Os CVE-2010-4478 e CVE-2011-0539 estão corrigidos no OpenSSH 5.3?

Question

Estou executando o OpenSSH 5.3p1-81.el6_3, que de acordo com o meu servidor é a última versão estável. Minha varredura PCI está mostrando os exploits CVE-2010-4478 e CVE-2011-0539 como presentes devido à minha versão do OpenSSH.

Verificar "rpm -q --changelog openssh" mostra que houve atualizações até outubro de 2012. Certamente elas foram resolvidas? Existem versões mais recentes do SSH (6.x eu acredito), mas do que eu posso dizer, rehat / centos backports correções de segurança para versões antigas estáveis como 5.3.

Estas são corrigidas na minha versão ou não são? Se sim, como posso mostrar isso ao meu scanner PCI para provar um falso positivo?

Obrigado!

    

Answer 1

Sim, você está atualizado e não está vulnerável a essas vulnerabilidades específicas.

Para resolver isso, você precisa procurar cada CVE na Red Hat e anotar o status do pacote. Em alguns casos, uma correção de backport estará disponível. Em outros, o pacote não estará vulnerável devido a vários fatores (por exemplo, a funcionalidade vulnerável pode não estar presente na compilação do fornecedor).

No caso de correções de backport, se você tiver o mesmo ou um pacote mais novo que o observado no aviso, você está bem. Você simplesmente nota que seu pacote contém uma correção de backport e usa as informações da Red Hat como prova de que a correção foi aplicada.

Para pacotes listados pelo fornecedor como não vulneráveis, basta fornecer as informações fornecidas.

Neste caso particular, os CVEs são:

• CVE-2010-4478 (não vulnerável)
• CVE-2011-0539 (não vulnerável)