[Postfixbuch-users] Postfix ist nicht von GHOST betroffen

[Winfried Neessen]

Hi Patrick,

Am 2015-01-28 10:03, schrieb Patrick Ben Koetter:

> Wer ein wenig mehr Hintergrund möchte:
> https://sys4.de/de/blog/2015/01/28/entwarnung-fur-postfix-und-cve-2015-0235-ghost/
> 

Danke fuer die Info bzgl. Postfix. Im Advisory[1] wird auch ein PoC von 
Qualys
veroeffentlicht um Systeme zu testen.

Leider kann man nicht verallgemeinern ob eine Distribution anfaellig 
ist. Gleiche
Versionsnummern eines glibc Pakets (lediglich unterschiedliche Repos) 
koennen anfaellig
bzw. nicht anfaellig sein:

$ cat /etc/redhat-release; yum list installed | grep glibc | head -1; 
./ghost
Scientific Linux release 6.5 (Carbon)
glibc.x86_64                         2.12-1.149.el6_6.4         
@sl-security
vulnerable

$ cat /etc/redhat-release; yum list installed | grep glibc | head -1; 
./ghost
Scientific Linux release 6.5 (Carbon)
glibc.x86_64                       2.12-1.149.el6_6.5          
@sl-security
not vulnerable

Man vergleiche hier: 2.12-1.149.el6_6.5 vs. 2.12-1.149.el6_6.4. Daher 
wuerde ich jedem
Raten den PoC auf unterschiedlichen Systemen zu testen.


Winni

[1] = http://seclists.org/oss-sec/2015/q1/274