Xshell-versjonen av bakdøren er implantert
Roar 14. august ble den offisielle versjonen av 5.0 Build 1322, utgitt av det velkjente serverterminalstyringsprogrammet Xshell 18. juli, implantert i bakdøren, og brukerne vil bli lurt når de laster ned og oppdaterer til denne versjonen. Roar-redaktøren spurte rundt, og mange venner rundt ham ble berørt, og skaden ble vurdert, eller brukerens enhetsinformasjon kunne bli stjålet.
Xshell er en kraftig programvare for serverterminaladministrasjon som støtter SSH1, SSH2, TELNET og andre protokoller, utviklet av det utenlandske selskapet NetSarang, og har et stort publikum innen drift og vedlikehold, webmastere og sikkerhet.
NetSarang ga ut en sikkerhetsbulletin 7. august, hvor de sa at deres nylig oppdaterte (18. juli) Xmanager Enterprise, Xmanager, Xshell, Xftp og Xlpd-programvare hadde sikkerhetssårbarheter, og at tjenestemannen raskt hadde fikset dette 5. august og gitt ut en oppdatert versjon. Ingen sårbarheter er funnet som har blitt utnyttet.
Berørte versjoner av de fem programvarene:
Xmanager Enterprise 5.0 Bygg 1232
Xmanager 5.0 Build 1045
Xshell 5.0 Build 1322
Xftp 5.0 Build 1218
XLPD 5.0 Build 1220
Den 5. august slapp de fem programvarene nye versjoner, og endringsloggen var i hovedsak den samme, alle nevnte nssock2.dll med sporingsmeldinger og problemfiler for å fikse SSH-kanaler:
FIX: Unnecessary SSH channel trace messagesFIX: Patched an exploit related to nssock2.dll
NetSarang forklarte ikke årsaken til sårbarheten, og ifølge Roar er det sannsynlig at selskapet opplevde en inntrenging og at utgivelsesversjonen ble implantert i en bakdør.
Roar-editoren oppdaget at noen innenlandske brukere oppdaterte til Xshell-problemversjonen, og pakkefangsten fant at nssock2.dll i denne versjonen sendte en feilformet DNS-forespørsel til et ukjent domenenavn (*.nylalobghyhirgh.com). Versjonen det gjelder nssock2.dll har en offisiell signatur, og det er mulig at angriperen stjal NetSarangs signatur eller implanterte den direkte på kildekodenivå.
Fikseplan
NetSarang har gitt ut en fast versjon, og Roar anbefaler at brukere av selskapets produkter oppdaterer til den nyeste versjonen så snart som mulig, og at bedriftsnettverket kan blokkere *.nylalobghyhirgh.com-domenenavnet.
|
Publisert på 24.08.2017 09:21:28
|
|
|
Publisert på 25.03.2018 23:34:43
|
