CVE-2019-11477 Freifunk relevant?

Wie schon der Betreff sagt :

Das betrifft nur Maschinen die eine TCP Verbindung terminieren. In Gluon wĂĽrde das maximal der Webserver ĂĽber IPv6 sein, der die Status Seite ausliefert.

Stimmt.
Dann wäre noch die Gateway Seite. Die terminieren ja definitiv die Tunnel.

Ist alles kein TCP sondern UDP.

1 Like

Der Webserver genügt vermutlich bereits, dass man einen Gluon Knoten darüber in einen Crash zwingen könnte.

Ein Fix testen wir gerade auf Gluon Master, es wird wenn alles gut geht zeitnah in Gluon v2018.2.2 und v2019.1 landen.

6 Likes

Was wirklich dankenswert zeitnah passiert ist seitens der Gluon-Entwickelnden, wenn man das notwendige Testing mit berĂĽcksichtigt.

Jetzt bin ich mal gespannt, welche Communities das auch ähnlich zeitnah ausgerollt bekommen. Sehr viele Communities geben ihren Routern öffentliche IPv6-Adressen. Und diese (der Status-Seiten-Webserver) sind über die Community-Karten auch „Suchmaschinenindiziert“ auffindbar… und „dank“ der dort reporteten Firmwarestände sogar… ihr wisst worauf es hinausläuft.

2 Likes

Wir sind schon dran und versuchen es zeitnah auszurollen, nachdem unsere Server alle up-to-date sind.

Dass die Router öffentlich erreichbar sind, finde ich eigentlich garnicht so schlecht. Das erhöht ein bisschen den Druck die Dinger auch aktuell zu halten.

2 Likes