mboost-dp1

unknown

Fejl i Kerberos

- Via ZDNet - , redigeret af Net_Srak

Sikkerhedseksperter har offentliggjort at der er fundet en fejl i Kerberos, som er en af grundstenene i mange sikkerhedssystemer.

Fejlen er en såkaldt “double-free”, hvilket vil sige at programmet forsøger at frigive en blok hukommelse, to gange. Denne fejl er ikke nær så nem at udnytte som f.eks. en buffer overflow, og dette giver forhåbentligt lidt tid til at patche.

Alle brugere af systemerne Solaris, Red Hat, Mandrake og OS X opfordres til at patche systemet, så snart disse patches frigives. Windows er ikke påvirket af denne fejl, da Microsoft benytter sin egen version af Kerberos.





Gå til bund
Gravatar #1 - hollow
3. sep. 2004 11:17
Jamen hvor er det dog glimrende :)

Længe leve MS.

MS all the way..!


God weekend folkens
// Hollow
Gravatar #2 - dasbutt
3. sep. 2004 11:20
Og hvilken patch det en. lavede en up2date -u på min Red Hat og så fik den lyst til at hente omkring 100 rpm filer og installere dem.
Kunne bedre forstå at det gik lidt langsomt med at hente dem.
Gravatar #3 - TullejR
3. sep. 2004 13:15
"Microsoft uses the mechanism to control security in its Active Directory authentication. However, the company uses a homegrown version of Kerberos that is not affected by the flaws, Hartman said."

hvordan ved han det? der bliver jo tidligere sagt at der ikke er lavet noget der kan udnytte hullet endnu, så hvordan kan han sige det? Han har jo næppe adgang til ms' kildekode formoder jeg.
Gravatar #4 - sKIDROw
3. sep. 2004 13:22
"homegrown" er vist en ret alternativ udlægning, det er en inkompatibel rip-off af den originale. (Grundet manglende copyleft i BSD licensen.)
Gravatar #5 - FISKER_Q
3. sep. 2004 13:32
#4 Du skal vist ikke komme med rip-off beskyldninger :P
 
Gravatar #6 - sKIDROw
3. sep. 2004 13:35
#5 fiskeren

Øhh?
Hvad snakker du om??
Gravatar #7 - bjerh
3. sep. 2004 13:52
OOOOOOHHHH l0rn alle i MAC hoveder der kævler op om "lorte" M$ og deres "lorte"-software! !:D
Gravatar #8 - TullejR
3. sep. 2004 13:56
#7:

at der er en fejl i software "X" betyder vel ikke automatisk at der ikke er fejl i software "Y"?
Gravatar #9 - sKIDROw
3. sep. 2004 13:56
#7

Læs lige nummer 3 igen...
Edit:Shit too slow... :D
Gravatar #10 - cybermike
3. sep. 2004 16:13
Kerberos findes ogsaa i solaris, bsd og linux saa det er skam ikke kun en microsoft ting....der er ingen grund til at disse microsoft fordi der findes fejl i deres software. Der var grund til at disse dem hvis de naegtede eksistensen af den slags el. lign.
Gravatar #11 - sKIDROw
3. sep. 2004 16:21
#10 cybermike

Pointere blot, at det er lidt overdrevet, at kalde Microsofts implementation, for deres egen "homegrown".. ;)
Gravatar #12 - FISKER_Q
3. sep. 2004 17:44
#6 Umiddelbart hvad jeg har fået af vide af, er der nogle værktøjer laver til FreeBSD som også er lavet i Linux ifølge de man sider til værktøjerne.

Men det jeg mener er bare der ikke er meget om at kalde det rip-off eller at stjæle, fordi BSD licsensen giver jo lov til det. Og faktisk selvom det ikke er leveret under GPL licensen så er det åbenbart stadigvæk et ret vigtigt emne både under open source, og closed source? Det ville jeg da kalde at det har overlevet trods den ikke bruger GPL.
 
Gravatar #13 - ghostcom97
3. sep. 2004 18:08
Fejlen ligger i MIT's implementation af Kerberos v5 og andre implementeringer der stammer derfra.

Tosserier i deres Key Distribution Center cleanup kode giver et sikkerhedshul der kan bruges til at snige egen kode ind og få det eksekveret og derved kompromitere hele dynen bag ex en Cisco 3000 serie VPN koncentrator. 2 andre komponenter som også lider af doubble-free exploided er kun mulig at udnytte hvis man er en authenticated user og kalder dem via en af de services der bruger dem.

