Moderator: Lancom-Systems Moderatoren
obwohlOpenSSL: OpenSSL 1.1.1q 5 Jul 2022
Ich habe soeben beim Support die Fixes für einige Router für LCOS > 10.42ru9 angefordert.GrandDixence hat geschrieben: 09 Feb 2023, 20:48 Für genauere Informationen muss man da schon bei LANCOM direkt nachfragen.
Dann sollte Lancom das auch public machen.GrandDixence hat geschrieben: 09 Feb 2023, 20:48 Offenbar ist LANCOM der Meinung, dass ihr Betriebssystem LCOS von den bekannten Sicherheitslücken nicht betroffen sind, welche zwischen OpenSSL-Version 1.1.1q und 1.1.1t (im Upstream) behoben wurden.
Code: Alles auswählen
08.02.2023
Ubuntu Linux
SUSE Linux
Open Source OpenSSL < 3.0.8
Open Source OpenSSL < 1.1.1t
Open Source OpenSSL < 1.0.2zg 
Nur der Vollständigkeit halberGrandDixence hat geschrieben: 11 Mär 2023, 15:54 Unter:
https://www.lancom-systems.de/service-s ... tshinweise
gibt es Informationen zu den kürzlich in zahlreichen LANCOM-Produkten geschlossenen OpenSSL-Sicherheitslücken.
Aufgrund der (bisher) immer unvollständigen ReleaseNotes (es wird mehr gefixt, als das was da steht und es ist auch nicht klar, mit welcher Version jeweils die Fehler erstmals auftraten) ist das automatische Update einerseits die Möglichkeit, schnell Fixes einzuspielen, andererseits kann man sich damit auch das mühsam aufgebaute und getestete Installation zerschießen.GrandDixence hat geschrieben: 11 Mär 2023, 15:54 Dank dem Auto Updater erfolgt die Installation solcher Sicherheitsupdates vollautomatisch zu nächtlicher Stunde auf meinen LANCOM-Produkten:
https://www.lancom-systems.de/docs/LCOS ... ation.html
Diese Aussage gilt erfahrungsgemäss für alle unter:tstimper hat geschrieben: 11 Mär 2023, 16:12 Aufgrund der (bisher) immer unvollständigen ReleaseNotes (es wird mehr gefixt, als das was da steht und es ist auch nicht klar, mit welcher Version jeweils die Fehler erstmals auftraten) ist das automatische Update einerseits die Möglichkeit, schnell Fixes einzuspielen, andererseits kann man sich damit auch das mühsam aufgebaute und getestete Installation zerschießen.
Man weis meistens nicht, worauf man sich einlässt..
Gutes Beispiel, wie gehst Du da mit dem Problem um, das die 10.42 SU10 eine kleinere Build Nummer als die vom Support und im Beta Bereich verfügbaren Versionen mit OpenSSL Fix hat?GrandDixence hat geschrieben: 11 Mär 2023, 16:27 Update-Faule wie ich sind aktuell auf LCOS 10.42 SU10.
Ganz einfach:wie gehst Du da mit dem Problem um, das die 10.42 SU10 eine kleinere Build Nummer als die vom Support und im Beta Bereich verfügbaren Versionen mit OpenSSL Fix hat?
Ja, für Angriffe auf Fehler im OpenSSL < 1.1.1uDr.Einstein hat geschrieben: 01 Jul 2023, 21:17 Die OpenSSL Version wurde in der 10.72RU4 auf 1.1.1u gehoben. In den Release-Notes steht dazu nichts. Auch ist die Seite https://www.lancom-systems.de/service-s ... tshinweise leer zu diesem Thema. Ist nun alles <10.72RU4 anfällig für Angriffe oder nicht?
Viele GrüßeWLAN
→ UDP-Datenverkehr konnte auch ohne Anmeldung am Public Spot übertragen werden, sodass einige Applikationen mit ihren Servern im Internet kommunizieren konnten.
Das Problem ist wohl, dass die nächste 'LTS-Version' der OpenSSL eine 3.0.x wäre und von 1.1.1 auf 3.0 haben sich diverse APIs massiv geändert, bzw. eine Reihe existierender APIs wurden 'deprecated' erklärt. Eine 3.0 ist kein 'Drop-In-Ersatz' für eine 1.1.1. LCOS 10.80 ff. auf OpenSSL 3.0 zu heben, waren einige Mannmonate Aufwand, inklusive kompletter QS. Das wird niemand für einen 'abgehangenen' Freigabestand machen wollen.1) Gemäß https://www.openssl.org/blog/blog/2023/09/11/eol-111/ ist die von Lancom verwendete Version 1.1.1 EOL gegangen. Ich kann mir irgendwie nicht vorstellen, dass mit dem Hersteller ein Premiumvertrag abgeschlossen wurde. Ist das nicht ziemlich riskant, eine EOL Bibliothek zu verwenden, die von so vielen Elementen im LCOS verwendet wird?
10.42 / 10.50 / 10.72 ebenfalls. Es gibt ja diverse Gerätetypen, die keine Majorrelease mehr erhalten, sondern ausschließlich Sicherheitsupdates. Das wäre doch eine Vollkatastrophe für Lancom, hier noch alle Versionen umbauen zu müssen? Außerdem wird das ja jemanden bereits vor Monaten aufgefallen sein, dass hier ein EOL erreicht wird. Mich wundert, dass sich selbst bei 10.80 scheinbar nichts in die Richtung getan hat. Selbst wenn man einen LTS-Individual-Vertrag geschlossen hat, so müsste doch spätestens die 10.80 auf OpenSSL 3.x.x umgestellt sein, um dann nicht wieder später auf die Umbauten in diversen LCOS Versionen zu stoßen...rotwang hat geschrieben: 15 Sep 2023, 11:38 LCOS 10.80 ff. auf OpenSSL 3.0 zu heben, waren einige Mannmonate Aufwand, inklusive kompletter QS. Das wird niemand für einen 'abgehangenen' Freigabestand machen wollen.
Was auch nur 3 weitere Jahre sind. Aber gut, vielleicht hat Lancom ja wirklich Geld in die Hand genommen und erhält weiterhin Support. Steht immerhin nichts auf der Sicherheitsseite, also muss man wohl von ausgehen, dass alles im grünen Bereich ist.
