В популярной open-source программе шифрования электронных коммуникаций обнаружен серьезный дефект, который позволяет хакерам пробираться на серверы.

Программа Open Secure Shell (OpenSSH) входит в состав многочисленных популярных дистрибутивов операционной системы Unix с открытым исходным кодом, таких как OpenBSD и FreeBSD. Эти ОС широко используются в сетевом оборудовании, системах защиты и других приложениях. По словам Гранта Слендера (Grant Slender), главного консультанта по региону Азии и Австралии секьюрити-фирмы Internet Security Systems, который первым обнаружил дефект, ошибка связана с неаккуратной обработкой "переполнения буфера" в OpenSSH, когда в программу поступает сообщение гораздо большей длины, чем обычно. Хакеры используют подобные пробелы в защите, загружая в программу больше символов, чем она может принять, и помещая в конце этой посылки исполняемый код.

В рекомендации Internet Security Systems говорится, что, воспользовавшись данной ошибкой, атакующий может прислать на сервер специально сформированное сообщение, дистанционно выводящее из строя демон OpenSSH.

В результате хакер получает доступ к серверу на самом высоком уровне. "Демон OpenSSH работает с привилегией superuser, так что злоумышленники, воспользовавшись этой ошибкой, могут дистанционно получить доступ на правах суперюзера", - говорится в рекомендации.

По словам Слендера, ISS предупредила главного разработчика OpenSSH, который подготовил патч. Компания рекомендует системным администраторам заблокировать неиспользуемые механизмы аутентификации OpenSSH. Проблему также можно решить, запретив в файле конфигурации демона OpenSSH параметр аутентификации challenge-response. Кроме того, Слендер рекомендует пользователям обновить ПО. Информация об уязвимости опубликована в списках рассылки, посвященных безопасности, таких как BugTraq и Debian, сообщает "ZDNet".