Tutkitusti laadukkaampaa koodia

Edelleen, mitäs piipität?

Kernelistä ilmestyy versio 2.6.x ja kernelin kehittäjät vielä paikkaavat pari versiota vanhemman reikiä (huom. mun yli vuoden vanha RH8-installaatio asensi 2.4:n oletuksena).

Päivä sekin kun Mikkis samaan ryhtyisi... paikkaisi ja päivittäisi NT4:ää asiakastyytyväisyyden takaamiseksi...

Toisille on tärkeää tarjota toimivia tuotteita ja niille ylläpitoa. Toisille rahankeruu.

Bits© kirjoitti:

Edelleen, mitäs piipität?

Kernelistä ilmestyy versio 2.6.x ja kernelin kehittäjät vielä paikkaavat pari versiota vanhemman reikiä (huom. mun yli vuoden vanha RH8-installaatio asensi 2.4:n oletuksena).

Päivä sekin kun Mikkis samaan ryhtyisi... paikkaisi ja päivittäisi NT4:ää asiakastyytyväisyyden takaamiseksi...

Toisille on tärkeää tarjota toimivia tuotteita ja niille ylläpitoa. Toisille rahankeruu.

2.6 ei ole otettu käyttöön yhdessäkään Linux distrossa, kestää vielä kuukausia ellei vuosia ennen kuin kauppalliset distrot siirtyvät siihen.

höpö kirjoitti:

2.6 ei ole otettu käyttöön yhdessäkään Linux distrossa, kestää vielä kuukausia ellei vuosia ennen kuin kauppalliset distrot siirtyvät siihen.

Ei kyllä kestä vuosia.
Itsellä on koedistrojakelu,
jossa on uus ydin. Virallinen
versio ilmestyy hyvin pian.

höpö kirjoitti:

2.6 ei ole otettu käyttöön yhdessäkään Linux distrossa, kestää vielä kuukausia ellei vuosia ennen kuin kauppalliset distrot siirtyvät siihen.

"kuukausia ellei vuosia"

Tuossa Linux-palstalla yksi kaveri juuri väitti saaneensa sen Gentoon mukana... en ole vielä tsekannut asennuslevyiltä josko puhui sitä ihtiään.

Siitä huolimatta, uusi versio on julkaistu ja pari numeroa vanhempaa patchataan. Microsoftilla on oppimista.

Miten sä jaksat noin vanhaa uutista heittää tänne jatkuvasti? Eikö sulla tosiaan oo mitään tuoreempaa kerrottavaa?

löytäisit tuoreempaa tietoa.

Ja viel yläkaneetti "XXXtutkimuslaitos _väittää_"

O sancta simplicitas!

Inttikaverini teki aikoinans IS:n lööpin jossa oikein pienellä luki yläreunassa: "Bagdadin radio väittää:

(ja sitten niin isolla ku lähtee:)

IRAN VAPAUTTI PANTTIVANGIT!!!"

Paino sanalla väittää, oli vuosi 1980... lukekaa historiankirjoista, tiedätte mistä kyse. Pointtini on; älkää jumankavita vanhaa hear/say -tietoa täällä esittäkö lähteinänne!