Det er særdeles svært at udnytte og finde doubble-free exploits og det kan sagtens være at Microsofts version af Kerberos også har lign fejl - blot i andre dele af implementeringen. De låner jo kraftigt af BSD's måde at køre tingene på når man ser på bla. LDAP.
Gravatar #14 - sKIDROw
3. sep. 2004 20:36
#12 Fiskeren

[Umiddelbart hvad jeg har fået af vide af, er der nogle værktøjer laver til FreeBSD som også er lavet i Linux ifølge de man sider til værktøjerne.]

Uhmm ja det er tit bare samme kildekode, og så kører man ./configure && make && make_install
Hvor ./configure undersøger maskinen og OS'et, og kompilere for til der hvor man er.
Forsimplet forklaret.

[Men det jeg mener er bare der ikke er meget om at kalde det rip-off eller at stjæle, fordi BSD licsensen giver jo lov til det.]

Siger ikke at de har stjålet BSD/MIT koden.
Med rip-off hentyder jeg til, at de ikke selv har skrevet det, som man godt kunne tro udfra nyhedsteksten... ;)

[Og faktisk selvom det ikke er leveret under GPL licensen så er det åbenbart stadigvæk et ret vigtigt emne både under open source, og closed source?]

Kerberos er en meget god ting.. :)

[Det ville jeg da kalde at det har overlevet trods den ikke bruger GPL.]

Selvfølgelig derfor bliver jeg stadig aldrig tilhænger af, ikke-copyleft licensering, udover i meget få grænsetilfælde.
Og der sværger jeg til LGPL.
Hvis firmaer ikke vil bidrage tilbage, kan de satme selv skrive deres kode.
Gravatar #15 - carb
3. sep. 2004 20:57
#14 sKIDROw
Hvad mener du med copyleft/ikke-copyleft licencering. Og hvad er forskellen på L(esser)GPL og GPL. Gerne kort formuleret;) tak.
Gravatar #16 - sKIDROw
3. sep. 2004 22:52
#15 carbon bot

Copyleft er et spoof på copyright.
Da formålet med GPL licensen er det modsatte end den typiske copyright licens, så kalder de den spøgende for en copyleft licens. (Hackerhumor ;))
GPL licensen bruger copyright lovgivningen til at kræve, at man for at måtte bruge koden, skal lade den forblive fri/åben.
Du må derfor ikke tage f.eks kode fra Linux kernen, og genbruge i et ufrit lukket stykke software.
LGPL tillader ufrie lukkede afledte værker, dog på betingelse af, at du tillader reverse engeneering og andet debugging..
BSD/MIT licensen kræver ikke at du skal lade koden være åben, hvis du bruger noget af deres kode.
Blot at du beholder de originale copyright notices.
Derfor kunne Microsoft nappe kerberos, da licensen ikke forbød dette.
Dette kan man mene om hvad man vil.
Men jeg er FSF tilhænger og derfor mener jeg at ufrie software huse, skal holde nallerne fra kagefadet, hvis ikke de vil bidrage på lige fod med alle andre.
Gravatar #17 - carb
3. sep. 2004 23:28
#16 sKIDROw
Er det rigtigt forstået at du foretrækker kode/apps/whatever bliver udgivet under GPL, og at LGPL blot er at foretrække i forhold til en BSD-licens?

Er det også rigtigt forstået at L(esser) 'blot' betyder "uden kildekode", og ellers svarer til GPL?

Ved godt det er lidt OT.
Gravatar #18 - sKIDROw
4. sep. 2004 09:11
[OT]}
#17 carbon bot

[Er det rigtigt forstået at du foretrækker kode/apps/whatever bliver udgivet under GPL, og at LGPL blot er at foretrække i forhold til en BSD-licens?]

Ja det er min personlige mening.

[Er det også rigtigt forstået at L(esser) 'blot' betyder "uden kildekode", og ellers svarer til GPL?]

LGPL betyder lempelig GPL.
Her må du godt linke ufri kode til den, og jeg mener også godt at du må lave ufrie afledte værker.

Ved godt det er lidt OT.
Gravatar #19 - FISKER_Q
4. sep. 2004 16:13
#16,18

Efter min meningen vælger man også hvad der er acceptabelt når man vælger sin licens.

Når man fx udgiver via fx MIT eller BSD. Så er det vel ikke noget med at folk skal have fingrene af fedtefadet hvis de ikke kan dele.

Så er det vel noget med man har besluttet at man vil gavne folk alle steder. Tænk nu hvis fx noget så elementært som DHCP kode var frigivet under GPL. Det ville da sætte en helvedes masse softwarehuse i en meget tvungen situation. Og måske hæmme udviklingen fremfor at gavne den.

