Решето!

Решето.

выпущены для RHEL и Debian

Ubuntu? хотя я неуловим, чо парюсь ;)

В качестве одной из мер безопасности можно использовать DNSCrypt, надёжно защищающий от MitM-атак и подделки ответов DNS-сервера.

По второй ссылке пишут несколько более простое решение с обрезанием dns пакетов больше 2К

ИЧСХ недавно же CVE-2015-0235 была в том же (или около) модуле.

Заклеил уже ;)

MitM-атаки с подменой ответа DNS-сервера

DNSCrypt только для клиента, который это поддерживает? Ведь нельзя же простенький девайс на это настроить. Тогда DNSCrypt по моей догадке должен поддерживать оба режима. НО... злоумышленник не может сделать так что сервер будет думать что работает с упрощенным устройством?

Ubuntu? хотя я неуловим, чо парюсь ;)

Сказали же, для Debian выпустили обновление. Значит и в убунту затянут.

Самое настоящее

Отверстие.

Обновления, закрывающие уязвимость, выпущены для RHEL и Debian.

Означает ли это, что Fedora 22 тоже получила эти обновления?

DNSCrypt можно поднять на роутере под OpenWRT. И принудительно завернуть на роутер весь исходящий по 53 порту от клиентов трафик, чтобы они не могли использовать никакой сторонний DNS.

Бонусом получаем отсутствие ведения логов на сервере (если, конечно, доверяем словам владельца сервера) и поддержку доступа к доменным зонам .lib (зависит от того, настроен ли на сервере emcDNS), где уже есть flibusta.lib, nnm-club.lib и rutracker.lib

Если я правильно понял, что рекомендуют делать:

iptables -I INPUT -p tcp -m tcp --sport 53 -m length --length 512:65535 -m comment --comment "СVE-2015-7547" -j DROP
iptables -I INPUT -p udp -m udp --sport 53 -m length --length 1024:65535 -m comment --comment "СVE-2015-7547" -j DROP

Обновления, закрывающие уязвимость, выпущены для RHEL и Debian.

Какая неожиданность. Но на сервер лора все равно ставят центос, а не дебиан.

как хорошо что я на FreeBSD сижу а то уже без слез не взглянешь как не новая неделя так новая уязвимость в линуксе

Отверстие.

Боюсь спросить какое.

http://www.coresecurity.com/advisories/freebsd-kernel-multiple-vulnerabilities

Едрить, ну как же так же ж...

Как обычно.
Я подозреваю, что PoC через днс - это только один вектор эксплуатации, наверное есть и другие способы.

Дык потому что забили давно на этот FreeBSD и аудит гораздо меньше человек делает ибо - да кому он нужен.

захвата самого DNS-сервера.

физического? ну тогда можно вообще что угодно подменить

хотя я неуловим

Выньсервер используешь?

Ну можно же было не заявлять публично вот так всё и сразу. RHEL + Debian — далеко не все пользователи Linux.

У него убунта 14.04, и наверняка он имел ввиду что-то вроде DNSCrypt

Ментейнеропроблемы.

Как страшно жить, бл...

Значит, теоретически в течение этого дня можно ломануть 99% серверов в интернете?

Да, всего то надо получить доступ к их днс серверам.

Аж жир потёк.

Заявили в соответствии с рекомендациями. А то, что какие-то маргинальные дистрибутивы не успевают, то невелика беда. Их пользователи все как один неуловимые.

Только вроде наоборот tcp 1024, udp 512.

На DNS-сервере так нельзя - поломает zone transfer.

Почему?

Обновил своё хозяйство, ребутнул всё. Немного до планоговго update-day (у меня это 21 число) не дотянуло.

rawhide получил

хахахахахаха сообщение было отправленно черт знает когда, а линуксоиды в большинстве своем даже с печи не слезли. Вот тебе и миллионы глаз! Или миллионы мух?

Пора запретить программировать на С. Особенно на С++.

А я думаю чего это вчера libc6 обновилась.

надо ли ребутится?...

А вот интересно, обновление накатил, а перегружать сервак обязательно? Или можно как-то саму библиотеку рестартавать что ли... :) Какая служба ее использует?

nnm-club.lib и rutracker.lib

Ого! Вот про то что у этих ребят есть домен в зоне .lib я не знал. Флибустой пользуюсь давно через домен .lib

Какая служба ее использует?

glibc что использует ? Ну-ну... Всё практически её использует.

Ну можно же было не заявлять публично вот так всё и сразу.

А, думаешь, заявили сразу ? Можно посмотреть, у кого уже есть обновления. И будет понятно, что все эти люди выложили обновления в час Ч, когда было объявлено. Но не раньше.

Обновления, закрывающие уязвимость, выпущены для RHEL и Debian.

Какая неожиданность. Но на сервер лора все равно ставят центос, а не дебиан.

Центось ночью обновилась, умерь батхёрт.

Я думаю, что те, кто эксплуатируют уязвимости в своих целях - и так о ней знали.

было отправлено ещё в середине прошлого года

Сказочные долбоебы. Им чувак все детально по строчкам кода разобрал и объяснил, где продолб. А они полгода сопли жевали и спрашивали всякую херню типа

Robert, you need to tell us which function you call, with which parameters.

Говорил же, что надо ставить Astra Linux {Special|Common} Edition!

По стилю вопроса похоже на наших друзей с солнечного полуострова на букву И, так что неудивительно.

что в мире творится! стабильности нет.

хорошо, что у меня под OpenBSD

наоборот tcp 1024, udp 512

Да. Но поправить сообщение ЛОР уже не даёт :(

На DNS-сервере так нельзя - поломает zone transfer.

Почему?

Потому что зона обычно весит больше 1024 байт. Хотя, можно ещё сверху прописать исключения для доверенных серверов

Запрети. Или ты никто?

Уйди. Взял да испоганил наброс.

А может потому что он «неуловимый Джо»?-)