Administración
Programación
Navegación
Blogs recomendados
Suscripciones
Grave problema de seguridad en Ubuntu 5.10
La versión 5.10 de Ubuntu "The Breezy Badger" es susceptible de revelar la clave de root, almacenada en texto plano. Con la simple ejecución en consola de "grep -r rootpassword /var", aparecen múltiples localizaciones donde es posible leer, en texto sin cifrar, el log de la instalación de Ubuntu, donde aparece la clave escogida para el root, además de otras cuestiones que son lanzadas al usuario a la hora de instalar el producto. Los puntos donde aparece esta información son, en esencia:
/var/log/installer/cdebconf/questions.dat:Value: mypasswd
/var/log/debian-installer/cdebconf/questions.dat:Value: mypasswd
Los paquetes afectados son base-config y passwd. Ubuntu se ha apresurado a emitir el aviso y proporcionar parches para ambos, 2.67ubuntu20 (base-config) y 1:4.0.3-37ubuntu (passwd). Los paquetes actualizados no sólo eliminan las claves en los logs, sino que convierten los registros de instalación en únicamente legibles por el root de la máquina. El problema permite que cualquier usuario local pueda obtener la clave que se eligió en la instalación de la distribución, que muchas veces no se cambia y que por tanto, facultaría a un atacante a tomar control completo de los servicios que pendan de la distribución.
El problema no afecta a otras versiones de Ubuntu como 4.10 y 5.04. No obstante, los usuarios que hayan actualizado a la versión en desarrollo, 6.04 "The Dapper Drake" desde una máquina 5.10 "The Breezy Badger" deben asegurar la instalación de los parches. Especial cuidado deben tener los usuarios que utilicen Ubuntu para servir, por motivos obvios.
Para actualizar, debe bastar, en la mayoría de los casos, una actualización vía "apt-get dist-upgrade". Otros métodos, como los frontales de gestión de paquetes tipo "synaptic", son válidos igualmente.
Para más información podemos visitar:
Ubuntu 5.10 installer vulnerability
