Einige Server des Fedora-Projekts standen zeitweilig unter der Kontrolle eines Angreifers. Darunter befand sich auch ein Server, der für das Signieren von Programmpaketen verwendet wird. Der Angreifer hatte zwar mit ziemlicher Sicherheit keinen Zugriff auf die Passphrase des verwendeten Schlüssels, dieser wird jedoch sicherheitshalber trotzdem demnächst ausgetauscht. Programmpakete wurden allem Anschein nach nicht manipuliert.
Auch Red Hat Server betroffen
Außer Fedora-Servern wurden unabhängig davon auch einige Server von Red Hat angegriffen. Dort wurden einige eventuell manipulierte OpenSSH-Pakete signiert, für die Updates bereit stehen. Betroffen sind nur Pakete für Red Hat Enterprise Linux 4 (i386- und x86_64-Architektur) und Red Hat Enterprise Linux 5 (x86_64-Architektur), die nicht über das Red Hat Network (RHN) bezogen wurden. Red Hat hat ein Shellscript zur Verfügung gestellt, das betroffene Pakete erkennt.
Kommentar
Der Wechsel des Fedora-Schlüssels ist zwingend notwendig, da der Angreifer im Besitz des aktuellen Schlüssels ist und eventuell die Passphrase selbst ermitteln kann. Gelingt ihm dies, kann er danach manipulierte Pakete signieren und über z.B. einen (Fake-)Mirror der offiziellen Server verteilen. Weshalb ein zum Signieren verwendeter Server entgegen der üblichen Praxis eine Verbindung mit dem Internet hat, ist nicht bekannt.
Dasselbe gilt eigentlich auch für Red Hat. Da dort der Schlüssel nicht ausgetauscht wird und nur vom Signieren einiger OpenSSH-Pakete berichtet wurde, vermute ich dort eine andere Vorgehensweise. Vermutlich ist der Signatur-Server nicht mit dem Internet verbunden, sondern die zu signierenden Pakete werden von einem mit dem Internet verbundenen Rechner über z.B. einen USB-Stick auf den Signatur-Server transportiert. Der Angreifer konnte dann wohl einige eigene Pakete in den Signaturprozess einschleusen.
Benutzer von Red Hat Enterprise Linux 4 und 5, die in letzter Zeit OpenSSH installiert haben, sollten ihr System mit dem von Red Hat bereitgestellten Shellscript überprüfen und ggf. die Updates installieren.
Carsten Eilers
Kommentare