Исследователям удалось добавить в ядро Linux уязвимый код

Надо было сказать, что мы хотим провести эксперимент, вот в течении этого года будут отосланы патчи, которые содержат уязвимости, не критические, но всё же. Первые 2-3 месяца последили бы активно, потом забили бы. И через пол года уже можно начать отправлять патчи: сначала нормальные, нормальные, потом вредоносные.

Блэкхэтовцы должны ответить за нанесенный вред.

напоминаю тебе про недавнюю дыру в Exchange. сколько инсталяцией поимели недавно в госорганах сша? на кого грешим, на китайцев? ну как, есть на кого в суд подать? или лучше бы кто-то нашел способ пенетрейшена, а потом написал об этом?

Согласен, пока в эту сторону мало развития даже на уровне небольших приложений не говоря уже про ос.

Ъ. Ъ никогда не меняются.

Твоя цитата говорит только о том, что чувакам универ кажется более авторитетной инстанцией, чем сообщество Линукс кернел. Сообщество с этим не согласилось, получился жуткий скандал, и теперь у универа департамент computer science опустился с 2-tier до 3-tier, что колоссально скажется на поступлениях ден.знаков.

Надо

кому надо?

Штудентам, или кто там отправлял.

зачем, почему?

Очевидно, что он с computer science связан

Вся прелесть ситуации в том, что нет. Точнее, университет универсален, как ему и полагается.

Похоже эксперимент оказался многогранным, не только проверил качество ревью но и насколько уровень универа зависит от настроения сообщества разработчиков.

Лучше бы кто-то нашел способ пенетрейшена, написал об этом в Микрософт, и через месяц опубликовал бы уязвимость. А не так, как эти ребята – внесли уязвимость, а потом опубликовали её 0-day.

Чтобы патчи от университета продолжили принимать.

о, приветствую, тут какая-то странность. во-первых, какой-то леопольд кэт ходил с аватарой столмана, а во-вторых, почта пришла о смене емейла. это все валидные действия?

Вся прелесть ситуации в том, что нет. Точнее, университет универсален, как ему и полагается.

Ну да, только на liberal arts всем насрать, а на computer science - нет.

Я просто оставлю это здесь: Эксперимент Розенхана. Справедливости ради, психологи поступили куда более этично.

Чтобы патчи от университета продолжили принимать.

да невелика потеря. частным порядком можно послать.

интернет - это джунгли. какая уж тут этичность.

да невелика потеря. частным порядком можно послать.

Почему не нести свои деньги в универ, где патчи в ядро можно с .edu посылать? Как бы, студенты весьма понтятся емейлом типа [@]mit.edu.

Лучше бы кто-то нашел способ пенетрейшена, написал об этом в Микрософт, и через месяц опубликовал бы уязвимость. А не так, как эти ребята – внесли уязвимость, а потом опубликовали её 0-day.

для кого лучше? эту уязвимость бы тихонько закрыли. я предпочитаю знать о найденных проблемах. ты вообще опенсорс разрабатываешь?

По утверждению Леона Романовски, как минимум один из этих потенциально вредоносных патчей попал в stable.

https://lore.kernel.org/linux-nfs/YIAta3cRl8mk%2FRkH@unreal/

Коммит 8e949363f017 («net: mlx5: Add a missing check on idr_find, free buf»)

про деньги не понял. ну отнеси свои деньги...

Да. Были массовые смены аватарок и я принял в этом участие. Что касается почты, то я действительно был вынужден сменить адрес.

Так ты и узнаешь, и тебе вместе с знанием об этой проблеме прилетит обновление, которое её чинит.

ок. просто проверка.

неееет))) ты как будто не знаешь, как это происходит))) прилетит бинарный патч с указанием, что это critical неразглашаемая уязвимость)))

про деньги не понял. ну отнеси свои деньги…

Университеты в США совсем не бесплатны. В нормальном, не топовом, за одного ребёнка оставишь $250-300к. У меня, как минимум, двое, и в тот сарай они теперь явно не пойдут.

Повезло чуваку, не будет работать в одной конторе с терпилой.

я тебе больше скажу, что даже опенсорс проекты замалчивают проблемы:

Примечательно, что проблема присутствует в коде Glibc начиная с версии 2.2, выпущенной в ноябре 2000 года. При этом проблема была молча устранена в мае 2013 года без указания на то, что исправленная ошибка имеет отношение к серьёзным проблемам с безопасностью.

https://www.opennet.ru/opennews/art.shtml?num=41549

чуваки из универа - просто гипер-молодцы

Повезло чуваку, не будет работать в одной конторе с терпилой.

Офигенно повезло, подфартило! Мы тут как раз очень удачно на IPO недавно вышли.

Ещё раз, когда этот патч прилетит (в идеале – чуть после), пентестер который его нашел опубликует статью (для поднятия ЧСВ и собственной стоимости на рынке труда). Там ты сможешь прочитать что за уязвимость, и как её залатать если не хочешь/не можешь обновляться. Именно так все нормальные пентестеры и делают. А публиковать уязвимость до того, как все обновились (или хотя бы обновление вышло) – ублюдочное поведение, и бан за такое вполне заслужен, чтобы дальше не могли с университетского адреса засылать троянских коней в релизы.

Замалчивание уязвимостей – проблема, но проблема ортогональная этичности 0-day.

Да-да, так ещё лулзовее. Можно было бы вообще продать дыру.

Ой, ну все! Пропал калабуховский дом!

ты прям уже, как американец, думаешь) вот, держи выше немного классики. я думаю, что пентестеры молодцы. а что ты там куда-то кого-то не отдашь миру (и мне) совершенно погоды не сделает.

Тысяча глаз смотрит в код

Ахахаха

А публиковать уязвимость до того, как все обновились (или хотя бы обновление вышло) – ублюдочное поведен

нееет! это самое правильное поведение! это именно оно сгоняет жир с таких засидевшихся коммерсов типа тебя, которые готовы в суд бежать. только страх заставит вас сделать дополнительное ревью. а у госов самый низкокачественный код как раз по причине: я в суд подам!

+1 :)

Замалчивание уязвимостей – проблема, но проблема ортогональная этичности 0-day.

вот мы и решили за раз две проблемы.=) а компания вообще говоря может запретить публикацию и исследование уязвимостей в своем коде. я по крайне мере на территории россии с таким сталкивался

А попробуйте разработчикам OpenBSD прислать патч.

Надеюсь, выпускникам и бывшим сотрудникам тоже бан прописали?

После такого по-хорошему должен быть запрет использования для заведения.

а пробовали

это наглядная демонстрация того факта, что OSS не более безопасный, чем проприетарный код

Этого какого рода органом ты породил подобную мысль? Потому что мозг тут определённо не участвовал - иначе была бы хоть какая-то логика.

И причем здесь обычные not-for-profit пользователи Линукса вроде меня, которым теперь нужно в очередной раз в срочном порядке обновлять ядро?

сабж - это remote hole?

и что?

Я не понимаю причем тут это. Поиск и ответственное разглашение уязвимостей в Linux есть единственный, хоть и дырявый, механизм безопасности. Но обсуждаемый поступок ничего общего с этим не имеет.

Там вроде бы UAF, я думаю что это будет очередной локальный рут.

я не сразу понял тебя. нет, malicious патч не посылали. а вот с обычными патчами безопасности - все отлично. был отличный доклад про сравнение трех ОС: Linux, FreeBSD и OpenBSD. OpenBSD оперативнее всех отреагировала на патч. там кода-то гораздо меньше.

Это по сути социальный эксперимент и проверка компетенции разработчиков. Поступок может этически своеобразный, но показательный, т.к. вот они честно и прямо признались в этом деянии, но как много других правок вносятся для создания чёрных ходов ?

раз эксплойт не опублкован, значит, никакой спешки с обновлением локального бага.

А если серьёзно, то это наглядная демонстрация того факта, что OSS не более безопасный, чем проприетарный код.

Нет, более безопасный и причин тут две:

1. за каждый патч отвечает конкретная персона: автор патча или тот кто его подтвердил, ответственность у проприетарщиков размазана на всё юрлицо.
2. Множество внедрённых бекдоров на конкретной системе могут оказываться вне игры после отключения входе перекомпиляции ядрва неиспользуемых модулей и функционала, чего нельзя сделать с проприетарным блобом.

И полет