Entre le 30 et le 31 juillet dernier, le code source d’OpenSSH, disponible sur les sites officiels OpenSSH.com et OpenBSD.org était trojanisé : un Cheval de Troie y avait été glissé par un pirate, après qu’il eut pris le contrôle du serveur FTP commun aux deux sites. Le parasite, une fois compilé, devait lui donner libre accès aux serveurs sur lesquels serait installé le produit.Grâce à un contrôle d’empreinte régulier, l’équipe des sites détectait cependant rapidement la modification, et remplaçait les sources compromis dès le premier août. Pour ce qui est d’OpenSSH.org, l’affaire est donc réglée.En revanche, grâce au jeu des nombreux sites miroirs qui reprennent automatiquement le contenu du site officiel, certaines versions souillées peuvent être encore disponibles. Il est donc essentiel pour qui aurait récemment téléchargé OpenSSH 3.2 ou 3.4 de vérifier l’intégrité de son code source, quitte à revenir télécharger une version saine sur le site officiel. Le CERT a publié une alerte indiquant les signatures MD5 valides, afin de contrôler la validité des sources.