Gerüchte um OpenSSH-Sicherheitslücke

Maintainer nicht von Existenz des Problems überzeugt. Derzeit machen Gerüchte um eine Sicherheitslücke in OpenSSH in Red Hat Enterprise Linux (RHEL) die Runde. Unterdessen hat sich OpenSSH-Entwickler Damien Miller geäußert. Er sieht nicht genügend Beweise für die Existenz einer Sicherheitslücke.

9. Juli 2009 um 10:17 Uhr / Julius Stiebert

Das Gerücht tauchte unter anderem in einem Forum auf. Dort berichtet ein Administrator von einer kritischen Sicherheitslücke in der OpenSSH-Version 4.3, die in RHEL und dem darauf basierenden verwendet wird. Diese Version ist bereits einige Jahre alt, die Red-Hat-Entwickler pflegen diese Versionen in ihren Enterprise-Produkten jedoch in der Regel über einen langen Zeitraum und portieren Sicherheitsaktualisierungen zurück.

Auf verschiedenen Seiten gibt es Protokolle eines Angriffs, bei dem über den SSH-Port 22 Zugriff auf ein RHEL-5.3-System erlangt wird.

Auf eine Anfrage eines Red-Hat-Mitarbeiters auf der OpenSSH-Mailingliste antwortete OpenSSH-Programmierer Damien Miller, er verfüge über keine geheimen Informationen. Er habe Kontakt mit einem Opfer des möglichen Zero-Day-Exploits. Millers Analyse habe jedoch nicht bestätigt, dass der Angriff etwas mit SSH zu tun habe. Vielmehr deute einiges auf eine simple Brute-Force-Attacke hin. Er sei nicht überzeugt, dass ein Zero-Day-Exploit existiere, so Miller weiter. Der einzige Beweis seien neben den Gerüchten bisher die nicht überprüfbaren Protokolle der Angriffe.

Auch das SANS-Institut sieht noch keinen Beweis für den Zero-Day-Exploit. Bei SANS gingen derweil Hinweise ein, dass die noch unbekannte Sicherheitslücke tatsächlich existiere und aktuelle OpenSSH-Versionen nicht betreffe. Nähere Informationen dazu sollen angeblich auf der Black-Hat-Sicherheitskonferenz öffentlich gemacht werden. Die Konferenz findet vom 25. bis 30. Juli in Las Vegas statt. Doch bisher ist auch das nur ein Gerücht – der Exploit-Code selbst liegt dem SANS-Institut nicht vor.