Linuxista löydetyt aukot tämän vuoden aikana:
Vuoden 2003 tietoturvatiedotteet
[11.11.2003] DSA-400 omega-rpg - buffer overflow
[10.11.2003] DSA-399 epic4 - buffer overflow
[10.11.2003] DSA-398 conquest - buffer overflow
[ 7.11.2003] DSA-397 postgresql - buffer overflow
[29.10.2003] DSA-396 thttpd - missing input sanitizing, wrong calculation
[15.10.2003] DSA-395 tomcat4 - incorrect input handling
[11.10.2003] DSA-394 openssl095 - ASN.1 parsing vulnerability
[ 1.10.2003] DSA-393 openssl - denial of service
[29. 9.2003] DSA-392 webfs - buffer overflows, file and directory exposure
[28. 9.2003] DSA-391 freesweep - buffer overflow
[26. 9.2003] DSA-390 marbles - buffer overflow
[20. 9.2003] DSA-389 ipmasq - insecure packet filtering rules
[19. 9.2003] DSA-388 kdebase - several vulnerabilities
[18. 9.2003] DSA-387 gopher - buffer overflows
[18. 9.2003] DSA-386 libmailtools-perl - input validation bug
[18. 9.2003] DSA-385 hztty - buffer overflows
[17. 9.2003] DSA-384 sendmail - buffer overflows
[17. 9.2003] DSA-383 ssh-krb5 - possible remote vulnerability
[16. 9.2003] DSA-382 ssh - possible remote vulnerability
[13. 9.2003] DSA-381 mysql - buffer overflow
[12. 9.2003] DSA-380 xfree86 - buffer overflows, denial of service
[11. 9.2003] DSA-379 sane-backends - several vulnerabilities
[ 7. 9.2003] DSA-378 mah-jong - buffer overflows, denial of service
[ 4. 9.2003] DSA-377 wu-ftpd - insecure program execution
[ 4. 9.2003] DSA-376 exim - buffer overflow
[29. 8.2003] DSA-375 node - buffer overflow, format string
[26. 8.2003] DSA-374 libpam-smb - buffer overflow
[16. 8.2003] DSA-373 autorespond - buffer overflow
[16. 8.2003] DSA-372 netris - buffer overflow
[11. 8.2003] DSA-371 perl - cross-site scripting
[ 8. 8.2003] DSA-370 pam-pgsql - format string
[ 8. 8.2003] DSA-369 zblast - buffer overflow
[ 8. 8.2003] DSA-368 xpcd - buffer overflow
[ 8. 8.2003] DSA-367 xtokkaetama - buffer overflow
[ 5. 8.2003] DSA-366 eroaster - insecure temporary file
[ 5. 8.2003] DSA-365 phpgroupware - several vulnerabilities
[ 4. 8.2003] DSA-364 man-db - buffer overflows, arbitrary command execution
[ 3. 8.2003] DSA-363 postfix - denial of service, bounce-scanning
[ 2. 8.2003] DSA-362 mindi - insecure temporary file
[ 1. 8.2003] DSA-361 kdelibs, kdelibs-crypto - several vulnerabilities
[ 1. 8.2003] DSA-360 xfstt - several vulnerabilities
[31. 7.2003] DSA-359 atari800 - buffer overflows
[31. 7.2003] DSA-358 linux-kernel-2.4.18 - several vulnerabilities
[31. 7.2003] DSA-357 wu-ftpd - remote root exploit
[30. 7.2003] DSA-356 xtokkaetama - buffer overflows
[30. 7.2003] DSA-355 gallery - cross-site scripting
[29. 7.2003] DSA-354 xconq - buffer overflows
[29. 7.2003] DSA-353 sup - insecure temporary file
[22. 7.2003] DSA-352 fdclone - epäluotettava väliaikaishakemisto
[16. 7.2003] DSA-351 php4 - ristiinlinkittävä komentosarja
[15. 7.2003] DSA-350 falconseye - puskurin ylivuoto
[14. 7.2003] DSA-349 nfs-utils - buffer overflow
[11. 7.2003] DSA-348 traceroute-nanog - integer overflow, buffer overflow
[ 8. 7.2003] DSA-347 teapop - SQL-syöttö
[ 8. 7.2003] DSA-346 phpsysinfo - directory traversal
[ 8. 7.2003] DSA-345 xbl - buffer overflow
[ 8. 7.2003] DSA-344 unzip - directory traversal
[ 8. 7.2003] DSA-343 skk, ddskk - insecure temporary file
[ 7. 7.2003] DSA-342 mozart - unsafe mailcap configuration
[ 7. 7.2003] DSA-341 liece - insecure temporary file
[ 6. 7.2003] DSA-340 x-face-el - insecure temporary file
[ 6. 7.2003] DSA-339 semi - insecure temporary file
[29. 6.2003] DSA-338 proftpd - SQL injection
[29. 6.2003] DSA-337 gtksee - buffer overflow
[29. 6.2003] DSA-336 linux-kernel-2.2.20 - useita haavoittuvuuksia
[28. 6.2003] DSA-335 mantis - virheelliset lukuoikeudet
[28. 6.2003] DSA-334 xgalaga - puskurin ylivuotoja
[27. 6.2003] DSA-333 acm - kokonaisluvun ylivuoto
[27. 6.2003] DSA-332 linux-kernel-2.4.17 - useita haavoittuvuuksia
[27. 6.2003] DSA-331 imagemagick - epäluotettava väliaikaistiedosto
[23. 6.2003] DSA-330 tcptraceroute - failure to drop root privileges
[20. 6.2003] DSA-329 osh - puskurin ylivuotoja
[19. 6.2003] DSA-328 webfs - puskurin ylivuoto
[19. 6.2003] DSA-327 xbl - puskurin ylivuotoja
[19. 6.2003] DSA-326 orville-write - puskurin ylivuotoja
[19. 6.2003] DSA-325 eldav - epäluotettava väliaikaistiedosto
[18. 6.2003] DSA-324 ethereal - useita haavoittuvuuksia
[16. 6.2003] DSA-323 noweb - epäluotettavat väliaikaistiedostot
[16. 6.2003] DSA-322 typespeed - puskurin ylivuoto
[13. 6.2003] DSA-321 radiusd-cistron - puskurin ylivuoto
[13. 6.2003] DSA-320 mikmod - puskurin ylivuoto
[12. 6.2003] DSA-319 webmin - istuntotunnuksen kaappaus
[12. 6.2003] DSA-318 lyskom-server - palvelunesto
[11. 6.2003] DSA-317 cupsys - palvelunesto
[11. 6.2003] DSA-316 nethack - puskurin ylivuoto, virheelliset käyttöoikeudet
[11. 6.2003] DSA-315 gnocatan - puskurin ylivuotoja, palvelunesto
[11. 6.2003] DSA-314 atftp - puskurin ylivuoto
[11. 6.2003] DSA-313 ethereal - puskurin ylivuotoja, kokonaisluvun ylivuotoja
[ 9. 6.2003] DSA-312 kernel-patch-2.4.18-powerpc - useita haavoittuvuuksia
[ 8. 6.2003] DSA-311 linux-kernel-2.4.18 - useita haavoittuvuuksia
[ 8. 6.2003] DSA-310 xaos - sopimattomat setuid-root-oikeudet
[ 6. 6.2003] DSA-309 eterm - puskurin ylivuoto
[ 6. 6.2003] DSA-308 gzip - epäluotettavat väliaikaistiedostot
[27. 5.2003] DSA-307 gps - useita haavoittuvuuksia
[19. 5.2003] DSA-306 ircii-pana - puskurin ylivuotoja, kokonaisluvun ylivuoto
[15. 5.2003] DSA-305 sendmail - epäluotettavat väliaikaistiedostot
[15. 5.2003] DSA-304 lv - käyttäjäoikeuksien laajentuminen
[15. 5.2003] DSA-303 mysql - käyttäjäoikeuksien laajentuminen
[ 7. 5.2003] DSA-302 fuzz - käyttäjäoikeuksien laajentuminen
[ 7. 5.2003] DSA-301 libgtop - puskurin ylivuoto
[ 6. 5.2003] DSA-300 balsa - puskurin ylivuoto
[ 6. 5.2003] DSA-299 leksbot - sopimattomat setuid-root-oikeudet
[ 2. 5.2003] DSA-298 epic4 - puskurin ylivuotoja
[ 1. 5.2003] DSA-297 snort - integer overflow, buffer overflow
[30. 4.2003] DSA-296 kdebase - epäluotettava ohjelman suoritus
[30. 4.2003] DSA-295 pptpd - puskurin ylivuoto
[23. 4.2003] DSA-294 gkrellm-newsticker - puuttuva siteeraus, epätäydellinen jäsentelijä
[23. 4.2003] DSA-293 kdelibs - epäluotettava ohjelman suoritus
[22. 4.2003] DSA-292 mime-support - epäluotettava väliaikaistiedoston luonti
[22. 4.2003] DSA-291 ircii - puskurin ylivuotoja
[17. 4.2003] DSA-290 sendmail-wide - char-to-int -muunnos
[17. 4.2003] DSA-289 rinetd - virheellinen muistin koon muutos
[17. 4.2003] DSA-288 openssl - several vulnerabilities
[15. 4.2003] DSA-287 epic - puskurin ylivuotoja
[14. 4.2003] DSA-286 gs-common - epäluotettava väliaikaistiedosto
[14. 4.2003] DSA-285 lprng - insecure temporary file
[12. 4.2003] DSA-284 kdegraphics - epäluotettava ohjelman suoritus
[11. 4.2003] DSA-283 xfsdump - epäluotettava tiedoston luonti
[ 9. 4.2003] DSA-282 glibc - kokonaisluvun ylivuoto
[ 8. 4.2003] DSA-281 moxftp - puskurin ylivuoto
[ 7. 4.2003] DSA-280 samba - puskurin ylivuoto
[ 7. 4.2003] DSA-279 metrics - insecure temporary file creation
[ 4. 4.2003] DSA-278 sendmail - char-to-int -muunnos
[ 3. 4.2003] DSA-277 apcupsd - puskureiden ylivuotoja, muotoilumerkkijono
[ 3. 4.2003] DSA-276 linux-kernel-s390 - paikallisten käyttäjäoikeuksien laajentuminen
[ 2. 4.2003] DSA-275 lpr-ppd - puskurin ylivuoto
[28. 3.2003] DSA-274 mutt - puskurin ylivuoto
[28. 3.2003] DSA-273 krb4 - Cryptographic weakness
[28. 3.2003] DSA-272 dietlibc - kokonaisluvun ylivuoto
[27. 3.2003] DSA-271 ecartis - luvaton salasanan muuttaminen
[27. 3.2003] DSA-270 linux-kernel-mips - paikallisten käyttäjäoikeuksien laajentuminen
[26. 3.2003] DSA-269 heimdal - Cryptographic weakness
[25. 3.2003] DSA-268 mutt - puskurin ylivuoto
[24. 3.2003] DSA-267 lpr - puskurin ylivuoto
[24. 3.2003] DSA-266 krb5 - several vulnerabilities
[21. 3.2003] DSA-265 bonsai - useita tietoturva-aukkoja
[19. 3.2003] DSA-264 lxr - puutteita tiedostonimen siistimisessä
[17. 3.2003] DSA-263 netpbm-free - "math overflow"-virheitä
[15. 3.2003] DSA-262 samba - hyväksikäyttö etäkoneelta
[14. 3.2003] DSA-261 tcpdump - loppumaton silmukka
[13. 3.2003] DSA-260 file - puskurin ylivuoto
[12. 3.2003] DSA-259 qpopper - mail-käyttäjäoikeuksien laajentuminen
[10. 3.2003] DSA-258 ethereal - muotoilumerkkijonon haavoittuvuus
[ 4. 3.2003] DSA-257 sendmail - hyväksikäyttö etäkoneelta
[28. 2.2003] DSA-256 mhc - epäluotettava väliaikaistiedosto
[27. 2.2003] DSA-255 tcpdump - loppumaton silmukka
[27. 2.2003] DSA-254 traceroute-nanog - puskurin ylivuoto
[24. 2.2003] DSA-253 openssl - tietojen vuoto
[21. 2.2003] DSA-252 slocate - puskurin ylivuoto
[14. 2.2003] DSA-251 w3m - puuttuva HTML-koodin siteeraus
[12. 2.2003] DSA-250 w3mmee-ssl - puuttuva HTML-koodin siteeraus
[11. 2.2003] DSA-249 w3mmee - puuttuva HTML-koodin siteeraus
[31. 1.2003] DSA-248 hypermail - puskureiden ylivuotoja
[30. 1.2003] DSA-247 courier-ssl - puuttuva syötteen siistiminen
[29. 1.2003] DSA-246 tomcat - tietojen paljastuminen, ristiinlinkittävä komentosarja
[28. 1.2003] DSA-245 dhcp3 - laskurin rajan huomiotta jättäminen
[27. 1.2003] DSA-244 noffle - puskurin ylivuotoja
[24. 1.2003] DSA-243 kdemultimedia - useita haavoittuvuuksia
[24. 1.2003] DSA-242 kdebase - useita haavoittuvuuksia
[24. 1.2003] DSA-241 kdeutils - useita haavoittuvuuksia
[23. 1.2003] DSA-240 kdegames - useita haavoittuvuuksia
[23. 1.2003] DSA-239 kdesdk - useita haavoittuvuuksia
[23. 1.2003] DSA-238 kdepim - useita haavoittuvuuksia
[22. 1.2003] DSA-237 kdenetwork - useita haavoittuvuuksia
[22. 1.2003] DSA-236 kdelibs - useita haavoittuvuuksia
[22. 1.2003] DSA-235 kdegraphics - useita haavoittuvuuksia
[22. 1.2003] DSA-234 kdeadmin - useita haavoittuvuuksia
[21. 1.2003] DSA-233 cvs - kahteen kertaan vapautettu muisti
[20. 1.2003] DSA-232 cupsys - useita ongelmia
[17. 1.2003] DSA-231 dhcp3 - pinon ylivuotoja
[16. 1.2003] DSA-230 bugzilla - epäluotettavat käyttäjäoikeudet ja varmuuskopiot
[15. 1.2003] DSA-229 imp - SQL-syöttö
[14. 1.2003] DSA-228 libmcrypt - puskurin ylivuotoja ja muistivuoto
[13. 1.2003] DSA-227 openldap2 - puskurin ylivuotoja ja muitakin vikoja
[10. 1.2003] DSA-226 xpdf-i - kokonaisluvun ylivuoto
[ 9. 1.2003] DSA-225 tomcat4 - lähteen paljastuminen
[ 8. 1.2003] DSA-224 canna - puskurin ylivuoto ja muitakin ongelmia
[ 7. 1.2003] DSA-223 geneweb - tietojen paljastuminen
[ 6. 1.2003] DSA-222 xpdf - kokonaisluvun ylivuoto
[ 3. 1.2003] DSA-221 mhonarc - ristiinlinkittävä komentosarja
[ 2. 1.2003] DSA-220 squirrelmail - ristiinlinkittävä komentosarja

Ei linuxia syyttä open sourceksi sanota, sehän on avoin kaikille!

