Всем привет!
Уже много слов было сказано о «новой» уязвимости библиотеки glibc с загадочным названием Ghost.
По этой причине не буду отнимать ваше время на описание и возможные варианты устранения уязвимости ваших подопечных систем, но предложу немного информации по устранению данной уязвимости в наших продуктах, Kerio Connect, Kerio Control и Kerio Operator.
Итак, начнём с нашего дистрибутива Kerio Connect Virtual Appliance, внутри которого бегает вполне себе полновесный Debian Wheezy (версии Kerio Connect VMapp 8.3.x и более новые) или Debian Squeeze (версии Kerio Connect VMapp 8.2.х и более старые).
В целом процедура не отличается от представленной уже на Хабре и других ресурсах, однако, в случае VMapp Kerio Connect необходимо внести небольшие изменения в список используемых репозиториев, если вы этого ещё не сделали раньше конечно.
В терминале введите следующую команду:
sudo nano /etc/apt/sources.list
Для Debian 7 (Wheezy) данный файл должен содержать:
deb http://ftp.debian.org/debian wheezy main
deb-src http://ftp.debian.org/debian wheezy main
deb http://ftp.debian.org/debian wheezy-updates main
deb-src http://ftp.debian.org/debian wheezy-updates main
deb http://security.debian.org/ wheezy/updates main
deb-src http://security.debian.org/ wheezy/updates main
Для Debian 6 (Squeeze) данный файл должен содержать:
deb http://ftp.debian.org/debian/ squeeze main contrib
deb-src http://ftp.debian.org/debian/ squeeze main contrib
deb http://security.debian.org/ squeeze/updates main contrib
deb-src http://security.debian.org/ squeeze/updates main contrib
deb http://ftp.debian.org/debian squeeze-lts main contrib
deb-src http://ftp.debian.org/debian squeeze-lts main contrib
С другими нашими продуктами, Kerio Control и Kerio Operator, и их дистрибутивами Software и Virtual Appliance, ситуация несколько иная, т.к. сами по себе дистрибутивы основаны на урезанной версии Debinan Linux Wheezy, они несут в себе уязвимую библиотеку glibc.
Однако, в случае Kerio Control дистрибутивов, уязвимость не может быть использована т.к. Kerio Control имеет собственный модуль переадресации DNS. При этом сервисный релиз Kerio Control 8.4.3, содержащий в себе исправленную библиотеку, будет опубликован на наших серверах автоматического обновления в течение пары дней.
Дистрибутивы Kerio Operator, вплоть до версии 2.3.4, в случае сохранения стандартной конфигурации встроенного ip tables-а, подвержены уязвимости, но только в пределах локальной сети.
Сервисный релиз Kerio Operator 2.3.4 patch 1, будет доступен на наших серверах автоматического обновления в течение дня с текущей даты.
Для сохранения приемлемого уровня безопасности, администраторам Kerio Operator мы не рекомендуем вносить изменения в параметры встроенного МСЭ в Kerio Operator, а так же не использовать функцию автоматической настройки телефонных аппаратов (phone provisioning) в общедоступных сетях, что впрочем является стандартной рекомендацией нашим пользователям.
После публикации соответствующих версий дистрибутивов, мы разместим ссылки на их загрузку у нас в блоге.
Так же, для максимально оперативного получения информации по данной уязвимости и её влияния на продукты компании Керио, следите за специально созданной страницей.
Спасибо за внимание! Желаем всех, спокойных «интернетов»!
Как мы и обещали, сервисные релизы Kerio Control и Kerio Operator уже опубликованы с номерами версий 8.4.3 и 2.3.4 patch 1 соответственно.
Обновиться можно либо через интерфейс администрирования соответствующего продукта:
Либо загрузив образ для обновления с нашего сайта www.kerio.ru из пункта Поддержка/Kerio Control или Kerio Operator
