Angeblich Sicherheitsproblem bei Debian trotz aktuellem OpenSSL
Hallo,
ich habe meinen Server mit dem Test von SSLlabs getestet und es wird mir das angezeigt:
"This server is vulnerable to the OpenSSL Padding Oracle vulnerability (CVE-2016-2107) and insecure. Grade set to F."
Angeblich wurde dieses Problem aber mit dem Update von OpenSSL v 1.0.1t gelöst. Diese ist auch installiert. Warum wird mir aber trotzdem das angezeigt. Kann man sich auf diesen Test nicht verlassen oder hat da Debian geschlampt? Andererseits steht im Changelog von dem Debian Paket das genau der Bug vor paar Versionen schon gefixt wurde.
Hab auch schon den Server neu gestartet. Hilft aber nicht.
ich habe meinen Server mit dem Test von SSLlabs getestet und es wird mir das angezeigt:
"This server is vulnerable to the OpenSSL Padding Oracle vulnerability (CVE-2016-2107) and insecure. Grade set to F."
Angeblich wurde dieses Problem aber mit dem Update von OpenSSL v 1.0.1t gelöst. Diese ist auch installiert. Warum wird mir aber trotzdem das angezeigt. Kann man sich auf diesen Test nicht verlassen oder hat da Debian geschlampt? Andererseits steht im Changelog von dem Debian Paket das genau der Bug vor paar Versionen schon gefixt wurde.
Hab auch schon den Server neu gestartet. Hilft aber nicht.
Please also mark the comments that contributed to the solution of the article
Content-ID: 308027
Url: https://administrator.de/contentid/308027
Printed on: December 4, 2024 at 02:12 o'clock
16 Comments
Latest comment
Hallo,
Debian ist nicht unbedingt dafür bekannt mit Fixen und Updates oder gar Upgrades schnell bei der
Hecke zu sein. und von daher würde ich immer andere Linux Distros bei einem Server mit Internetkontakt
vorschlagen wollen. Denn eines ist jetzt schon sicher, man bekommt sehr oft das schlechte Bauchgefühl
nicht mehr weg oder bleibt verunsichert. Wir halten das bei uns wie folgt;
- Große Server mit Internetkontakt - RedHat
- Große Server im LAN ohne Internetkontakt - OpenSUSE
- Kleinere / Mittlere Abteilungsserver ohne Internetkontakt - Debian
- Kleinere / Mittlere Server jeglicher Art mit Internetkontakt - CentOS
- RedHat kostet hat aber schnell ein Update parat
- OpenSUSE kostet hat aber in der Regel auch recht schnell ein Update parat
- Debian kommt nicht so schnell hinterher aber bei einem Abteilungsserver ist das weniger kritisch
- CentOS von vorne herein ("ab Werk") schon gehärtet und bekommt auch recht flott Updates und Upgrades
in deren Cache vorhanden ist, oder aber der Test selber nicht mehr aktuell oder Fehler behaftet ist.
Gruß
Dobby
Debian ist nicht unbedingt dafür bekannt mit Fixen und Updates oder gar Upgrades schnell bei der
Hecke zu sein. und von daher würde ich immer andere Linux Distros bei einem Server mit Internetkontakt
vorschlagen wollen. Denn eines ist jetzt schon sicher, man bekommt sehr oft das schlechte Bauchgefühl
nicht mehr weg oder bleibt verunsichert. Wir halten das bei uns wie folgt;
- Große Server mit Internetkontakt - RedHat
- Große Server im LAN ohne Internetkontakt - OpenSUSE
- Kleinere / Mittlere Abteilungsserver ohne Internetkontakt - Debian
- Kleinere / Mittlere Server jeglicher Art mit Internetkontakt - CentOS
- RedHat kostet hat aber schnell ein Update parat
- OpenSUSE kostet hat aber in der Regel auch recht schnell ein Update parat
- Debian kommt nicht so schnell hinterher aber bei einem Abteilungsserver ist das weniger kritisch
- CentOS von vorne herein ("ab Werk") schon gehärtet und bekommt auch recht flott Updates und Upgrades
SSLlabs hat nen internen cache und scannt nicht jedesmal neu. Vllt wird dir noch der alte Scan angezeigt.
Kann auch bei dem Testserver der Fall sein! Ich meine zu der IP und/oder MAC Adresse das da noch etwasin deren Cache vorhanden ist, oder aber der Test selber nicht mehr aktuell oder Fehler behaftet ist.
Gruß
Dobby
Moin,
Wenn du wirklich wissen willst, womit du es zu tun hast, wie diese Sicehrheitslücke funktioniert und wie du selbst testen kannst, ob du davon betroffen bist oder nicht, empfehle ich dir folgenden Artikel zu lesen:
https://blog.cloudflare.com/yet-another-padding-oracle-in-openssl-cbc-ci ...