Linuxin käytetyimmästä FTP-palvelinohjelmasta Wu-FTP:stä on löytynyt vakava tietoturva-aukko, joka koskee kaikkia ohjelman versioita. Vian avulla krakkeri voi päästä käsiksi kaikkiin palvelimen tiedostoihin, mikäli hän pääsee käyttämään FTP-palvelua.

Koska suurin osa Wu-FTP:tä käyttävistä palvelimista päästää kaikki anonyymit käyttäjät läpi, haavoittumisen mahdollisuus on suuri. CERT-tietoturvajärjestön suosituksen mukaisesti reiästä oli tarkoitus tiedottaa vasta 3. joulukuuta, mutta Linux-ohjelmavalmistaja Red Hat lipsautti tiedot julkisuuteen ennenaikaisesti.

Tämä oli shokki muille Linux-yrityksille, joille tulikin kiire paikata aukko yhdessä verkkoturvallisuusyhtiö Security Focusin kanssa. Tämän kuun puolivälissä reiän löytäneen tietoturvayhtiö Core Security Technologiesin mielestä Red Hatin ilmoitus on haitaksi tietoturvalle, koska tietoja tuli julki kesken testivaiheen.

Asiakkaat tietävät nyt haavoittuvuuden, mutta muilla kuin Red Hatin asiakkailla ei ole vielä korjauspakettia. Red Hat myöntää tehneensä pahan virheen ja pyytelee anteeksi.


Joku aika sitten uutisoitiin kuinka linux rikkoo LG:n cd-asemia, jotka muka ovat epästandardeja vaikka vähänkin koodia ymmärtävä tietää, että linux on täynnä koodia, jonka mukaan kaikki epästandardi pitäisi toimia ilman ongelmia toisin kuin standardit asiat, jotka on tehty juuri windowsia ajatellen. Linux-peelojen mukaan tämä LG:n cd-asemien hajoaminen oli LG:n syytä, mutta kaikkihan tietävät kuinka kuitenkin juuri Linuxin asennuksen aikana sattui nämä LG:n cd-asemat hajoamaan, joten kyllä sitä vähän älliä käyttämällä ymmärtää, että syylinen on Linux.

"Ranskalainen Linux-talo Mandrake on törmännyt hämmentävään ongelmaan uusimman Mandrake Linux 9.2 -jakelunsa kanssa. Järjestelmän asennus nimittäin hajottaa LG:n valmistamia cd-rom-asemia fyysisesti toimimattomiksi. Ongelma on vakava sillä LG:n asemat ovat varsin yleisiä ja niitä toimitetaan esimerkiksi Dellin tietokoneiden mukana. Mandrake kertoo, että ongelma ilmenee Linux-paketin asennuksen yhteydessä. Ohjelma ilmoittaa ettei perusohjelmiston asennus onnistu, ja kun tietokoneen käynnistää uudelleen, menee cd-asema fyysisesti pimeäksi."

-ITviikko

Linuxin uusimmasta 2.4-ytimestä on löytynyt vakava tietoturva-aukko. Haavoittuvuus paljastui, kun tuntematon hyökkääjä pääsi reiän avulla murtautumaan suositun Debian Linux-jakelun palvelimille. Turva-aukkoa ei onneksi voi hyödyntää suoraan Linux-koneen ulkopuolelta. Jos hyökkääjä kuitenkin pääsee koneelle edes jonkinlaisilla vierastunnuksilla, hän pystyy antamaan itselleen täydet käyttöoikeudet ja ottamaan koneen haltuunsa.

Tietoturvayhtiö Symantec varoittaa, että hakkerit voisivat yhdistää uuden haavoittuvuuden joihinkin aikaisempiin reikiin, joilla hyökkääjä saisi ensin osittaisen pääsyn koneelle. Turva-aukkojen yhdistelmää voisi näin käyttää esimerkiksi verkkomadon rakentamiseen. Symantecin mukaan ohjeet turva-aukon käyttöön eivät ole vielä yleisessä tiedossa, mutta niitä kierrätetään selvästikin tietomurtajien piireissä.

Haavoittuvuus on hankala tapaus Linux-yhteisölle. Koska virhe on Linuxin ytimessä, se on levinnyt käytännössä kaikkiin eri jakeluihin ja versioihin. Reikä löytyy Linuxin 2.4-ytimen kaikista versioista

Pentti Nelonen kirjoitti:

Linuxista löydetyt aukot tämän vuoden aikana:
Vuoden 2003 tietoturvatiedotteet
[11.11.2003] DSA-400 omega-rpg - buffer overflow
[10.11.2003] DSA-399 epic4 - buffer overflow
[10.11.2003] DSA-398 conquest - buffer overflow
[ 7.11.2003] DSA-397 postgresql - buffer overflow
[29.10.2003] DSA-396 thttpd - missing input sanitizing, wrong calculation
[15.10.2003] DSA-395 tomcat4 - incorrect input handling
[11.10.2003] DSA-394 openssl095 - ASN.1 parsing vulnerability
[ 1.10.2003] DSA-393 openssl - denial of service
[29. 9.2003] DSA-392 webfs - buffer overflows, file and directory exposure
[28. 9.2003] DSA-391 freesweep - buffer overflow
[26. 9.2003] DSA-390 marbles - buffer overflow
[20. 9.2003] DSA-389 ipmasq - insecure packet filtering rules
[19. 9.2003] DSA-388 kdebase - several vulnerabilities
[18. 9.2003] DSA-387 gopher - buffer overflows
[18. 9.2003] DSA-386 libmailtools-perl - input validation bug
[18. 9.2003] DSA-385 hztty - buffer overflows
[17. 9.2003] DSA-384 sendmail - buffer overflows
[17. 9.2003] DSA-383 ssh-krb5 - possible remote vulnerability
[16. 9.2003] DSA-382 ssh - possible remote vulnerability
[13. 9.2003] DSA-381 mysql - buffer overflow
[12. 9.2003] DSA-380 xfree86 - buffer overflows, denial of service
[11. 9.2003] DSA-379 sane-backends - several vulnerabilities
[ 7. 9.2003] DSA-378 mah-jong - buffer overflows, denial of service
[ 4. 9.2003] DSA-377 wu-ftpd - insecure program execution
[ 4. 9.2003] DSA-376 exim - buffer overflow
[29. 8.2003] DSA-375 node - buffer overflow, format string
[26. 8.2003] DSA-374 libpam-smb - buffer overflow
[16. 8.2003] DSA-373 autorespond - buffer overflow
[16. 8.2003] DSA-372 netris - buffer overflow
[11. 8.2003] DSA-371 perl - cross-site scripting
[ 8. 8.2003] DSA-370 pam-pgsql - format string
[ 8. 8.2003] DSA-369 zblast - buffer overflow
[ 8. 8.2003] DSA-368 xpcd - buffer overflow
[ 8. 8.2003] DSA-367 xtokkaetama - buffer overflow
[ 5. 8.2003] DSA-366 eroaster - insecure temporary file
[ 5. 8.2003] DSA-365 phpgroupware - several vulnerabilities
[ 4. 8.2003] DSA-364 man-db - buffer overflows, arbitrary command execution
[ 3. 8.2003] DSA-363 postfix - denial of service, bounce-scanning
[ 2. 8.2003] DSA-362 mindi - insecure temporary file
[ 1. 8.2003] DSA-361 kdelibs, kdelibs-crypto - several vulnerabilities
[ 1. 8.2003] DSA-360 xfstt - several vulnerabilities
[31. 7.2003] DSA-359 atari800 - buffer overflows
[31. 7.2003] DSA-358 linux-kernel-2.4.18 - several vulnerabilities
[31. 7.2003] DSA-357 wu-ftpd - remote root exploit
[30. 7.2003] DSA-356 xtokkaetama - buffer overflows
[30. 7.2003] DSA-355 gallery - cross-site scripting
[29. 7.2003] DSA-354 xconq - buffer overflows
[29. 7.2003] DSA-353 sup - insecure temporary file
[22. 7.2003] DSA-352 fdclone - epäluotettava väliaikaishakemisto
[16. 7.2003] DSA-351 php4 - ristiinlinkittävä komentosarja
[15. 7.2003] DSA-350 falconseye - puskurin ylivuoto
[14. 7.2003] DSA-349 nfs-utils - buffer overflow
[11. 7.2003] DSA-348 traceroute-nanog - integer overflow, buffer overflow
[ 8. 7.2003] DSA-347 teapop - SQL-syöttö
[ 8. 7.2003] DSA-346 phpsysinfo - directory traversal
[ 8. 7.2003] DSA-345 xbl - buffer overflow
[ 8. 7.2003] DSA-344 unzip - directory traversal
[ 8. 7.2003] DSA-343 skk, ddskk - insecure temporary file
[ 7. 7.2003] DSA-342 mozart - unsafe mailcap configuration
[ 7. 7.2003] DSA-341 liece - insecure temporary file
[ 6. 7.2003] DSA-340 x-face-el - insecure temporary file
[ 6. 7.2003] DSA-339 semi - insecure temporary file
[29. 6.2003] DSA-338 proftpd - SQL injection
[29. 6.2003] DSA-337 gtksee - buffer overflow
[29. 6.2003] DSA-336 linux-kernel-2.2.20 - useita haavoittuvuuksia
[28. 6.2003] DSA-335 mantis - virheelliset lukuoikeudet
[28. 6.2003] DSA-334 xgalaga - puskurin ylivuotoja
[27. 6.2003] DSA-333 acm - kokonaisluvun ylivuoto
[27. 6.2003] DSA-332 linux-kernel-2.4.17 - useita haavoittuvuuksia
[27. 6.2003] DSA-331 imagemagick - epäluotettava väliaikaistiedosto
[23. 6.2003] DSA-330 tcptraceroute - failure to drop root privileges
[20. 6.2003] DSA-329 osh - puskurin ylivuotoja
[19. 6.2003] DSA-328 webfs - puskurin ylivuoto
[19. 6.2003] DSA-327 xbl - puskurin ylivuotoja
[19. 6.2003] DSA-326 orville-write - puskurin ylivuotoja
[19. 6.2003] DSA-325 eldav - epäluotettava väliaikaistiedosto
[18. 6.2003] DSA-324 ethereal - useita haavoittuvuuksia
[16. 6.2003] DSA-323 noweb - epäluotettavat väliaikaistiedostot
[16. 6.2003] DSA-322 typespeed - puskurin ylivuoto
[13. 6.2003] DSA-321 radiusd-cistron - puskurin ylivuoto
[13. 6.2003] DSA-320 mikmod - puskurin ylivuoto
[12. 6.2003] DSA-319 webmin - istuntotunnuksen kaappaus
[12. 6.2003] DSA-318 lyskom-server - palvelunesto
[11. 6.2003] DSA-317 cupsys - palvelunesto
[11. 6.2003] DSA-316 nethack - puskurin ylivuoto, virheelliset käyttöoikeudet
[11. 6.2003] DSA-315 gnocatan - puskurin ylivuotoja, palvelunesto
[11. 6.2003] DSA-314 atftp - puskurin ylivuoto
[11. 6.2003] DSA-313 ethereal - puskurin ylivuotoja, kokonaisluvun ylivuotoja
[ 9. 6.2003] DSA-312 kernel-patch-2.4.18-powerpc - useita haavoittuvuuksia
[ 8. 6.2003] DSA-311 linux-kernel-2.4.18 - useita haavoittuvuuksia
[ 8. 6.2003] DSA-310 xaos - sopimattomat setuid-root-oikeudet
[ 6. 6.2003] DSA-309 eterm - puskurin ylivuoto
[ 6. 6.2003] DSA-308 gzip - epäluotettavat väliaikaistiedostot
[27. 5.2003] DSA-307 gps - useita haavoittuvuuksia
[19. 5.2003] DSA-306 ircii-pana - puskurin ylivuotoja, kokonaisluvun ylivuoto
[15. 5.2003] DSA-305 sendmail - epäluotettavat väliaikaistiedostot
[15. 5.2003] DSA-304 lv - käyttäjäoikeuksien laajentuminen
[15. 5.2003] DSA-303 mysql - käyttäjäoikeuksien laajentuminen
[ 7. 5.2003] DSA-302 fuzz - käyttäjäoikeuksien laajentuminen
[ 7. 5.2003] DSA-301 libgtop - puskurin ylivuoto
[ 6. 5.2003] DSA-300 balsa - puskurin ylivuoto
[ 6. 5.2003] DSA-299 leksbot - sopimattomat setuid-root-oikeudet
[ 2. 5.2003] DSA-298 epic4 - puskurin ylivuotoja
[ 1. 5.2003] DSA-297 snort - integer overflow, buffer overflow
[30. 4.2003] DSA-296 kdebase - epäluotettava ohjelman suoritus
[30. 4.2003] DSA-295 pptpd - puskurin ylivuoto
[23. 4.2003] DSA-294 gkrellm-newsticker - puuttuva siteeraus, epätäydellinen jäsentelijä
[23. 4.2003] DSA-293 kdelibs - epäluotettava ohjelman suoritus
[22. 4.2003] DSA-292 mime-support - epäluotettava väliaikaistiedoston luonti
[22. 4.2003] DSA-291 ircii - puskurin ylivuotoja
[17. 4.2003] DSA-290 sendmail-wide - char-to-int -muunnos
[17. 4.2003] DSA-289 rinetd - virheellinen muistin koon muutos
[17. 4.2003] DSA-288 openssl - several vulnerabilities
[15. 4.2003] DSA-287 epic - puskurin ylivuotoja
[14. 4.2003] DSA-286 gs-common - epäluotettava väliaikaistiedosto
[14. 4.2003] DSA-285 lprng - insecure temporary file
[12. 4.2003] DSA-284 kdegraphics - epäluotettava ohjelman suoritus
[11. 4.2003] DSA-283 xfsdump - epäluotettava tiedoston luonti
[ 9. 4.2003] DSA-282 glibc - kokonaisluvun ylivuoto
[ 8. 4.2003] DSA-281 moxftp - puskurin ylivuoto
[ 7. 4.2003] DSA-280 samba - puskurin ylivuoto
[ 7. 4.2003] DSA-279 metrics - insecure temporary file creation
[ 4. 4.2003] DSA-278 sendmail - char-to-int -muunnos
[ 3. 4.2003] DSA-277 apcupsd - puskureiden ylivuotoja, muotoilumerkkijono
[ 3. 4.2003] DSA-276 linux-kernel-s390 - paikallisten käyttäjäoikeuksien laajentuminen
[ 2. 4.2003] DSA-275 lpr-ppd - puskurin ylivuoto
[28. 3.2003] DSA-274 mutt - puskurin ylivuoto
[28. 3.2003] DSA-273 krb4 - Cryptographic weakness
[28. 3.2003] DSA-272 dietlibc - kokonaisluvun ylivuoto
[27. 3.2003] DSA-271 ecartis - luvaton salasanan muuttaminen
[27. 3.2003] DSA-270 linux-kernel-mips - paikallisten käyttäjäoikeuksien laajentuminen
[26. 3.2003] DSA-269 heimdal - Cryptographic weakness
[25. 3.2003] DSA-268 mutt - puskurin ylivuoto
[24. 3.2003] DSA-267 lpr - puskurin ylivuoto
[24. 3.2003] DSA-266 krb5 - several vulnerabilities
[21. 3.2003] DSA-265 bonsai - useita tietoturva-aukkoja
[19. 3.2003] DSA-264 lxr - puutteita tiedostonimen siistimisessä
[17. 3.2003] DSA-263 netpbm-free - "math overflow"-virheitä
[15. 3.2003] DSA-262 samba - hyväksikäyttö etäkoneelta
[14. 3.2003] DSA-261 tcpdump - loppumaton silmukka
[13. 3.2003] DSA-260 file - puskurin ylivuoto
[12. 3.2003] DSA-259 qpopper - mail-käyttäjäoikeuksien laajentuminen
[10. 3.2003] DSA-258 ethereal - muotoilumerkkijonon haavoittuvuus
[ 4. 3.2003] DSA-257 sendmail - hyväksikäyttö etäkoneelta
[28. 2.2003] DSA-256 mhc - epäluotettava väliaikaistiedosto
[27. 2.2003] DSA-255 tcpdump - loppumaton silmukka
[27. 2.2003] DSA-254 traceroute-nanog - puskurin ylivuoto
[24. 2.2003] DSA-253 openssl - tietojen vuoto
[21. 2.2003] DSA-252 slocate - puskurin ylivuoto
[14. 2.2003] DSA-251 w3m - puuttuva HTML-koodin siteeraus
[12. 2.2003] DSA-250 w3mmee-ssl - puuttuva HTML-koodin siteeraus
[11. 2.2003] DSA-249 w3mmee - puuttuva HTML-koodin siteeraus
[31. 1.2003] DSA-248 hypermail - puskureiden ylivuotoja
[30. 1.2003] DSA-247 courier-ssl - puuttuva syötteen siistiminen
[29. 1.2003] DSA-246 tomcat - tietojen paljastuminen, ristiinlinkittävä komentosarja
[28. 1.2003] DSA-245 dhcp3 - laskurin rajan huomiotta jättäminen
[27. 1.2003] DSA-244 noffle - puskurin ylivuotoja
[24. 1.2003] DSA-243 kdemultimedia - useita haavoittuvuuksia
[24. 1.2003] DSA-242 kdebase - useita haavoittuvuuksia
[24. 1.2003] DSA-241 kdeutils - useita haavoittuvuuksia
[23. 1.2003] DSA-240 kdegames - useita haavoittuvuuksia
[23. 1.2003] DSA-239 kdesdk - useita haavoittuvuuksia
[23. 1.2003] DSA-238 kdepim - useita haavoittuvuuksia
[22. 1.2003] DSA-237 kdenetwork - useita haavoittuvuuksia
[22. 1.2003] DSA-236 kdelibs - useita haavoittuvuuksia
[22. 1.2003] DSA-235 kdegraphics - useita haavoittuvuuksia
[22. 1.2003] DSA-234 kdeadmin - useita haavoittuvuuksia
[21. 1.2003] DSA-233 cvs - kahteen kertaan vapautettu muisti
[20. 1.2003] DSA-232 cupsys - useita ongelmia
[17. 1.2003] DSA-231 dhcp3 - pinon ylivuotoja
[16. 1.2003] DSA-230 bugzilla - epäluotettavat käyttäjäoikeudet ja varmuuskopiot
[15. 1.2003] DSA-229 imp - SQL-syöttö
[14. 1.2003] DSA-228 libmcrypt - puskurin ylivuotoja ja muistivuoto
[13. 1.2003] DSA-227 openldap2 - puskurin ylivuotoja ja muitakin vikoja
[10. 1.2003] DSA-226 xpdf-i - kokonaisluvun ylivuoto
[ 9. 1.2003] DSA-225 tomcat4 - lähteen paljastuminen
[ 8. 1.2003] DSA-224 canna - puskurin ylivuoto ja muitakin ongelmia
[ 7. 1.2003] DSA-223 geneweb - tietojen paljastuminen
[ 6. 1.2003] DSA-222 xpdf - kokonaisluvun ylivuoto
[ 3. 1.2003] DSA-221 mhonarc - ristiinlinkittävä komentosarja
[ 2. 1.2003] DSA-220 squirrelmail - ristiinlinkittävä komentosarja