Ligesom med Bittorrent, faktisk ville udgiveren ikke engang udgive den med licens. Men pga folk ikke helt troede på det, valgte han så at køre den under MIT licensen.

Og selvom folk faktisk tager hans arbejde og ikke engang giver copyright notice, så er han egentlig ligeglad. Og jeg tror da Bittorrent har gavnet en del på mange services der udbydes i dag.

Jeg vil faktisk også tro at vi vil se en større splittelse i standarder hvis vi ikke havde licenser som MIT, BSD eller eventuelt LGPL. Som sagt, tænk hvis DHCP var under GPL. Så skulle Microsoft og diverse andre pludselig til at finde en anden teknologi som de kunne bruge.

Det er ikke closed source jeg promoverer, men open source uden specielle betingelser. Det kan gavne selvom man måske ikke får noget til gengæld.
 
Gravatar #20 - sKIDROw
4. sep. 2004 16:29
#19 Fiskeren

[Efter min meningen vælger man også hvad der er acceptabelt når man vælger sin licens.]

Ja det er udspecificeringen, når man sætter copyright på tingene.

[Når man fx udgiver via fx MIT eller BSD. Så er det vel ikke noget med at folk skal have fingrene af fedtefadet hvis de ikke kan dele.]

Nej det er der nogen der ikke finder problematisk.

[Så er det vel noget med man har besluttet at man vil gavne folk alle steder. Tænk nu hvis fx noget så elementært som DHCP kode var frigivet under GPL. Det ville da sætte en helvedes masse softwarehuse i en meget tvungen situation. Og måske hæmme udviklingen fremfor at gavne den.]

De kan gøre som de gentagne gange har tvunget vores side til, nemlig at lave clean room implementationer... ;)
Hvis du virkelig vil have noget, udgivet under GPL, så skulle de nok have klaret det.
Det gør vores side, når det er vigtigt nok.

[Ligesom med Bittorrent, faktisk ville udgiveren ikke engang udgive den med licens. Men pga folk ikke helt troede på det, valgte han så at køre den under MIT licensen.]

Det forstår jeg så ikke.

[Og selvom folk faktisk tager hans arbejde og ikke engang giver copyright notice, så er han egentlig ligeglad. Og jeg tror da Bittorrent har gavnet en del på mange services der udbydes i dag.]

Helt sikkert Bittorrent er suverænt... :)

[Jeg vil faktisk også tro at vi vil se en større splittelse i standarder hvis vi ikke havde licenser som MIT, BSD eller eventuelt LGPL. Som sagt, tænk hvis DHCP var under GPL. Så skulle Microsoft og diverse andre pludselig til at finde en anden teknologi som de kunne bruge.]

Overhovedet ikke.
Microsofts implementation at kerberos er inkompatibel med den oprindelige, og den var under MIT licens.
Så histrorien bevidner noget andet.

[Det er ikke closed source jeg promoverer, men open source uden specielle betingelser. Det kan gavne selvom man måske ikke får noget til gengæld.]

Der er meget få tilfælde, hvor det kan være nødvendigt.
Resten af tilfældene sikre GPL licensen bedre mod snylteri og fragmentering.
Gravatar #21 - SmackedFly
5. sep. 2004 12:25
#19

Der vælger man så at udgive under LGPL, således at alle ændringer i selve DHCP koden skal returneres, men man kan sagtens bare linke DHCP koden ind i programmet og bruge den under en propræitær licens. BSD kan man såmænd også fint bruge, igen det handler om formålet.
Problemet er at meget af det gode software der idag bliver released under GPL, ville være tæt på værdiløst hvis det blev udsendt under BSD licensen, fordi firmaer som f.ex. Microsoft ville komme og bygge videre på softwaren, således at Public Domain implementationen (BSD) tilsidst ville være næsten værdiløs.

Dette gælder selvfølgelig mest net relaterede protokoller. Hvis de store softwarefirmaer spekulerer på hvorfor folk indenfor Open Source især bruger "non-public domain" licenser, så skal de måske kigge lidt på hvor meget de selv har gavnet det software de så enormt gerne vil 'hjælpe' med at gøre bedre.
Næh du, GPL og LGPL er fremkommet pga. erfaringer, ikke fordi vi ikke vil have IBM, Microsoft, HP osv. med, de er meget velkomne, og de er ved at lære det efterhånden...
Gravatar #22 - sKIDROw
5. sep. 2004 14:04
#21 SmackedFly

Præcis.
Der er talvis af dårlige oplevelser, som gjorde at Richard Stallman udformede GPL licensen.
Gravatar #23 - FISKER_Q
6. sep. 2004 11:44
#21 Kan sagtens forstå folk vil vælge GPL, men for min skyld er det ikke noget om at kræve kode tilbage eller dø. Det er mere om "Hey det var godt du kunne bruge det".

