ALERT: Varie vulnerabilita' di SSH1 [ID: 01002C]

-----BEGIN PGP SIGNED MESSAGE-----




			   GARR-CERT Security Alert
 ----------------------------------------------------------------------------

 Alert ID: 01002C
 Data di creazione: Mon Feb 12 17:41:43 2001

 Titolo: Varie vulnerabilita' di SSH1

 Gravita': alta

 ----------------------------------------------------------------------------


 1) Descrizione del problema

 Esistono varie vulnerabilita' nella versione 1 del protocollo ssh:

 1) Esiste una vulnerabilita' intrinseca del protocollo che permette di
 aggirarne i meccanismi di sicurezza.

 2) Esistono dei bugs in alcune parti del codice relative a controlli sulla
 validita' della trasmissione.

 3) Esiste un bug del server ssh riguardante la registrazione delle
 connessioni effettuate.


 2) Piattaforme interessate

 1) Tutte le implementazioni di ssh1, solo dal lato server. Per quanto
    riguarda i vari vendor:
    SSH.com: dalla versione 1.2.24 alla 1.2.31 compresa.
    OpenSSH: versioni precedenti alla 2.3.0.

 2) Molte implementazioni di ssh1, sia dal lato client che server. Per quanto
    riguarda i vari vendor:
    SSH.com: dalla versione 1.2.24 alla 1.2.31 compresa.
    OpenSSH: versioni precedenti alla 2.3.0.
    OSSH: versioni precedenti alla 1.5.8.
    Teraterm PRO + TTSSH: non vulnerabile.

 3) SSH.com versioni precedenti alla 1.2.31.


 3) Impatto

 1) Utenti locali e remoti possono condurre un sofisticato attacco verso un
 server ssh1 che porterebbe alla decifrazione del traffico.

 2) Utenti locali e remoti possono eseguire codice arbitrario sia sul client
 che sul server.

 3) Utenti remoti possono tentare di compromettere un server attraverso
 ripetuti tentativi di connessione senza che questi vengano registrati.


 4) Soluzioni

 Per tutte le vulnerabilita' la soluzione e' quella di effettuare un upgrade
 alla versione piu' recente e, dove possibile, iniziare una migrazione verso
 la versione 2 del protocollo ssh.

 SSH.com: dal 1/5/2001 cessera' ufficialmente il supporto alla versione 1 del
          protocollo e quindi ne sconsiglia l'utilizzo.

 OpenSSH: effettuare un upgrade alla versione 2.3.0, scaricabile da:
          http://www.openssh.com/ftp.html

 OSSH:    effettuare un upgrade alla versione 1.5.8, scaricabile da:
          ftp://ftp.pdc.kth.se/pub/krypto/ossh/


 5) Regole per sistemi di Network Intrusion Detection

 Non disponibile.


 6) Riferimenti

 Alerts sulle vulnerabilita' di ssh1:
    http://www.core-sdi.com/advisories/ssh1_sessionkey_recovery.htm
    http://www.core-sdi.com/advisories/ssh1_deattack.htm

Dichiarazione di SSH.com sulle vulnerabilita' di ssh1:
http://www.ssh.com/products/ssh/cert/




 Appendice


 GARR-CERT Home Page

 http://www.cert.garr.it

 ----------------------------------------------------------------------------


 ----------------------------------------------------------------------------

 Paolo Amendola                              Phone. +39 80 5443194
 GARR-CERT / I.N.F.N.    	             Fax.   +39 80 5442470
 Bari, Italy                                 email. Questo indirizzo email è protetto dagli spambots. È necessario abilitare JavaScript per vederlo.

                   http://security.fi.infn.it/cgi-bin/spgpk.pl?KeyId=12DA1A6D
 ----------------------------------------------------------------------------



-----BEGIN PGP SIGNATURE-----
Version: 2.6.3ia
Charset: noconv

iQCVAwUBOogVICkc7/YS2hptAQHjQAP/fFIYXx8aS42Jgpjdo8vGyjd14Z1XGI/u
Nvx4Z4b4irov5DvRlJQ2mPKZqmLOZKnnfKWLWkPR3gOLeiOeR2iTo0L+qlZlYkNy
T/8KdlgaJy1M+HytIimw8S0V0DwqsM/0TmugUbgHZ5S9H49hA9DqUMqFiN1jPPRz
Wq6ycPAarZ4=
=Z9GH
-----END PGP SIGNATURE-----