007@19:49
[Отговори на този коментар]
ХАХАХА
От: gat3way
На: 21-03-2007@14:03 GMT+2
Оценка: 1/Неутрален"Only two remote holes in the default install, in more than 10 years!"
Е хубава работа, сега две ли са, три ли са, колко са?
Няма да е зле Тео да събере "хакерите" си на племенния съвет и да обсъдят въпроса :)
[Отговори на този коментар]
s "leko" zakusnenie
От: x
На: 21-03-2007@17:09 GMT+2
Оценка: 1/Неутраленbravo we .. setihte se koga da publikuvate noviata
[Отговори на този коментар]
....
От: ShadowX
На: 22-03-2007@7:04 GMT+2
Оценка: 1/НеутраленAko ne se lyja developers na openbsd bqha
kazali taka i za apache worm-a ....che nemoje
da se izpolzva otkritiq bug za drug tip ataka
osven DoS ... emi da ama ....inache po-vaprosa
za nai secure OS... OpenBSD ? nemislq, da ste
chuvali za OpenVMS ? A i da ne zabraviame che
2remote bug-a za 10 godini da default
install...ama q vijte pri default install
kakvo ima pusnato ... inache naistina evala na
developers na openbsd, tova opredeleno sa hora
koito zalujavat uvajenie ..... p.s.: sajelqvam
che pisha na latineca , no v momenta mi e
fizicheski nevyzmojno da post-na na kirilica.
[Отговори на този коментар]
Някой забелязал ли е:):):)
От: _c_ <misho __@__ openbsd-bg__dot__org>
На: 22-03-2007@9:38 GMT+2
Оценка: 1/НеутраленНякой забелязал ли е датите на патча пуснат в openbsd.org по този проблем дата му? Или пак пишете коментари ей така да се шуми в ефира.
Патча е пуснат за update 1 седмица преди света да заговори че има дупка :) Някои обърна ли на това внимание и това не е само сега ;) Патчовете обикновено изпреварват проблемите това е част от политиката на ОС-а.
Мисля че за този факт и тази политика също заслужават внимание и респект. С техните технологии ProPolic, W^X и т.н. които изкараха на бял свят дупки по разни приложения като X които са престояли над 10г. незабелязани :) Това е уважение и респект кам начина на работа.
[Отговори на този коментар]
Към: Някой забелязал ли е:):):)
От: DarkLight <darhazer__at__gmail__dot__com>
На: 22-03-2007@12:46 GMT+2
Оценка: 1/НеутраленНе изпреварват проблемите. Ако отворите оригиналната новина ще видите кога е съобщено за проблема... просто публично се обявява след като има пач. Етика един вид. Всички производители на софтуер се борят за такова отношение, но малко го получават.
[Отговори на този коментар]
Към: Някой забелязал ли е:):):)
От: ShadowX
На: 23-03-2007@6:21 GMT+2
Оценка: 1/Неутраленpatch-a e pusnat predi oficialnoto izlizane na exploit-a, no ne i predi oficialno da se obqvi bug-a .... qvno tolkova si chel bugtraq`s ... a i kato govorim za "1 bug na 5 godini" (primerno kazano), nqma znachenie dali patch izliza predi oficialnoto obevqvane na dupkata, vaprosa e che ima dupka i e namerena , pohvalno e che reakciqt e bila byrza i patch-a e izleznal pochti vednaga, no tova ne kara dupkata da izchezne ....
[Отговори на този коментар]
Към: Някой забелязал ли е:):):)
От: the_real_maniac
На: 22-03-2007@20:11 GMT+2
Оценка: 1/Неутраленхиихи абе прав си , но това че света не знае, не значи че някой или някои не го ползват / знаят този проблем :-D :-P
Иначе новината си е новина.
Като цяло интересна новина , не толкова друго :-)
[Отговори на този коментар]
Към: Към: Някой забелязал ли е:):):)
От: ShadowX
На: 25-03-2007@9:27 GMT+2
Оценка: 1/НеутраленTrue true!
[Отговори на този коментар]
hmmm
От: Иван
На: 27-03-2007@15:41 GMT+2
Оценка: 1/НеутраленПърво да ви светна, че в ОБСД постоянно се преглежда кода за всевъзможни неуязвимости именно поради политиката на разработчиците. Нали се сещате, че ако се прави толкова задълбочен анализ на линукс кърнъла, iptables, apache, ще се открият не по-малко грешки, отколкото в ОБСД ???! Второ - да приравнявате ДоС атака с remote code execution е меко казано смешно. И на финала - бъгове е неизбежно да има, но това няма как да го знаят хора, които от програмиране нямат и минутка опит и говорят наизуст.
[Отговори на този коментар]
В OpenBSD е открита уязвимост поради грешка в имплементацията на IPv6. Тя позволява на отдалечен потребител чрез специално формиран IPv6 пакет да повреди паметта на ядрото и по този начин да предизвика DoS (отказ от обслужване). Патч можете да изтеглите 