Ei linuxia syyttä open sourceksi sanota, sehän on avoin kaikille!

Linuxin käytetyimmästä FTP-palvelinohjelmasta Wu-FTP:stä on löytynyt vakava tietoturva-aukko, joka koskee kaikkia ohjelman versioita. Vian avulla krakkeri voi päästä käsiksi kaikkiin palvelimen tiedostoihin, mikäli hän pääsee käyttämään FTP-palvelua.

Koska suurin osa Wu-FTP:tä käyttävistä palvelimista päästää kaikki anonyymit käyttäjät läpi, haavoittumisen mahdollisuus on suuri. CERT-tietoturvajärjestön suosituksen mukaisesti reiästä oli tarkoitus tiedottaa vasta 3. joulukuuta, mutta Linux-ohjelmavalmistaja Red Hat lipsautti tiedot julkisuuteen ennenaikaisesti.

Tämä oli shokki muille Linux-yrityksille, joille tulikin kiire paikata aukko yhdessä verkkoturvallisuusyhtiö Security Focusin kanssa. Tämän kuun puolivälissä reiän löytäneen tietoturvayhtiö Core Security Technologiesin mielestä Red Hatin ilmoitus on haitaksi tietoturvalle, koska tietoja tuli julki kesken testivaiheen.

Asiakkaat tietävät nyt haavoittuvuuden, mutta muilla kuin Red Hatin asiakkailla ei ole vielä korjauspakettia. Red Hat myöntää tehneensä pahan virheen ja pyytelee anteeksi.


Joku aika sitten uutisoitiin kuinka linux rikkoo LG:n cd-asemia, jotka muka ovat epästandardeja vaikka vähänkin koodia ymmärtävä tietää, että linux on täynnä koodia, jonka mukaan kaikki epästandardi pitäisi toimia ilman ongelmia toisin kuin standardit asiat, jotka on tehty juuri windowsia ajatellen. Linux-peelojen mukaan tämä LG:n cd-asemien hajoaminen oli LG:n syytä, mutta kaikkihan tietävät kuinka kuitenkin juuri Linuxin asennuksen aikana sattui nämä LG:n cd-asemat hajoamaan, joten kyllä sitä vähän älliä käyttämällä ymmärtää, että syylinen on Linux.

"Ranskalainen Linux-talo Mandrake on törmännyt hämmentävään ongelmaan uusimman Mandrake Linux 9.2 -jakelunsa kanssa. Järjestelmän asennus nimittäin hajottaa LG:n valmistamia cd-rom-asemia fyysisesti toimimattomiksi. Ongelma on vakava sillä LG:n asemat ovat varsin yleisiä ja niitä toimitetaan esimerkiksi Dellin tietokoneiden mukana. Mandrake kertoo, että ongelma ilmenee Linux-paketin asennuksen yhteydessä. Ohjelma ilmoittaa ettei perusohjelmiston asennus onnistu, ja kun tietokoneen käynnistää uudelleen, menee cd-asema fyysisesti pimeäksi."

-ITviikko

Linuxin uusimmasta 2.4-ytimestä on löytynyt vakava tietoturva-aukko. Haavoittuvuus paljastui, kun tuntematon hyökkääjä pääsi reiän avulla murtautumaan suositun Debian Linux-jakelun palvelimille. Turva-aukkoa ei onneksi voi hyödyntää suoraan Linux-koneen ulkopuolelta. Jos hyökkääjä kuitenkin pääsee koneelle edes jonkinlaisilla vierastunnuksilla, hän pystyy antamaan itselleen täydet käyttöoikeudet ja ottamaan koneen haltuunsa.

Tietoturvayhtiö Symantec varoittaa, että hakkerit voisivat yhdistää uuden haavoittuvuuden joihinkin aikaisempiin reikiin, joilla hyökkääjä saisi ensin osittaisen pääsyn koneelle. Turva-aukkojen yhdistelmää voisi näin käyttää esimerkiksi verkkomadon rakentamiseen. Symantecin mukaan ohjeet turva-aukon käyttöön eivät ole vielä yleisessä tiedossa, mutta niitä kierrätetään selvästikin tietomurtajien piireissä.

Haavoittuvuus on hankala tapaus Linux-yhteisölle. Koska virhe on Linuxin ytimessä, se on levinnyt käytännössä kaikkiin eri jakeluihin ja versioihin. Reikä löytyy Linuxin 2.4-ytimen kaikista versioista

lähde: microsoft windows update

windows xp sp1 (vain tärkeät päivitykset)

