ssh auf localhost

[Tasman]

Hallo,

ich habe bei mir SuSE 7.3 mit openssh-2.9.9p2-124 installiert.

Logins per ssh in alle Richtungen sind soweit ok, aber wenn ich auf der shell z.B. ssh root@localhost eingebe, dann erhalte ich die Meldung: socket: Address family not supported by protocol. Die darauffolgende Passwortaufforderung und der Login sind problemlos möglich.

Kann mir jemand sagen, was das zu Bedeuten hat?
Muss ich mir nun Sorgen über die Sicherheit machen und in Panik ausbrechen?

THNX iA.

[Jorge]

Original geschrieben von Tasman
ich habe bei mir SuSE 7.3 mit openssh-2.9.9p2-124 installiert.

Muss ich mir nun Sorgen über die Sicherheit machen und in Panik ausbrechen?


Ja, Du solltest Dir Sorgen machen, denn für die von Dir verwendete OpenSSH Version gibt es schon mehrere Exploits. Bringe OpenSSH schleunigst auf den aktuellen Stand.

[Tasman]

Hallo,

vielen Dank für Deine schnelle Antwort.

Ich nutze seit einiger Zeit das Yast-Online-Update (Aus SuSE 7.3) und dachte, mein Rechner wäre damit auf dem neuesten Stand. Den Updatecheck habe soeben sofort ausgeführt.

Bzgl. openssh-2.9.9p2-124 wird von SuSE kein neures Update angeboten.:confused:

[echo]

halloele,
besorg dir das rpm von openssh selbst.
www.openssh.com
die haben auch rpm-packete. unter umstaenden werden die aber bei dir nicht laufen, da dein system schon etwas aelter ist und damit zu den neuen packeten nicht kompatiebel ist.
wenn du dir was zutraust nimmste die source und compelierste selber, schau nach ob die md5 fingerprints in ordnung sind, gab schon einige male packte mit trojanern ;)
viel spass

cya
echo

[Tasman]

Hallo,

danke für Deinen Tip!

Ich werde mal versuchen, mit den Source-RPMs zu arbeiten und mir das Prinzip der .src.rpm. Dateien näher anzusehen. Im SuSE Handbuch scheint ja allerhand darüber zu stehen.

Hoffentlich gibt es keine Versionskonflikte mit den SuSE-eigenen Binaries.

[Tasman]

Hallo,

es ist bestimmt nicht falsch, sich mit einem Update über die Sourcen zu beschäftigen. Darum werde ich mich noch kümmern.

Um aber mal zurückzukommen auf meine aktuelle Version von openssh (2.9.9p2-124, SuSE 7.3). Ich habe von SuSE eine Stellungnahme gefunden, die Euch auch interessieren könnte:

-----schnipp
SuSE Security Announcement

Package: openssh
Announcement-ID: SuSE-SA:2002:024
Date: Tuesday, Jul 2nd 2002 22:00 MEST
Affected products: 6.4, 7.0, 7.1, 7.2, 7.3, 8.0
SuSE Linux Database Server,
SuSE eMail Server III,
SuSE Linux Enterprise Server,
SuSE Linux Firewall on CD
Vulnerability Type: possible remote access
Severity (1-10): 3
SuSE default package: yes

Content of this advisory:
1) security vulnerability resolved: openssh
problem description, discussion, solution and upgrade information
2) pending vulnerabilities, solutions, workarounds
3) standard appendix (further information)

__________________________________________________ ____________________________

1) problem description, brief discussion, solution, upgrade information

SuSE Security has issued two warnings and one SuSE Security Announcement
on 25th and 26th of June concerning the vulnerabilities found in the
openssh package that is contained and installed by default on most SuSE
products. For a few days, the nature of the errors were unknown to the
public, making it difficult for distributors to provide proper solutions
against the problem. Now that details of the errors have been disclosed,
we hereby re-release SuSE Security Announcement SuSE-SA:2002:023 (openssh)
under a new announcement ID with links to a set of update packages that
represent SuSE's permanent fix for the problems found.

