Всем привет!

Уже много слов было сказано о «новой» уязвимости библиотеки glibc с загадочным названием Ghost.

По этой причине не буду отнимать ваше время на описание и возможные варианты устранения уязвимости ваших подопечных систем, но предложу немного информации по устранению данной уязвимости в наших продуктах, Kerio Connect, Kerio Control и Kerio Operator.

Итак, начнём с нашего дистрибутива Kerio Connect Virtual Appliance, внутри которого бегает вполне себе полновесный Debian Wheezy (версии Kerio Connect VMapp 8.3.x и более новые) или Debian Squeeze (версии Kerio Connect VMapp 8.2.х и более старые).

В целом процедура не отличается от представленной уже на Хабре и других ресурсах, однако, в случае VMapp Kerio Connect необходимо внести небольшие изменения в список используемых репозиториев, если вы этого ещё не сделали раньше конечно.

В терминале введите следующую команду:

sudo nano /etc/apt/sources.list

Для Debian 7 (Wheezy) данный файл должен содержать:

deb http://ftp.debian.org/debian wheezy main
deb-src http://ftp.debian.org/debian wheezy main

deb http://ftp.debian.org/debian wheezy-updates main
deb-src http://ftp.debian.org/debian wheezy-updates main

deb http://security.debian.org/ wheezy/updates main
deb-src http://security.debian.org/ wheezy/updates main

Для Debian 6 (Squeeze) данный файл должен содержать:

deb http://ftp.debian.org/debian/ squeeze main contrib
deb-src http://ftp.debian.org/debian/ squeeze main contrib

deb http://security.debian.org/ squeeze/updates main contrib
deb-src http://security.debian.org/ squeeze/updates main contrib

deb http://ftp.debian.org/debian squeeze-lts main contrib
deb-src http://ftp.debian.org/debian squeeze-lts main contrib

С другими нашими продуктами, Kerio Control и Kerio Operator, и их дистрибутивами Software и Virtual Appliance, ситуация несколько иная, т.к. сами по себе дистрибутивы основаны на урезанной версии Debinan Linux Wheezy, они несут в себе уязвимую библиотеку glibc.

Однако, в случае Kerio Control дистрибутивов, уязвимость не может быть использована т.к. Kerio Control имеет собственный модуль переадресации DNS. При этом сервисный релиз Kerio Control 8.4.3, содержащий в себе исправленную библиотеку, будет опубликован на наших серверах автоматического обновления в течение пары дней.

Дистрибутивы Kerio Operator, вплоть до версии 2.3.4, в случае сохранения стандартной конфигурации встроенного ip tables-а, подвержены уязвимости, но только в пределах локальной сети.

Сервисный релиз Kerio Operator 2.3.4 patch 1, будет доступен на наших серверах автоматического обновления в течение дня с текущей даты.

Для сохранения приемлемого уровня безопасности, администраторам Kerio Operator мы не рекомендуем вносить изменения в параметры встроенного МСЭ в Kerio Operator, а так же не использовать функцию автоматической настройки телефонных аппаратов (phone provisioning) в общедоступных сетях, что впрочем является стандартной рекомендацией нашим пользователям.

После публикации соответствующих версий дистрибутивов, мы разместим ссылки на их загрузку у нас в блоге.

Так же, для максимально оперативного получения информации по данной уязвимости и её влияния на продукты компании Керио, следите за специально созданной страницей.

Спасибо за внимание! Желаем всех, спокойных «интернетов»!

Как мы и обещали, сервисные релизы Kerio Control и Kerio Operator уже опубликованы с номерами версий 8.4.3 и 2.3.4 patch 1 соответственно.
Обновиться можно либо через интерфейс администрирования соответствующего продукта:

Либо загрузив образ для обновления с нашего сайта www.kerio.ru из пункта Поддержка/Kerio Control или Kerio Operator

Ghost, неужели опять?!