[plamo:14911] Re: openssl

[Hiroshi Futami]

ふたみなのです。

From: Tadashi Nakamura <rs9t-nkmr@asahi-net.or.jp>
Subject: [plamo:14909] Re: openssl
Date: Fri, 2 Aug 2002 09:34:33 +0900

> > > The following OpenSSH package found on ftp.openbsd.org (and probably all 
> > > its mirrors now) has been found to beTrojaned:
> > >     
> > > ftp://ftp.openbsd.org/pub/OpenBSD/OpenSSH/portable/openssh-3.4p1.tar.gz
> > 
> > Joke であってほしいです。
> > 真偽の程はいかがなものでしょうか。
> 
> 先ほど本家 http://www.openssh.org/ にて発表されました。
> trojan が挿入されたのは７月３０日から７月３１日にかけて
> ということのようで、６月中にさっさと UpDate された方々は
> 関係ないようです。無論、現地時間でしょうけど。

 NetBSD関係のMLに流れた情報によれば、ここあたりを参照せよとのことです。

>tech-security:
>
> http://mail-index.netbsd.org/tech-security/2002/08/01/0000.html
> http://mail-index.netbsd.org/tech-security/2002/08/01/0001.html
>
>bugtraq:
>
> http://online.securityfocus.com/archive/1/285490
> http://online.securityfocus.com/archive/1/285492
> http://online.securityfocus.com/archive/1/285554
> 
>slashdot:
> 
> http://slashdot.org/article.pl?sid=02/08/01/129228&mode=nested&tid=172
> 
>OpenBSD journal:
> 
> http://deadly.org/article.php3?sid=20020801122759

英語を読みたくない人のために簡単に要約すると、こうなるらしい。

>トロイの木馬が仕掛けられてるから、 openssh-3.4p1 落として build しちゃダメよん。
>
>平気な版:
>MD5 (/src/pub/security/openssh/openssh-3.4p1.tar.gz) =
>        459c1d0262e939d6432f193c7a4ba8a8
>
>ダメな版:
>MD5 (/usr/home/tshiozak/tmp/openssh/openssh-3.4p1.tar.gz) =
>        3ac9bc346d736b4a51d676faa2a08a57

-- ふ