328310: suojauspäivitys - (Lähetyspäivämäärä: November 13, 2003)
329170: suojauspäivitys - (Lähetyspäivämäärä: November 13, 2003)
330994: Outlook Express 6 (SP1) -ohjelman suojauspäivitys (huhtikuu 2003) - (Lähetyspäivämäärä: November 17, 2003)
331953: suojauspäivitys (Windows XP) - (Lähetyspäivämäärä: September 16, 2003)
810217: suojauspäivitys (Windows XP) - (Lähetyspäivämäärä: December 10, 2003)
810565: tärkeä päivitys - (Lähetyspäivämäärä: October 14, 2003)
810577: suojauspäivitys - (Lähetyspäivämäärä: October 13, 2003)
810833: suojauspäivitys (Windows XP) - (Lähetyspäivämäärä: October 14, 2003)
811493: suojauspäivitys (Windows XP) - (Lähetyspäivämäärä: October 14, 2003)
811630: tärkeä päivitys (Windows XP) - (Lähetyspäivämäärä: October 13, 2003)
813951: Internet Explorer 6 (Service Pack 1) -ohjelman päivitys - (Lähetyspäivämäärä: November 14, 2003)
814033: Tärkeä päivitys - (Lähetyspäivämäärä: October 14, 2003)
814078: suojauspäivitys (Microsoft Jscript -versio 5.6, Windows 2000 ja Windows XP) - (Lähetyspäivämäärä: November 20, 2003)
816093: Microsoft Virtual Machine (Microsoft VM) -suojauspäivitys - (Lähetyspäivämäärä: November 04, 2003)
817606: suojauspäivitys (Windows XP) - (Lähetyspäivämäärä: October 21, 2003)
817787: Windows Media Player for Windows XP -ohjelman suojauspäivitys - (Lähetyspäivämäärä: June 05, 2003)
821557: suojauspäivitys (Windows XP) - (Lähetyspäivämäärä: October 13, 2003)
823559: Microsoft Windows -suojauspäivitys - (Lähetyspäivämäärä: November 14, 2003)
Internet Explorer 6 (Service Pack 1) -ohjelman koottu suojauspäivitys (KB824145) - (Lähetyspäivämäärä: November 06, 2003)
Microsoft .NET Framework Service Pack 2, englanninkielinen versio - (Lähetyspäivämäärä: December 03, 2003)
Microsoft Data Access Components -suojauspäivitys (326573) - (Lähetyspäivämäärä: August 19, 2003)
Microsoft Data Access Components -suojauspäivitys (823718) - (Lähetyspäivämäärä: October 13, 2003)
Microsoft Windows -suojauspäivitys (819696) - (Lähetyspäivämäärä: August 26, 2003)
Microsoft Windows -suojauspäivitys (KB823182) - (Lähetyspäivämäärä: October 13, 2003)
Microsoft Windows -suojauspäivitys (KB824105) - (Lähetyspäivämäärä: September 09, 2003)
Microsoft Windows -suojauspäivitys (KB824141) - (Lähetyspäivämäärä: October 29, 2003)
Microsoft Windows XP -käyttöjärjestelmän koottu suojauspäivitys 1 (KB826939) - (Lähetyspäivämäärä: October 28, 2003)
Microsoft Windows XP -suojauspäivitys (KB825119) - (Lähetyspäivämäärä: October 13, 2003)
Microsoft Windows XP -suojauspäivitys (KB828035) - (Lähetyspäivämäärä: November 20, 2003)
MS03-026: Windows XP -suojauspäivitys (823980) - (Lähetyspäivämäärä: September 09, 2003)
Q323255: suojauspäivitys - (Lähetyspäivämäärä: November 13, 2003)
Q329048: suojauspäivitys - (Lähetyspäivämäärä: October 13, 2003)
Q329115: suojauspäivitys (Windows XP) - (Lähetyspäivämäärä: November 20, 2003)
Q329390: suojauspäivitys - (Lähetyspäivämäärä: November 20, 2003)
Q329441: tärkeä päivitys - (Lähetyspäivämäärä: October 13, 2003)
Q817287: Tärkeä päivitys (luettelotietokannan vioittuminen WindowsXPissa) - (Lähetyspäivämäärä: October 14, 2003)
Suojauspäivitys 14.2.2002 (Internet Explorer 6) - (Lähetyspäivämäärä: November 14, 2003)
Windows Media Player -ohjelman komentosarjojen komentojen päivitys (KB828026) - (Lähetyspäivämäärä: October 22, 2003)
Windows Media Playerin suojausongelma voi mahdollistaa mediakirjaston luvattoman käytön (819639) - (Lähetyspäivämäärä: December 04, 2003)
Windows XP -käyttöjärjestelmän suojauspäivitys (329834) - (Lähetyspäivämäärä: October 28, 2003)
Windows XP -käyttöjärjestelmän suojauspäivitys (815021) - (Lähetyspäivämäärä: October 13, 2003)
Windows XP -käyttöjärjestelmän suojauspäivitys (819696) - (Lähetyspäivämäärä: September 16, 2003)
Windows XP -suojauspäivitys (KB824146) - (Lähetyspäivämäärä: September 11, 2003)

windows xp sp1 (vain suositellut päivitykset)

322011: Suositeltu päivitys - (Lähetyspäivämäärä: February 18, 2003)
327979: suositeltu päivitys - (Lähetyspäivämäärä: February 19, 2003)
810272: suositeltu päivitys - (Lähetyspäivämäärä: November 13, 2003)
814995: suositeltu päivitys - (Lähetyspäivämäärä: March 11, 2003)
820223: Outlook Express 6 (Service Pack 1) -päivitys - (Lähetyspäivämäärä: May 20, 2003)
820291: suositeltu päivitys (Windows XP) - (Lähetyspäivämäärä: June 10, 2003)
Jet 4.0 -ohjelman Service Pack 8 -päivitys (KB829558) - (Lähetyspäivämäärä: November 19, 2003)
Microsoft .NET Framework -versio 1.1 (suomenkielinen) - (Lähetyspäivämäärä: August 20, 2003)
Microsoft .NET Framework 1.1 -version suomen kielitukipaketti - (Lähetyspäivämäärä: July 15, 2003)
Microsoft Windows Journal Viewer (Windows XP) - (Lähetyspäivämäärä: October 28, 2003)
Microsoft Windows XP -päivitys (KB826942) - (Lähetyspäivämäärä: November 17, 2003)
Q322069: dynaaminen päivitys 1.3 - (Lähetyspäivämäärä: June 17, 2003)
Q327405: suositeltu päivitys (Windows XP Home Edition) - (Lähetyspäivämäärä: May 06, 2003)
Q327405: suositeltu päivitys (Windows XP Professional) - (Lähetyspäivämäärä: November 13, 2003)
Suositeltu DirectX 9.0a (Managed DirectX) -päivitys - (Lähetyspäivämäärä: October 28, 2003)
Windows Media 9 Series -pakkauksenhallinnan asennuspaketti - (Lähetyspäivämäärä: November 17, 2003)
Windows Media Player 9 Series (Windows XP) - (Lähetyspäivämäärä: February 19, 2003)
Windows Messenger 4.7 - (Lähetyspäivämäärä: May 06, 2003)
Windows Rights Management -asiakasohjelman versio 1.0 - (Lähetyspäivämäärä: October 29, 2003)
Windows XP (Service Pack 1) -käyttöjärjestelmän suositeltu päivitys (817778) - (Lähetyspäivämäärä: October 21, 2003)
Windows XP (Service Pack 1) -käyttöjärjestelmän suositeltu päivitys (KB822603) - (Lähetyspäivämäärä: September 18, 2003)
Windows XP -käyttöjärjestelmän ohjatun CD-levylle tallentamisen HighMAT-tuki (KB831240) - (Lähetyspäivämäärä: December 04, 2003)
Windows XP -käyttöjärjestelmän suositeltu päivitys (818043) - (Lähetyspäivämäärä: October 21, 2003)
Windowsin virheraportointi: suositeltu päivitys (Windows XP) - (Lähetyspäivämäärä: October 31, 2003)


huomaa että tuossa on _vain_ (pelkän xp:n) paikatut aukot(ei siis kaikkia aukkoja) ja tuossa ei ole ollenkaan kolmansien osapuolten ohjelmien tietoturva-aukkoja



lähde: viestintävirasto (vain vuoden 2003 varoitukset)


http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-84.htm
http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-80.htm
http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-78.htm
http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-77.htm
http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-76.htm
http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-75.htm
http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-74.htm
http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-71.htm
http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-70.htm
http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-69.htm
http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-68.htm
http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-67.htm
http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-66.htm
http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-62.htm
http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-58.htm
http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-57.htm
http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-56.htm
http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-55.htm
http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-54.htm
http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-53.htm
http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-52.htm
http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-49.htm
http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-48.htm
http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-46.htm
http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-45.htm
http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-44.htm
http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-41.htm
http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-40.htm
http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-39.htm
http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-38.htm
http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-36.htm
http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-33.htm
http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-32.htm
http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-29.htm
http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-28.htm
http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-27.htm
http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-25.htm
http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-21.htm
http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-20.htm
http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-18.htm
http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-14.htm
http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-13.htm
http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-07.htm
http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-06.htm
http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-05.htm
http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-04.htm


enenpää en jaksa kopioida.. :)
tuli taas tuhlattua aikaa ihan turhaan..

täältä löytyisi vielä lähes kaikki mahdolliset aukot/bugit lähes kaikkiin järjestelmiin mitä on olemassa(bugtraq):
http://www.securityfocus.com/

ei oikein jaksa innostaa vielä tuolta etsiä kaikki ne bugit jotka koskavat ms-tuotteita

Pentti Nelonen kirjoitti:

