opensshでユーザの存在を確認できる脆弱性(CVE-2016-6210) - てきとうなメモ

Full Disclosure: opensshd - user enumeration When SSHD tries to authenticate a non-existing user, it will pick up a fake password structure hardcoded in the SSHD source code. On this hard coded password structure the password hash is based on BLOWFISH ($2) algorithm. If real users passwords are hashed using SHA256/SHA512, then sending large passwords (10KB) will result in shorter response time fro

[ozuma]

これって、随分前から言われてたosueta(OpenSSH User EnumerationTime-Based Attack)とは違うの? / http://www.slideshare.net/tohakushi/ssmjp-201406

[kita-tuba]

opensshでユーザの存在を確認できる脆弱性(CVE-2016-6210)

[akulog]

"偽のユーザの場合はハードコードされているハッシュ値が…存在するユーザと比べて計算が早く終了するので、ユーザの存在をチェックすることができるという話のようだ"

[UDONCHAN]

やばそう

[ockeghem]

『偽のユーザの場合はハードコードされているハッシュ値が…存在するユーザと比べて計算が早く終了するので、ユーザの存在をチェックすることができるという話のようだ』