CVE-2011-4127: privilege escalation from qemu / KVM guests

это ужас-ужас или просто ужас? :)

/dev/sda3

Каменный век

Каменный век

И не говори: С:\ рулит.

For example, if a guest was confined to host device /dev/sda3, it could read or write other partitions or the boot sector on /dev/sda

Дык SELinux зачем придумали?

For example, if a guest was confined to host device /dev/sda3, it could read or write other partitions or the boot sector on /dev/sda

Дык SELinux зачем придумали?

И чем SELinux здесь поможет?

https://lkml.org/lkml/2011/12/23/19

... But more importantly, we don't break what works. So what the f&^k was the point of even asking? THAT was the «dumb» thing here.

Linus

Торвальдс как всегда няшка

у фрибсд каноничнее http://lists.freebsd.org/pipermail/freebsd-announce/2011-December/001398.html тоже на днях

cast iZEN

как у вас там умудряются такое творить, несмотря на то что телнет умер и выключен во фре по дефолту?

Дык ограничить доступ к устройствам можно.

Дык ограничить доступ к устройствам можно.

Вручную политики никто не пишет :)

And I've taught myself (and my wife) to always eject media before

removing them.

Это он щас о сексе? :)

Дык ограничить доступ к устройствам можно.

Там проблема в том, что ядерный драйвер игнорирует ограничения, а Линусу вожжа под хвост попала.

Так по ссылке говорят что уже починили... правда полтора месяца с подобной уязвимостью не айс конечно... на виртуалхостинге у каждого есть рут , считай все данные можно читать что с тобой на одном разделе оказались..

я наверное тугой, но в багзилле редхата

Status: NEW

commnet 53 даёт воркэраунд, а на lkml.org доступны патчи. и в багзилле тоже доступны патчи.

а в репах?

нашёл вот это https://rhn.redhat.com/errata/RHSA-2011-1849.html

" This update is available via the Red Hat Network. Details on how to use the Red Hat Network to apply this update are available at https://access.redhat.com/kb/docs/DOC-11259 "

в сентос в репах есть с 23 декабря http://lists.centos.org/pipermail/centos-announce/2011-December/018358.html

соответсвенно у рхела тоже должно быть.

кстати telnetd дырявый еще в дебиане и макос

баге 20(!) лет