Jeg mindes faktisk en sag om Kiss(mener jeg det var). Hvor et eller andet udviklingshold havde GPL på deres kode til at afspille en dvd eller noget så simpelt.

Begge udviklingshold sagde så vidt jeg husker at den kode er så simpel, at den næsten i alle tilfælde ligner hinanden. Og så vidt jeg husker blev der ikke gjort mere ud af truslerne.

Men så igen kan man snakke om hvorvidt man skulle have brugt GPL til sådan et lille stykke lortekode, for mig ville det være det samme som hvis jeg havde citeret en kendt kunster. Og jeg synes da også det eneste problematiske i den sag var så at Kiss ikke havde husket deres hvertfald retfulde copyrightnotice, hvis de havde valgt BSD
 
Gravatar #24 - sKIDROw
6. sep. 2004 12:29
#23 Fiskeren

[Kan sagtens forstå folk vil vælge GPL, men for min skyld er det ikke noget om at kræve kode tilbage eller dø. Det er mere om "Hey det var godt du kunne bruge det".]

Det er godt når folk kan bruge fri kose, men det er noget skidt når de misbruger det i ufrie ting.

[Jeg mindes faktisk en sag om Kiss(mener jeg det var). Hvor et eller andet udviklingshold havde GPL på deres kode til at afspille en dvd eller noget så simpelt.]

Det var Kiss og det var mere præcist den kodestump der håndterede undertekster.

[Begge udviklingshold sagde så vidt jeg husker at den kode er så simpel, at den næsten i alle tilfælde ligner hinanden. Og så vidt jeg husker blev der ikke gjort mere ud af truslerne.]

Det var en simpel kode.
Men det var til implemtation af mplayer undertekster.
De kunne have skrevet det selv, istedet tog de kode uden at overholde licensen.

[Men så igen kan man snakke om hvorvidt man skulle have brugt GPL til sådan et lille stykke lortekode, for mig ville det være det samme som hvis jeg havde citeret en kendt kunster. Og jeg synes da også det eneste problematiske i den sag var så at Kiss ikke havde husket deres hvertfald retfulde copyrightnotice, hvis de havde valgt BSD]

De må mene hvad de vil om GPL licensen, hvis de ikke kan lide den, så skal de skrive deres lort selv.
Eller kigge efter en BSD/MIT implementation.
Gravatar #25 - SmackedFly
6. sep. 2004 12:31
#23

Nåh, men misforstå mig ikke, BSD licensen er en god licens til mange ting, især små projekter hvor koden er så minimal at den ikke er licensbøvlet værd. BSD har også andre gode anvendelser, ikke mindst i form at proof of concept implementationer, hvor kompatibilitet imellem de forskellige implementationer ikke er et krav, eller ikke er relevant.

Så vi er vist enige, ihvertfald et langt stykke hen af vejen...Og i sidste ende er licenser også kun et redskab, desværre et nødvendigt redskab nu om dage.
Gravatar #26 - SmackedFly
6. sep. 2004 16:21
#23

Mht. den bid mplayer kode, så var det jo bare en del af en større kodebase. Det er jo klart at Mplayer teamet ikke er licensnørder, de sidder jo ikke og vurderer hver eneste kodestump i deres program, og giver det en individuel licens. Du kan sku ikke bebrejde mplayer teamet at de ikke bruger forskellige licenser indenfor samme stykke software, især ikke når det er noget så simpelt.

Problemet i Kiss sagen var jo ikke at det var noget forfærdeligt tyveri, problemet var ganske enkelt at det skete, netop fordi det er et simpelt stykke kode skulle Kiss jo bare have lavet deres egen implementation på baggrund af mplayer holdets, istedet tog de bare koden, hvilket mplayer holdet beviste. Problemet var jo også i ligeså høj grad, at hvis de har taget den smule kode, hvad har de så ellers taget?!
Gravatar #27 - FISKER_Q
7. sep. 2004 06:42
#26 Tjae det kan du også have ret i.
 
Gå til top

Opret dig som bruger i dag

Det er gratis, og du binder dig ikke til noget.

Når du er oprettet som bruger, får du adgang til en lang række af sidens andre muligheder, såsom at udforme siden efter eget ønske og deltage i diskussionerne.

Opret Bruger Login