After closer investigation it turned out that the packages in SuSE
products were not vulnerable to the problems if the admin did not change
the configuration file of the secure shell daemon (/etc/ssh/sshd_config).
In particular, the administrator must actively have set the sshd_config
option PAMAuthenticationViaKbdInt to "yes" for the installation to become
vulnerable. Since the SuSE openssh packages are compiled without S/KEY
support, they are not vulnerable to the second bug that is triggered by
the option ChallengeResponseAuthentication if it is set to "yes" (default).
The two configuration options correspond to the two security problems
found in openssh.

Our SuSE Linux distributions have seen a version upgrade from version
2.9.9p2 to 3.3p1 on Tuesday last week. In order to provide properly
functioning packages for our products, we have decided to return to the
commonly known stable version 2.9.9p2 with the necessary patch to fix
the vulnerability for the SuSE Linux distributions 6.4 up to 7.3 and
for our server products. SuSE Linux 8.0 came with the newer version
3.0.2p1 and will therefore be upgraded to openssh-3.4p1.
We think that adding the patches to the existing versions without
a version upgrade is best-service for our customers because we can
provide a solution that we know not to break anything else.
For more information about the bugs in openssh please visit the openssh
project homepage at http://www.openssh.org/ and read the SuSE Security
Announcements at http://www.suse.de/security/.


Please download the update package for your distribution and verify its
integrity by the methods listed in section 3) of this announcement.
Then, install the package using the command "rpm -Fhv file.rpm" to apply
the update.
Our maintenance customers are being notified individually. The packages
are being offered to install from the maintenance web.

SPECIAL INSTALLATION INSTRUCTIONS:
===================================
* For SuSE Linux 6.4 through 7.3, the now offered packages are a version
downgrade. The rpm command refuses to install the package unless you
either use the "--force --nodeps" or the "--oldpackage" commandline
option in addition to the "-Fhv" option.
* For the update package to become effective, you have to restart the
running parent ssh daemon with the following command:
rcsshd stop ; rcsshd start
If you perform the update and the daemon restart via a remote secure
shell connection, you might want to play safe by running the command
echo "rcsshd stop; rcsshd start"|at now + 3 minutes
from a root shell. If your running instance of sshd gets killed for
some reason, then your sshd will start again after three minutes.
Afterwards, make sure that remote login to your host is possible.
[...ftp Downloadlinks...]
-----schnapp

Also, ich meine hieraus gelesen zu haben, SuSE habe eine spezielle openssh Version für die Distributionen inkl. meiner 7.3.

Dann bleibt aber immer noch meine Frage von ganz oben, was die Fehlermeldung socket: Address family not supported by protocol bedeutet.
Diese Meldung kommt nur bei ssh username@localhost.

Ich weiss, es gibt keine Probleme, sondern nur Herausforderungen, aber diese finde ich doch schon recht gross.

Was soll das alles nur bedeuten? :confused:

[Jasper]

Original geschrieben von Tasman

Also, ich meine hieraus gelesen zu haben, SuSE habe eine spezielle openssh Version für die Distributionen inkl. meiner 7.3.


sei beruhigt, suse hat den patch auf 2.9.9 zurückportiert. dine version ist also (vorerst) sicher.



Dann bleibt aber immer noch meine Frage von ganz oben, was die Fehlermeldung socket: Address family not supported by protocol bedeutet.
Diese Meldung kommt nur bei ssh username@localhost.


liegt vermutlich an IPv6. suse ist der meinung, bei ihrer distribution IPv6 anschalten zu müssen.

mach mal ein 'ssh -4 ssh username@localhost'. tritt die meldung da auch auf?

-j

[Tasman]

Hallo,

vielen Dank für Deine Antwort.

Zunächst bin ich beruhigt und kann meine Panikanfälle wieder herunterfahren. :)

ssh -4 username@localhost habe ich ausprobiert. Die Fehlermeldung taucht dabei nicht mehr auf! :) Es liegt also tatsächlich an dem IPv6.

Dann werde ich mir mal die Dokus vornehmen und schauen, den default auf IPv4 zu setzen.

Danke nochmal an alle, die mir hier weitergeholfen haben! :cool: