Openssl EOS

[zyx1981]

Hallo liebes Opsi-Team,

unser Defender warnt mich seit ein paar Wochen vor Eurer Software hinsichtlich der verwendeten Openssl 1.1.1 Komponenten, die sich nicht mehr im Support befinden - genauer um folgende Dateien:

• c:\program files (x86)\opsi.org\opsi-client-agent\opsiclientd_bin\libcrypto-1_1.dll

• c:\program files (x86)\opsi.org\opsi-client-agent\opsiclientd_bin\libssl-1_1.dll

• c:\program files (x86)\opsi.org\opsi-client-agent\opsiclientd_bin1\libcrypto-1_1.dll

• c:\program files (x86)\opsi.org\opsi-client-agent\opsiclientd_bin1\libssl-1_1.dll

• c:\program files (x86)\opsi.org\opsi-client-agent\opsiclientd_bin2\libcrypto-1_1.dll

• c:\program files (x86)\opsi.org\opsi-client-agent\opsiclientd_bin2\libssl-1_1.dll

Wäre schön, wenn Ihr diese Altlasten alsbald über Bord schmeißen könntet.

Viele Grüße
Bastian.

[j.schneider]

Hallo,

ab opsi-client-agent_4.3.0.7-1 ist OpenSSL 3 enthalten:

https://opsipackages.43.opsi.org/experi ... 0.7-1.opsi

Grüße
Jan Schneider

[Valentino-46]

Hi Jan,

habe den neuen Client installiert und teste den mal. Allerdings bemängelt Microsoft auch bei dieser openssl Version 3.0.9 mehrere Sicherheitslücken.
Plant ihr da gleich auf die 3.2.0 zu gehen?
Wenn ihr mir diese zur Verfügung stellt, dann baue ich die bei mir mal ein und teste es ob noch alles klappt.

Gruß
Valentino

[IT Silberform]

Hallo,

wir haben ebenfalls das Problem das der Defender meckert. Wäre es möglich die alten OpenSSL DLLs selbstständig zu entfernen oder gibt es noch ein Modul, dass zwingend darauf angewiesen ist?

Gruß
Kay

[n.doerrer]

Welche Datei genau wird angemeckert?
Der im aktuellen stable enthaltene opsiclientd nutzt openssl 3.0.11

[IT Silberform]

Tatsächlich waren das anscheinend veraltete Clients, aber auch beim neuen Client zeigt sich folgendes:

c:\program files (x86)\opsi.org\opsi-client-agent\opsi-script\libcrypto-3.dll
c:\program files (x86)\opsi.org\opsi-client-agent\opsi-client-systray\libcrypto-3.dll
c:\program files (x86)\opsi.org\opsi-client-agent\opsi-client-systray\libssl-3.dll
c:\program files (x86)\opsi.org\opsi-client-agent\opsi-script\libssl-3.dll
c:\program files (x86)\opsi.org\opsi-client-agent\opsiclientd_bin2\libcrypto-3.dll
c:\program files (x86)\opsi.org\opsi-client-agent\opsiclientd_bin2\libssl-3.dll
c:\program files (x86)\opsi.org\opsi-client-agent\opsiclientd_bin1\libssl-3.dll
c:\program files (x86)\opsi.org\opsi-client-agent\opsiclientd_bin1\libcrypto-3.dll

Es werden CVEs im Rahmen von 3.0.11 angezeigt.
3.0.12 wird empfohlen. Ist aber anscheinend auch erst seit dem 30.01.2024 released.

[n.doerrer]

Aktuell verwenden wir auf unseren build-maschinen libssl 3.0.13. Die kommenden opsiclientd-Versionen enthalten dann diese.

[Valentino-46]

Hallo zusammen,

ich habe aktuell die Testing Version mit der libcss und libcrypto 3.0.13 installiert.
Was ich allerdings festgestellt habe ist, dass im opsi-script Verzeichnis ja noch die alte Version von April drin ist.

Kann diese Problemlos auf 3.0.13 aktualisiert werden? Ich könnte das natürlich für mich selbst übernehmen in dem ich das Paket entpacke, austausche und neu paketiere. Wird das funktionieren!?

Falls ihr uns eine Testing stellt, würde ich das Testen bei uns übernehmen und euch Rückmeldung geben, ob alles soweit funktioniert.
Gut wäre nur, dass natürlich auch dort keine alte Version mehr enthalten ist.

Besten Dank vorab,
Viele Grüße,
Valentino

[j.werner]

Hallo Valentino,

danke für den Hinweis. Der nächste opsi-script wir dann OpenSSL in der Version 3.0.14 enthalten.

...
Was ich allerdings festgestellt habe ist, dass im opsi-script Verzeichnis ja noch die alte Version von April drin ist.

Kann diese Problemlos auf 3.0.13 aktualisiert werden? Ich könnte das natürlich für mich selbst übernehmen in dem ich das Paket entpacke, austausche und neu paketiere. Wird das funktionieren!?
...

Ja die sollten auch so problemlos auf 3.0.13 bzw. besser gleich auf 3.0.14 aktualsiert werden können.

Mit freundlichen Grüßen
Jan

[Valentino-46]

Hallo Jan,
ich habe gerade das opsi-script Paket entpackt, die DLLs ausgetauscht, die Versionsnummer in der control-file erhöht und mit opsi-makepackage das Paket neu generiert.
Danach habe ich es ins repository geuploaded und auf alle depots installiert.

Ich sehe die korrekten libs auch im depot, allerdings werden die opsi-scripts der clients nicht damit aktualisiert?!
Das passiert doch normalerweise bei jedem Connect des client-agents mit dem Server?

Danke nochmal für eine kurze Unterstützung,
Viele Grüße,
Valentino