Linuxista löydetyt aukot tämän vuoden aikana:
Vuoden 2003 tietoturvatiedotteet
[11.11.2003] DSA-400 omega-rpg - buffer overflow
[10.11.2003] DSA-399 epic4 - buffer overflow
[10.11.2003] DSA-398 conquest - buffer overflow
[ 7.11.2003] DSA-397 postgresql - buffer overflow
[29.10.2003] DSA-396 thttpd - missing input sanitizing, wrong calculation
[15.10.2003] DSA-395 tomcat4 - incorrect input handling
[11.10.2003] DSA-394 openssl095 - ASN.1 parsing vulnerability
[ 1.10.2003] DSA-393 openssl - denial of service
[29. 9.2003] DSA-392 webfs - buffer overflows, file and directory exposure
[28. 9.2003] DSA-391 freesweep - buffer overflow
[26. 9.2003] DSA-390 marbles - buffer overflow
[20. 9.2003] DSA-389 ipmasq - insecure packet filtering rules
[19. 9.2003] DSA-388 kdebase - several vulnerabilities
[18. 9.2003] DSA-387 gopher - buffer overflows
[18. 9.2003] DSA-386 libmailtools-perl - input validation bug
[18. 9.2003] DSA-385 hztty - buffer overflows
[17. 9.2003] DSA-384 sendmail - buffer overflows
[17. 9.2003] DSA-383 ssh-krb5 - possible remote vulnerability
[16. 9.2003] DSA-382 ssh - possible remote vulnerability
[13. 9.2003] DSA-381 mysql - buffer overflow
[12. 9.2003] DSA-380 xfree86 - buffer overflows, denial of service
[11. 9.2003] DSA-379 sane-backends - several vulnerabilities
[ 7. 9.2003] DSA-378 mah-jong - buffer overflows, denial of service
[ 4. 9.2003] DSA-377 wu-ftpd - insecure program execution
[ 4. 9.2003] DSA-376 exim - buffer overflow
[29. 8.2003] DSA-375 node - buffer overflow, format string
[26. 8.2003] DSA-374 libpam-smb - buffer overflow
[16. 8.2003] DSA-373 autorespond - buffer overflow
[16. 8.2003] DSA-372 netris - buffer overflow
[11. 8.2003] DSA-371 perl - cross-site scripting
[ 8. 8.2003] DSA-370 pam-pgsql - format string
[ 8. 8.2003] DSA-369 zblast - buffer overflow
[ 8. 8.2003] DSA-368 xpcd - buffer overflow
[ 8. 8.2003] DSA-367 xtokkaetama - buffer overflow
[ 5. 8.2003] DSA-366 eroaster - insecure temporary file
[ 5. 8.2003] DSA-365 phpgroupware - several vulnerabilities
[ 4. 8.2003] DSA-364 man-db - buffer overflows, arbitrary command execution
[ 3. 8.2003] DSA-363 postfix - denial of service, bounce-scanning
[ 2. 8.2003] DSA-362 mindi - insecure temporary file
[ 1. 8.2003] DSA-361 kdelibs, kdelibs-crypto - several vulnerabilities
[ 1. 8.2003] DSA-360 xfstt - several vulnerabilities
[31. 7.2003] DSA-359 atari800 - buffer overflows
[31. 7.2003] DSA-358 linux-kernel-2.4.18 - several vulnerabilities
[31. 7.2003] DSA-357 wu-ftpd - remote root exploit
[30. 7.2003] DSA-356 xtokkaetama - buffer overflows
[30. 7.2003] DSA-355 gallery - cross-site scripting
[29. 7.2003] DSA-354 xconq - buffer overflows
[29. 7.2003] DSA-353 sup - insecure temporary file
[22. 7.2003] DSA-352 fdclone - epäluotettava väliaikaishakemisto
[16. 7.2003] DSA-351 php4 - ristiinlinkittävä komentosarja
[15. 7.2003] DSA-350 falconseye - puskurin ylivuoto
[14. 7.2003] DSA-349 nfs-utils - buffer overflow
[11. 7.2003] DSA-348 traceroute-nanog - integer overflow, buffer overflow
[ 8. 7.2003] DSA-347 teapop - SQL-syöttö
[ 8. 7.2003] DSA-346 phpsysinfo - directory traversal
[ 8. 7.2003] DSA-345 xbl - buffer overflow
[ 8. 7.2003] DSA-344 unzip - directory traversal
[ 8. 7.2003] DSA-343 skk, ddskk - insecure temporary file
[ 7. 7.2003] DSA-342 mozart - unsafe mailcap configuration
[ 7. 7.2003] DSA-341 liece - insecure temporary file
[ 6. 7.2003] DSA-340 x-face-el - insecure temporary file
[ 6. 7.2003] DSA-339 semi - insecure temporary file
[29. 6.2003] DSA-338 proftpd - SQL injection
[29. 6.2003] DSA-337 gtksee - buffer overflow
[29. 6.2003] DSA-336 linux-kernel-2.2.20 - useita haavoittuvuuksia
[28. 6.2003] DSA-335 mantis - virheelliset lukuoikeudet
[28. 6.2003] DSA-334 xgalaga - puskurin ylivuotoja
[27. 6.2003] DSA-333 acm - kokonaisluvun ylivuoto
[27. 6.2003] DSA-332 linux-kernel-2.4.17 - useita haavoittuvuuksia
[27. 6.2003] DSA-331 imagemagick - epäluotettava väliaikaistiedosto
[23. 6.2003] DSA-330 tcptraceroute - failure to drop root privileges
[20. 6.2003] DSA-329 osh - puskurin ylivuotoja
[19. 6.2003] DSA-328 webfs - puskurin ylivuoto
[19. 6.2003] DSA-327 xbl - puskurin ylivuotoja
[19. 6.2003] DSA-326 orville-write - puskurin ylivuotoja
[19. 6.2003] DSA-325 eldav - epäluotettava väliaikaistiedosto
[18. 6.2003] DSA-324 ethereal - useita haavoittuvuuksia
[16. 6.2003] DSA-323 noweb - epäluotettavat väliaikaistiedostot
[16. 6.2003] DSA-322 typespeed - puskurin ylivuoto
[13. 6.2003] DSA-321 radiusd-cistron - puskurin ylivuoto
[13. 6.2003] DSA-320 mikmod - puskurin ylivuoto
[12. 6.2003] DSA-319 webmin - istuntotunnuksen kaappaus
[12. 6.2003] DSA-318 lyskom-server - palvelunesto
[11. 6.2003] DSA-317 cupsys - palvelunesto
[11. 6.2003] DSA-316 nethack - puskurin ylivuoto, virheelliset käyttöoikeudet
[11. 6.2003] DSA-315 gnocatan - puskurin ylivuotoja, palvelunesto
[11. 6.2003] DSA-314 atftp - puskurin ylivuoto
[11. 6.2003] DSA-313 ethereal - puskurin ylivuotoja, kokonaisluvun ylivuotoja
[ 9. 6.2003] DSA-312 kernel-patch-2.4.18-powerpc - useita haavoittuvuuksia
[ 8. 6.2003] DSA-311 linux-kernel-2.4.18 - useita haavoittuvuuksia
[ 8. 6.2003] DSA-310 xaos - sopimattomat setuid-root-oikeudet
[ 6. 6.2003] DSA-309 eterm - puskurin ylivuoto
[ 6. 6.2003] DSA-308 gzip - epäluotettavat väliaikaistiedostot
[27. 5.2003] DSA-307 gps - useita haavoittuvuuksia
[19. 5.2003] DSA-306 ircii-pana - puskurin ylivuotoja, kokonaisluvun ylivuoto
[15. 5.2003] DSA-305 sendmail - epäluotettavat väliaikaistiedostot
[15. 5.2003] DSA-304 lv - käyttäjäoikeuksien laajentuminen
[15. 5.2003] DSA-303 mysql - käyttäjäoikeuksien laajentuminen
[ 7. 5.2003] DSA-302 fuzz - käyttäjäoikeuksien laajentuminen
[ 7. 5.2003] DSA-301 libgtop - puskurin ylivuoto
[ 6. 5.2003] DSA-300 balsa - puskurin ylivuoto
[ 6. 5.2003] DSA-299 leksbot - sopimattomat setuid-root-oikeudet
[ 2. 5.2003] DSA-298 epic4 - puskurin ylivuotoja
[ 1. 5.2003] DSA-297 snort - integer overflow, buffer overflow
[30. 4.2003] DSA-296 kdebase - epäluotettava ohjelman suoritus
[30. 4.2003] DSA-295 pptpd - puskurin ylivuoto
[23. 4.2003] DSA-294 gkrellm-newsticker - puuttuva siteeraus, epätäydellinen jäsentelijä
[23. 4.2003] DSA-293 kdelibs - epäluotettava ohjelman suoritus
[22. 4.2003] DSA-292 mime-support - epäluotettava väliaikaistiedoston luonti
[22. 4.2003] DSA-291 ircii - puskurin ylivuotoja
[17. 4.2003] DSA-290 sendmail-wide - char-to-int -muunnos
[17. 4.2003] DSA-289 rinetd - virheellinen muistin koon muutos
[17. 4.2003] DSA-288 openssl - several vulnerabilities
[15. 4.2003] DSA-287 epic - puskurin ylivuotoja
[14. 4.2003] DSA-286 gs-common - epäluotettava väliaikaistiedosto
[14. 4.2003] DSA-285 lprng - insecure temporary file
[12. 4.2003] DSA-284 kdegraphics - epäluotettava ohjelman suoritus
[11. 4.2003] DSA-283 xfsdump - epäluotettava tiedoston luonti
[ 9. 4.2003] DSA-282 glibc - kokonaisluvun ylivuoto
[ 8. 4.2003] DSA-281 moxftp - puskurin ylivuoto
[ 7. 4.2003] DSA-280 samba - puskurin ylivuoto
[ 7. 4.2003] DSA-279 metrics - insecure temporary file creation
[ 4. 4.2003] DSA-278 sendmail - char-to-int -muunnos
[ 3. 4.2003] DSA-277 apcupsd - puskureiden ylivuotoja, muotoilumerkkijono
[ 3. 4.2003] DSA-276 linux-kernel-s390 - paikallisten käyttäjäoikeuksien laajentuminen
[ 2. 4.2003] DSA-275 lpr-ppd - puskurin ylivuoto
[28. 3.2003] DSA-274 mutt - puskurin ylivuoto
[28. 3.2003] DSA-273 krb4 - Cryptographic weakness
[28. 3.2003] DSA-272 dietlibc - kokonaisluvun ylivuoto
[27. 3.2003] DSA-271 ecartis - luvaton salasanan muuttaminen
[27. 3.2003] DSA-270 linux-kernel-mips - paikallisten käyttäjäoikeuksien laajentuminen
[26. 3.2003] DSA-269 heimdal - Cryptographic weakness
[25. 3.2003] DSA-268 mutt - puskurin ylivuoto
[24. 3.2003] DSA-267 lpr - puskurin ylivuoto
[24. 3.2003] DSA-266 krb5 - several vulnerabilities
[21. 3.2003] DSA-265 bonsai - useita tietoturva-aukkoja
[19. 3.2003] DSA-264 lxr - puutteita tiedostonimen siistimisessä
[17. 3.2003] DSA-263 netpbm-free - "math overflow"-virheitä
[15. 3.2003] DSA-262 samba - hyväksikäyttö etäkoneelta
[14. 3.2003] DSA-261 tcpdump - loppumaton silmukka
[13. 3.2003] DSA-260 file - puskurin ylivuoto
[12. 3.2003] DSA-259 qpopper - mail-käyttäjäoikeuksien laajentuminen
[10. 3.2003] DSA-258 ethereal - muotoilumerkkijonon haavoittuvuus
[ 4. 3.2003] DSA-257 sendmail - hyväksikäyttö etäkoneelta
[28. 2.2003] DSA-256 mhc - epäluotettava väliaikaistiedosto
[27. 2.2003] DSA-255 tcpdump - loppumaton silmukka
[27. 2.2003] DSA-254 traceroute-nanog - puskurin ylivuoto
[24. 2.2003] DSA-253 openssl - tietojen vuoto
[21. 2.2003] DSA-252 slocate - puskurin ylivuoto
[14. 2.2003] DSA-251 w3m - puuttuva HTML-koodin siteeraus
[12. 2.2003] DSA-250 w3mmee-ssl - puuttuva HTML-koodin siteeraus
[11. 2.2003] DSA-249 w3mmee - puuttuva HTML-koodin siteeraus
[31. 1.2003] DSA-248 hypermail - puskureiden ylivuotoja
[30. 1.2003] DSA-247 courier-ssl - puuttuva syötteen siistiminen
[29. 1.2003] DSA-246 tomcat - tietojen paljastuminen, ristiinlinkittävä komentosarja
[28. 1.2003] DSA-245 dhcp3 - laskurin rajan huomiotta jättäminen
[27. 1.2003] DSA-244 noffle - puskurin ylivuotoja
[24. 1.2003] DSA-243 kdemultimedia - useita haavoittuvuuksia
[24. 1.2003] DSA-242 kdebase - useita haavoittuvuuksia
[24. 1.2003] DSA-241 kdeutils - useita haavoittuvuuksia
[23. 1.2003] DSA-240 kdegames - useita haavoittuvuuksia
[23. 1.2003] DSA-239 kdesdk - useita haavoittuvuuksia
[23. 1.2003] DSA-238 kdepim - useita haavoittuvuuksia
[22. 1.2003] DSA-237 kdenetwork - useita haavoittuvuuksia
[22. 1.2003] DSA-236 kdelibs - useita haavoittuvuuksia
[22. 1.2003] DSA-235 kdegraphics - useita haavoittuvuuksia
[22. 1.2003] DSA-234 kdeadmin - useita haavoittuvuuksia
[21. 1.2003] DSA-233 cvs - kahteen kertaan vapautettu muisti
[20. 1.2003] DSA-232 cupsys - useita ongelmia
[17. 1.2003] DSA-231 dhcp3 - pinon ylivuotoja
[16. 1.2003] DSA-230 bugzilla - epäluotettavat käyttäjäoikeudet ja varmuuskopiot
[15. 1.2003] DSA-229 imp - SQL-syöttö
[14. 1.2003] DSA-228 libmcrypt - puskurin ylivuotoja ja muistivuoto
[13. 1.2003] DSA-227 openldap2 - puskurin ylivuotoja ja muitakin vikoja
[10. 1.2003] DSA-226 xpdf-i - kokonaisluvun ylivuoto
[ 9. 1.2003] DSA-225 tomcat4 - lähteen paljastuminen
[ 8. 1.2003] DSA-224 canna - puskurin ylivuoto ja muitakin ongelmia
[ 7. 1.2003] DSA-223 geneweb - tietojen paljastuminen
[ 6. 1.2003] DSA-222 xpdf - kokonaisluvun ylivuoto
[ 3. 1.2003] DSA-221 mhonarc - ristiinlinkittävä komentosarja
[ 2. 1.2003] DSA-220 squirrelmail - ristiinlinkittävä komentosarja