Ganz davon abgesehen, solltest du deine Cipher ggf. überarbeiten. dazu empfehle ich dir folgende Seite:
https://mozilla.github.io/server-side-tls/ssl-config-generator/
Damit solltest du die Kommunikation mit deinem Server sicherer bekommen.
Dass du Debian nutzt, ist an sicher kein Problem. Sicherheitslücken haben hier ebenso wie bei anderen Distributionen höchste Priorität und werden über die Security Repositories auch sauber verteilt. Allerdings baut man bei Debian auf "solide Software" mit anderen Worten, man wartet bis bewiesen ist, dass das Zeug wirklich läuft. Früher war dass sehr empfehlenswert heute haben sich ja zum Glück automatisierte Tests durchgesetzt. Dennoch macht man damit wenig falsch, solange die Entwickler mit Debian zusammenarbeiten. Denn wenn eine Sicherheitslücke irgendwo intern in einer Version gefixt wird, und nicht annonced, dann bleibt eben eine ungefixte Version im Debian Repo, bis zum nächsten Stable release oder bekannt werden der Lücke. (Wenn man mal mit den Package Managern dort zu tun hat, stellt man fest, dass sie eigentlich sehr zuvorkommend sind ;) Man muss halt nur mal mit ihnen sprechen :D)
CentOS funktioniert aufgrund seiner Nähe zu RedHat Enterprise Linux natürlich bestens und ist deshalb auch in Security Dingen sehr weit vorne dabei. Warum man sich OpenSUSE antun will, sehe ich jetzt zwar nicht, aber wer drauf steht ^^ Dann doch lieber ein Ubuntu, dass aber aufgrund seiner init-Struktur bei mir eher unten durch ist. Inzwischen verlasse ich mich allgemein einfach auf CoreOS, aber das ist abhängig vom Usecase und für klassische Server eher ungeeignet.
Gruß aus der Cloud ;)
Chris
Wenn du wirklich wissen willst, womit du es zu tun hast, wie diese Sicehrheitslücke funktioniert und wie du selbst testen kannst, ob du davon betroffen bist oder nicht, empfehle ich dir folgenden Artikel zu lesen:
https://blog.cloudflare.com/yet-another-padding-oracle-in-openssl-cbc-ci ...
Ganz davon abgesehen, solltest du deine Cipher ggf. überarbeiten. dazu empfehle ich dir folgende Seite:
https://mozilla.github.io/server-side-tls/ssl-config-generator/
Damit solltest du die Kommunikation mit deinem Server sicherer bekommen.
Dass du Debian nutzt, ist an sicher kein Problem. Sicherheitslücken haben hier ebenso wie bei anderen Distributionen höchste Priorität und werden über die Security Repositories auch sauber verteilt. Allerdings baut man bei Debian auf "solide Software" mit anderen Worten, man wartet bis bewiesen ist, dass das Zeug wirklich läuft. Früher war dass sehr empfehlenswert heute haben sich ja zum Glück automatisierte Tests durchgesetzt. Dennoch macht man damit wenig falsch, solange die Entwickler mit Debian zusammenarbeiten. Denn wenn eine Sicherheitslücke irgendwo intern in einer Version gefixt wird, und nicht annonced, dann bleibt eben eine ungefixte Version im Debian Repo, bis zum nächsten Stable release oder bekannt werden der Lücke. (Wenn man mal mit den Package Managern dort zu tun hat, stellt man fest, dass sie eigentlich sehr zuvorkommend sind ;) Man muss halt nur mal mit ihnen sprechen :D)
CentOS funktioniert aufgrund seiner Nähe zu RedHat Enterprise Linux natürlich bestens und ist deshalb auch in Security Dingen sehr weit vorne dabei. Warum man sich OpenSUSE antun will, sehe ich jetzt zwar nicht, aber wer drauf steht ^^ Dann doch lieber ein Ubuntu, dass aber aufgrund seiner init-Struktur bei mir eher unten durch ist. Inzwischen verlasse ich mich allgemein einfach auf CoreOS, aber das ist abhängig vom Usecase und für klassische Server eher ungeeignet.
Gruß aus der Cloud ;)
Chris
Hallo,
die Versionsnummer lässt keine Rückschlüsse auf die Qualität bzw. den Sicherheitslevel der Software zu.
Ob ich jetzt Version 10 mit Sicherheitspatch 1, Sicherheitspatch 2 und Sicherheitspatch 3 installiert habe oder Version 11 (die die drei Patches bereits beinhaltet) ist letztendlich "Jacke wie Hose".
Gruß,
Jörg
die Versionsnummer lässt keine Rückschlüsse auf die Qualität bzw. den Sicherheitslevel der Software zu.
