LINUX.ORG.RU
ФорумTalks

polkit опять порвали

 , ,


0

1

Привет, ЛОР!

Как ты, наверное, можешь представить, в polkit новая дырень.

https://seclists.org/oss-sec/2022/q1/80

TL;DR баг в pkexec, который обычно ставится с suid, позволяет получить рута.

Но самая прелесть не в этом. Дыра вызвана некоторыми «особенностями» в glib. И эти особенности были скопипащены из другой библиотеки. В частности, в описании CVE есть ссылка на письмо в рассылку из 2017, где присутствует вот такой абзац:

NB, this was partially fixed in gnulib in 2009:

http://git.savannah.gnu.org/cgit/gnulib.git/commit/?id=b06da86eb05ed57e2861061ae5cacf4c7a3686f1

But glib has its own copy of this code, which hasn’t been updated since 2008.

Скажи, ЛОР, когда в линуксе бездумно перестанут копипастить код? Позор же!

UPD: на opennet подробнее расписали на русском

★★★★★

Последнее исправление: hateyoufeel (всего исправлений: 2)

Молодые разработчики на СтэкОверфлоу из успешных софтваре девелопмент компаний написали полезную тулзу, а всякие маргиналы из интернетов их хейтят.

BceM_IIpuBeT ★★☆☆☆
()

this was partially fixed in gnulib in 2009

But glib has its own copy of this code, which hasn’t been updated since 2008.

То чувство, когда Столлман сотоварищи работают лучше разработчиков GTK.

Korchevatel ★★★★★
()
Последнее исправление: Korchevatel (всего исправлений: 1)

Линукс и копипаста - близнецы-братья

kto_tama ★★★★★
()
Ответ на: комментарий от BceM_IIpuBeT

Молодые разработчики на СтэкОверфлоу из успешных софтваре девелопмент компаний написали полезную тулзу, а всякие маргиналы из интернетов их хейтят.

Polkit был написан перцем из КрасноШляпы. И судя по лысине на фотках, этот перец уже давно нифига не молод.

hateyoufeel ★★★★★
() автор топика
Ответ на: комментарий от hateyoufeel

Молодые в смысле малолетних д*билов. Это состояние души, а не тела)

BceM_IIpuBeT ★★☆☆☆
()
Последнее исправление: BceM_IIpuBeT (всего исправлений: 1)

когда в линуксе бездумно перестанут копипастить код?

О, успокоили,значит продакшен тоже как я пишет код... Хотя, не я думаю, перед копипастой...

xwicked ★★☆
()
Последнее исправление: xwicked (всего исправлений: 1)
Ответ на: комментарий от cocucka

Тут хейтеров половина лора. Сейчас понапишут. Да хотя бы ты напиши. А, вон написал уже. Три минуты назад.

imul ★★★★★
()
Последнее исправление: imul (всего исправлений: 1)
Ответ на: комментарий от imul

Это я к тому, что такое лучше сразу в новости, а не постить в толксы. Уязвимость-то серьёзная как-никак.

cocucka ★★★★☆
()

Скажи, ЛОР, когда в линуксе бездумно перестанут копипастить код? Позор же!

В 2008 году этот год был пиком кодостроительства, а потом, как водится, они просто забыли, откуда он взялся, работает — не трожь. Во всяких коммерческих софтинах такое сплошь и рядом, даже еще больше.

shimon ★★★★★
()
Ответ на: комментарий от cocucka

Ага. В полките дыры каждый месяц находят. На новость это явно не тянет.

hateyoufeel ★★★★★
() автор топика
Последнее исправление: hateyoufeel (всего исправлений: 1)
Ответ на: комментарий от cocucka

Такое лучше латать авторам и ментейнерам ещё до публичного анонса. А потом уже всё равно куда.

imul ★★★★★
()
Ответ на: комментарий от imul

Дык, они-то залатали, а кто юзеру скажет, что надо б обновиться? Я, например, дай б-г раз в месяц пакеты обновляю.

cocucka ★★★★☆
()
Ответ на: комментарий от cocucka

Зачем руками обновлять? Крон прекрасно справляется, особенно для секьюрити патчей. Ты ж не на арчике с гентой всё-таки.

imul ★★★★★
()

Секундочку. Если я правильно понял, библиотека XверсияN содержала код C1, который был скопирован в библиотеку YверсияM в момент времени T1.

В момент времени T2 > T1 в XверсияN+k обнаружен и исправлен баг B. Каким образом разрабы YверсииМ должны были узнать о будущей уязвимости из-за бага B в YверсииM+r? Через хрустальный шар?

seiken ★★★★★
()

Интересно, а в сертифицированных ФСБ дистрибутивах, тоже этот дырявый polkit есть. Если да, то за родину обидно :(

superuser ★★★★☆
()
Ответ на: комментарий от cocucka

В общей сложности. Это же не метафизические гвозди, так?

seiken ★★★★★
()
Ответ на: комментарий от superuser

Этим вроде как не ФСБ, а ФСТЭК занимается. И насколько я понимаю, то что оно сертифицировано не значит, что не содержит ошибок/закладок. Иначе вообще никакая ОС не будет сертифицирована. Только какие-то микроядра не включая юзерленд и приклады

cobold ★★★★★
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.