Ei linuxia syyttä open sourceksi sanota, sehän on avoin kaikille!

Linuxin käytetyimmästä FTP-palvelinohjelmasta Wu-FTP:stä on löytynyt vakava tietoturva-aukko, joka koskee kaikkia ohjelman versioita. Vian avulla krakkeri voi päästä käsiksi kaikkiin palvelimen tiedostoihin, mikäli hän pääsee käyttämään FTP-palvelua.

Koska suurin osa Wu-FTP:tä käyttävistä palvelimista päästää kaikki anonyymit käyttäjät läpi, haavoittumisen mahdollisuus on suuri. CERT-tietoturvajärjestön suosituksen mukaisesti reiästä oli tarkoitus tiedottaa vasta 3. joulukuuta, mutta Linux-ohjelmavalmistaja Red Hat lipsautti tiedot julkisuuteen ennenaikaisesti.

Tämä oli shokki muille Linux-yrityksille, joille tulikin kiire paikata aukko yhdessä verkkoturvallisuusyhtiö Security Focusin kanssa. Tämän kuun puolivälissä reiän löytäneen tietoturvayhtiö Core Security Technologiesin mielestä Red Hatin ilmoitus on haitaksi tietoturvalle, koska tietoja tuli julki kesken testivaiheen.

Asiakkaat tietävät nyt haavoittuvuuden, mutta muilla kuin Red Hatin asiakkailla ei ole vielä korjauspakettia. Red Hat myöntää tehneensä pahan virheen ja pyytelee anteeksi.


Joku aika sitten uutisoitiin kuinka linux rikkoo LG:n cd-asemia, jotka muka ovat epästandardeja vaikka vähänkin koodia ymmärtävä tietää, että linux on täynnä koodia, jonka mukaan kaikki epästandardi pitäisi toimia ilman ongelmia toisin kuin standardit asiat, jotka on tehty juuri windowsia ajatellen. Linux-peelojen mukaan tämä LG:n cd-asemien hajoaminen oli LG:n syytä, mutta kaikkihan tietävät kuinka kuitenkin juuri Linuxin asennuksen aikana sattui nämä LG:n cd-asemat hajoamaan, joten kyllä sitä vähän älliä käyttämällä ymmärtää, että syylinen on Linux.

"Ranskalainen Linux-talo Mandrake on törmännyt hämmentävään ongelmaan uusimman Mandrake Linux 9.2 -jakelunsa kanssa. Järjestelmän asennus nimittäin hajottaa LG:n valmistamia cd-rom-asemia fyysisesti toimimattomiksi. Ongelma on vakava sillä LG:n asemat ovat varsin yleisiä ja niitä toimitetaan esimerkiksi Dellin tietokoneiden mukana. Mandrake kertoo, että ongelma ilmenee Linux-paketin asennuksen yhteydessä. Ohjelma ilmoittaa ettei perusohjelmiston asennus onnistu, ja kun tietokoneen käynnistää uudelleen, menee cd-asema fyysisesti pimeäksi."

-ITviikko

Linuxin uusimmasta 2.4-ytimestä on löytynyt vakava tietoturva-aukko. Haavoittuvuus paljastui, kun tuntematon hyökkääjä pääsi reiän avulla murtautumaan suositun Debian Linux-jakelun palvelimille. Turva-aukkoa ei onneksi voi hyödyntää suoraan Linux-koneen ulkopuolelta. Jos hyökkääjä kuitenkin pääsee koneelle edes jonkinlaisilla vierastunnuksilla, hän pystyy antamaan itselleen täydet käyttöoikeudet ja ottamaan koneen haltuunsa.

Tietoturvayhtiö Symantec varoittaa, että hakkerit voisivat yhdistää uuden haavoittuvuuden joihinkin aikaisempiin reikiin, joilla hyökkääjä saisi ensin osittaisen pääsyn koneelle. Turva-aukkojen yhdistelmää voisi näin käyttää esimerkiksi verkkomadon rakentamiseen. Symantecin mukaan ohjeet turva-aukon käyttöön eivät ole vielä yleisessä tiedossa, mutta niitä kierrätetään selvästikin tietomurtajien piireissä.

Haavoittuvuus on hankala tapaus Linux-yhteisölle. Koska virhe on Linuxin ytimessä, se on levinnyt käytännössä kaikkiin eri jakeluihin ja versioihin. Reikä löytyy Linuxin 2.4-ytimen kaikista versioista

"Linuxista löydetyt aukot tämän vuoden aikana"

Meilläpäin "tämä vuosi" on 2004".