Ob ich jetzt Version 10 mit Sicherheitspatch 1, Sicherheitspatch 2 und Sicherheitspatch 3 installiert habe oder Version 11 (die die drei Patches bereits beinhaltet) ist letztendlich "Jacke wie Hose".
Gruß,
Jörg
mit CentOS kenne ich mich nicht so aus. Eigentlich nehme ich sonst (auf Arbeit oder privat) Ubuntu.
Mag sein aber auf der Arbeit oder privat sind auch Unterschiede wie Tag und Nacht. Wenn privateDaten flöten gehen oder missbraucht werden muss ich das mit mir selber abmachen, und wenn
das auf der Arbeit passiert ist das eben ganz was anderes. und ich unterscheide nicht zwischen
privat und Arbeit sondern zwischen Internetkontakt und nicht Internetkontakt. Und CentOS kommt
schon "gehärtet" "ab Werk"!!! Und das tut Ubuntu nicht!
Die haben schneller eine neuere Version. Aber wie auch Sheogorath schreibt werden wohl
trotzdem bei Debian die Sicherheitslücken schnell geschlossen.
Bei bei RedHat kommt auch keine neue Version auf den Markt nur weil es irgend wo ein Problemtrotzdem bei Debian die Sicherheitslücken schnell geschlossen.
gibt, nur ob man bei einem Apache Server darauf wrten möchte oder kann oder sogar darf ist doch
hier die Frage.
Die patchen halt lieber als eine neue Version zu nehmen.
Debian ist deswegen nicht schlechter, aber sie haben eben nicht immer die neuste Versionparat und wenn man etwas über das Internet verfügbar machen möchte ist dies halt mitunter
unerlässlich.
Debian hatte ich genommen da ich auf dem Server ursprünglich Open-Xchange installiert
hatte und es keine Ununtu Pakete gab.
Ich sehe das halt anders herum, ich möchte nicht erst noch ein OS härten und bei Problemenhatte und es keine Ununtu Pakete gab.
noch lange warten auf Patches, Updates/Upgrades und Hilfen.
Ggf schaue ich mal ob ich eine Quelle mit einem aktuellen OpenSSL 1.0.2 finde. Ansonsten
werde ich mich wie gesagt einfach damit abfinden.
Macht halt jeder wie er will, kann und darf. ist ja auch nicht weiter schlimm.werde ich mich wie gesagt einfach damit abfinden.
Gruß
Dobby
Hallo,
Ein schönes Beispiel: Ich habe bei einem Kunden einen Linux-Server vorgefunden und musste etwas via Shell fixen.
Da SSH nicht lief, habe ich einen Monitor im Serverraum angeschlossen, mich auf der grafischen Konsole eingeloggt und wollte unter Gnome das Terminalprogramm starten.
Mangels Maus habe ich unter Gnome die Windows-Taste gedrückt, "Term..." getippt und wirklich nicht schlecht gestaunt, als mir das Teil Werbelinks (sic!) für Terminator-DVDs bei Amazon präsentiert hat. Wohlgemerkt - auf einem Server...
Sorry wenn ich das so direkt sage - aber meiner Meinung nach ist Ubuntu ein Klicki-Bunti-Linux für Leute, denen man auf der ersten Seite von der Bedienungsanleitung schreiben muss, dass die silberne Seite vom Datenträger nach unten gehört. Auf der Monats-CD von der ComputerBILD mag es gut aufgehoben sein (solange man es nicht installiert), aber im gewerblichen Einsatz taugt das maximal für "Unterstützungsprozesse ohne Netzwerkverbindung und Sicherheitsanspruch".
Debian ist in den meisten Fällen eine gute, konservative Lösung - zumal viele Anleitungen, HowTos usw. auf Debian und deren Derivate bezogen sind. Allerdings resultiert der Konservativismus(?) auch darin, dass man öfter mal nach Problemen sucht, die man unter anderen Distributionen nicht hat (ich sag' nur "HTTP Error 500 bei Verwendung der soap-Schnittstelle vom Mantis Touch").
Was bei CentOS schön ist, ist, dass es ein relativ sauber konfiguriertes SELinux mitbringt. Wenn der Administrator nicht dem Wahnsinn unterliegt und SELinux konfiguriert (...statt es abzuschalten...), dann hat man relativ fix ein gut abgesichertes System.
Gruß,
Jörg
Und CentOS kommt schon "gehärtet" "ab Werk"!!! Und das tut Ubuntu nicht!
Ein schönes Beispiel: Ich habe bei einem Kunden einen Linux-Server vorgefunden und musste etwas via Shell fixen.
Da SSH nicht lief, habe ich einen Monitor im Serverraum angeschlossen, mich auf der grafischen Konsole eingeloggt und wollte unter Gnome das Terminalprogramm starten.
