[转] OpenSSH缓冲区管理操作远程溢出漏洞（包括AS3）

platinum

原帖由 "badseed" 发表：
这样安装的
./configure --prefix=/usr --with-pam --with-md5-passwords  --sysconfdir=/etc/ssh
make
make install

最后有几行提示
/etc/ssh/ssh_config already exists, install will not overwrite
/etc/ssh/sshd_config already exists, install will not overwrite
/etc/ssh/moduli already exists, install will not overwrite
/etc/ssh/ssh_host_key already exists, skipping.
/etc/ssh/ssh_host_dsa_key already exists, skipping.
/etc/ssh/ssh_host_rsa_key already exists, skipping.
/usr/sbin/sshd -t -f /etc/ssh/sshd_config
[root@server openssh-3.8p1]#

要不要紧？用不用手动弄过去？

platinum

手动cp过去了，重启服务了，还是SSH-1.99-OpenSSH_3.8p1，为什么呀？

好好先生

传完了。

badseed

以下是我的经验（苦，就是因为升级openssh ，现在在数据中心机房还有台Redhat7.3服务器还等着我去执行3，4两步操作，幸好上面还没有部署任何服务，不幸中的万幸 ）

在 redhat 7.3 及其以下版本上将openssh升级到3.8p1时，首先要进行以下操作

1.升级 zlib 到 zlib-1.1.4-8.7x

2.升级 zlib-devel 到 zlib-devel。
下载这两个包后，运行 rpm -Uvh zlib* ,升级包可以到rpmfind.org上面查找，下载地址是ftp://195.220.108.108/linux/redhat/updates/7.3/en/os/i386/zlib-1.1.4-8.7x.i386.rpm，ftp://195.220.108.108/linux/redhat/updates/7.3/en/os/i386/zlib-devel-1.1.4-8.7x.i386.rpm，如果没有，留下Email，我可以发给你

3.在/etc/passwd 里面增加一行 sshd:74:74rivilege-separated SSH:/var/empty/sshd:/sbin/nologin

4.在/etc/shadow 里面增加一行 sshd:!!:12506:0:99999:7:::

最后升级openssh
./configure --prefix=/usr --with-pam --with-md5-passwords --sysconfdir=/etc/ssh
make
make install

如果没有执行1，2两步操作，在 ./configure 时将会出错
如果没有执行3，4两步操作，在 make install 时将出现
    Privilege separation user sshd does not exist
    make: [check-config] Error 255 (ignored)
错误。
此时你的sshd已经是升级成功了，但是无法启动。当你重新启动sshd时（比如重起服务器），出现
[root@root openssh-3.8p1]# service sshd restart
Stopping sshd:                                             [  OK  ]
Starting sshdrivilege separation user sshd does not exist                                                           [FAILED]
错误，如果你是使用ssh远程进行操作的，这意味着你将不得不跑到服务器面前去进行3，4两步操作。
当然你也可以在升级openssh之后进行3，4两步操作，但在操作完成之前不要重起sshd服务。

platinum

为什么一定建立一个sshd的用户

badseed

[quote]原帖由 "platinum"]为什么一定建立一个sshd的用户[/quote 发表：

openssh支持Privilege Separation，将运行中的openssh分成两部分，一部分有特权，另一部分没有特权，所有的这一切都是出于安全的考虑。而没有特权的部分是使用sshd用户运行的，所以需要加入sshd用户。在Openssh 3.8中，这是一个默认打开的选项，不须要在sshd_config中写明。而在Redhat7.3中的openssh还不支持这种功能，所以默认安装的redhat7.3是不存在这个用户。升级时需要加入sshd用户，否则启动openssh会失败。
你也可以升级后在sshd_config文件中加入
UsePrivilegeSeparation no
取消Privilege Separation功能。这样就不需要加入sshd用户了，不过出于安全的考虑并不推荐这种做法。