-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA1 El 2008-07-15 a las 09:28 +0200, Camaleón escribió:
El 15/07/08, Carlos E. R. escribió:
Que no. Los de bind lo saben y han hecho el parche, pero el asunto no lo han explicado; los de suse dicen que se fían de que está resuelto, pero no conocen cual es el problema, no tienen detalles; y por tanto no han podido analizar si el parche resuelve realmente el problema.
Disponen de la misma información que la mayoría de las empresas:
- No han explicado los detalles de cómo explotarlo "fácilmente" - El problema es conocido (no es nuevo) y consiste en que se puede predecir puerto e identificador y por tanto, suplantar la respuesta del servidor original y devolver datos falsos - El parche sólo añade dificultad en predecir esos datos
Lo que sabe todo el mundo.
No conocen el problema y no certifican que esté resuelto. Recuerda lo del "not mature", el inglés de ésta gente significa más cosas del "face value".
No pueden certificar que lo esté hasta que no se sepa cómo aprovechar el fallo de manera sencilla (y ni aún así... seguro que cuando den los detalles aparece otro "agujero" tamaño cráter :-P). Lo que dicen es normal: "más vale prevenir, actualiza".
Obviamente, se actualiza.
Por lo menos después de eso tendremos los comentarios legibles.
Y los intentos de "envenenamiento" a los dns por doquier :-).
Esos llegarán antes. - -- Saludos Carlos E.R. -----BEGIN PGP SIGNATURE----- Version: GnuPG v2.0.4-svn0 (GNU/Linux) iD8DBQFIfPQOtTMYHG2NR9URArQpAKCDqnMPkENhi8n4J/SkqBa19cP/IACfT7g8 DsMabm4YJmBuFmWRsZeBg9Y= =Ge7h -----END PGP SIGNATURE-----