Mangels Maus habe ich unter Gnome die Windows-Taste gedrückt, "Term..." getippt und wirklich nicht schlecht gestaunt, als mir das Teil Werbelinks (sic!) für Terminator-DVDs bei Amazon präsentiert hat. Wohlgemerkt - auf einem Server...
Sorry wenn ich das so direkt sage - aber meiner Meinung nach ist Ubuntu ein Klicki-Bunti-Linux für Leute, denen man auf der ersten Seite von der Bedienungsanleitung schreiben muss, dass die silberne Seite vom Datenträger nach unten gehört. Auf der Monats-CD von der ComputerBILD mag es gut aufgehoben sein (solange man es nicht installiert), aber im gewerblichen Einsatz taugt das maximal für "Unterstützungsprozesse ohne Netzwerkverbindung und Sicherheitsanspruch".
Debian ist in den meisten Fällen eine gute, konservative Lösung - zumal viele Anleitungen, HowTos usw. auf Debian und deren Derivate bezogen sind. Allerdings resultiert der Konservativismus(?) auch darin, dass man öfter mal nach Problemen sucht, die man unter anderen Distributionen nicht hat (ich sag' nur "HTTP Error 500 bei Verwendung der soap-Schnittstelle vom Mantis Touch").
Was bei CentOS schön ist, ist, dass es ein relativ sauber konfiguriertes SELinux mitbringt. Wenn der Administrator nicht dem Wahnsinn unterliegt und SELinux konfiguriert (...statt es abzuschalten...), dann hat man relativ fix ein gut abgesichertes System.
Gruß,
Jörg
Hallo,
Also dann ist das nicht Ubuntu Server sondern Ubuntu Desktop oder man hat den Desktop nachinstalliert.
Ubuntu Desktop =! Ubuntu Server.
Konfiguration und Pakete (z.B. fehlender ssh Server) sagen schon worauf das abziehlt, Desktopeinsatz.
Und die VErwendung TLS 1.2 oder nicht hat nix mit der Version von Openssl zu tun... Sondern ob der Webserver TLS 1.0 oder 1.1 erlaubt oder nicht.
Ich persöhnlich mag deb basierte Systeme mehr als rpm
Gruß
Chonta
Mangels Maus habe ich unter Gnome die Windows-Taste gedrückt, "Term..." getippt und wirklich nicht schlecht gestaunt, als mir das Teil Werbelinks (sic!) für Terminator-DVDs bei Amazon präsentiert hat. Wohlgemerkt - auf einem Server...
Also dann ist das nicht Ubuntu Server sondern Ubuntu Desktop oder man hat den Desktop nachinstalliert.
Ubuntu Desktop =! Ubuntu Server.
Konfiguration und Pakete (z.B. fehlender ssh Server) sagen schon worauf das abziehlt, Desktopeinsatz.
Debian ist in den meisten Fällen eine gute, konservative Lösung
Richtig und wer aktuellere Software und deren Funktionen braucht verwendet UbuntuServer oder wenn man ne GUI braucht, ohne Gnome3 oder Unity (das war warscheinlich das mit den Amazonliks für Terminator)Und die VErwendung TLS 1.2 oder nicht hat nix mit der Version von Openssl zu tun... Sondern ob der Webserver TLS 1.0 oder 1.1 erlaubt oder nicht.
Ich persöhnlich mag deb basierte Systeme mehr als rpm
Gruß
Chonta
Hallo,
Unabhängig davon ist es ein eindeutiges Indiz dafür, dass die für die Distribution Verantwortlichen keinerlei Verständnis für die Ansprüche an ein halbwegs sicheres und intuitiv bedienbares Computerbetriebssystem haben.
Das Vertrauen in den Namen ist weg - ausdieMaus.
Ich persönlich lege eher Wert auf den Inhalt der Pakete und nicht auf das Format, in dem sie gepackt sind.
Gruß,
Jörg
Also dann ist das nicht Ubuntu Server sondern Ubuntu Desktop oder man hat den Desktop nachinstalliert.
Ubuntu Desktop =! Ubuntu Server.
Ubuntu Desktop =! Ubuntu Server.
Unabhängig davon ist es ein eindeutiges Indiz dafür, dass die für die Distribution Verantwortlichen keinerlei Verständnis für die Ansprüche an ein halbwegs sicheres und intuitiv bedienbares Computerbetriebssystem haben.
Das Vertrauen in den Namen ist weg - ausdieMaus.
Ich persöhnlich mag deb basierte Systeme mehr als rpm
Ich persönlich lege eher Wert auf den Inhalt der Pakete und nicht auf das Format, in dem sie gepackt sind.
Gruß,
Jörg