где можно скачать патч к ядру?

ADD

Вдогонку

Тулза lv позволяет получить local root на красной шапочке с 7.* по 9.

Уже пофиксено.

http://www.secunia.com/advisories/8794/

2.4.21-rc2 с kernel.org там уже всё пофиксили, качайте!

ошибка в lv не только в шапке, но и во всех других дистрах в которых она идёт

а есть патч исправляющий конкретно эту ошибку? 2.4.21-rc2 качать не хочу, т как эту ошибку они исправили, а каких новых добавили неизвестно

Flashdist - OpenBSD на флеше

>ошибка в lv не только в шапке, но и во всех других дистрах в которых она идёт

про local root на bugtraq только про шапку написано

http://www.securityfocus.com/archive/1/321701/2003-05-14/2003-05-20/0

кстати когда они её успели исправить в 2.4.21-rc2 ?
судя по логу биткипера:

ChangeSet@1.1209, 2003-05-08 21:36:28-03:00, marcelo@freak.distro.conectiva
Changed EXTRAVERSION to -rc2
TAG: v2.4.21-rc2

оно вышло 2003-05-08 , а первая публикация об этой
ошибке была 14'го

>про local root на bugtraq только про шапку написано

по крайней мере для Debian это тоже имеет место:

--------------------------------------------------------------------------
Debian Security Advisory DSA 304-1 security@debian.org
http://www.debian.org/security/ Matt Zimmerman
May 15th, 2003 http://www.debian.org/security/faq
--------------------------------------------------------------------------

Package : lv
Vulnerability : privilege escalation
Problem-Type : local
Debian-specific: no
CVE Id : CAN-2003-0188

Leonard Stiles discovered that lv, a multilingual file viewer, would
read options from a configuration file in the current directory.
Because such a file could be placed there by a malicious user, and lv
configuration options can be used to execute commands, this
represented a security vulnerability. An attacker could gain the
privileges of the user invoking lv, including root.

For the stable distribution (woody) this problem has been fixed in
version 4.49.4-7woody2.

For the old stable distribution (potato) this problem has been fixed
in version 4.49.3-4potato2.

For the unstable distribution (sid) this problem is fixed in version
4.49.5-2.

We recommend that you update your lv package.

>Можно зафлудить линух пакетами с изменным адресом источника.

не пойму причем тут lv ?

х** знает, спроси у Саныча он зачем-то про lv вспомнил, кстати ещё дыру в cdrecord >=1.11 нашли, root exploit имеется :-)

так блин, народ, дайте наконец-то патч, щас ведь всякие мудаки флудить начнут, узнав об этой баге.

changelog на kernel.org 2.4.21-rc2:
...
  o [NET]: Fix hashing exploits in ipv4 routing, IP conntrack, and TCP synq
...

Еще два дня назад вышло у редхата ядро, решающее эту проблему. Несложно догадаться, что патч можно взять в исходниках ядра.

пля очень страшная дыра этот lv, я как рут вообще об этой проге впервые слышу :)

Flashdist - OpenBSD на флеше

>х** знает, спроси у Саныча он зачем-то про lv вспомнил, кстати ещё дыру в cdrecord >=1.11 нашли, root exploit имеется :-)

Дык я читал bugtraq, а там все в одной куче

exploit кто нибудь видел по этому поводу ?

а ты проверь может у тебя этот lv стоит а ты и не знаешь, а узнаешь только когда тебя похачат :-)))

на редхате вроде как нету патча к ядрам :(

есть src.rpm а в нём есть файл linux-2.4.20-nethashfix.patch , возможно это оно, ща выложу куда-нибудь

нет это кривой патч, на 2.4.20 он не встаёт :-(

lv - local vulnerability ??

да а как насчет флуда???

> а ты проверь может у тебя этот lv стоит а ты и не знаешь, а узнаешь только когда тебя похачат :-)))

для тех кто в танке - если я как root не знаю этой проги то я ее и запускать ни разу не буду. хачьте на здоровье.

Flashdist - OpenBSD на флеше

>для тех кто в танке - если я как root не знаю этой проги то я ее и запускать ни разу не буду. хачьте на здоровье.

Зачем иметь такую дыру в системе ? Обновить/снести пакет сложно ?

кому не влом - выложите патч

качать весь src.rpm ради одного патчика ломает

а чё 2.4.21rc2 сложно поставить?

подскажите пож, - это безобразие 2.2.х касается?

Расскажите подробно как DOS сделать че за измененный адресс это ip или че. Хочу проверить.

>Расскажите подробно как DOS сделать че за измененный адресс это ip или че. Хочу
> проверить.
Так тебе и рассказали злобный хацкер.

Ответьте мне на один вопрос:

мне очень нужно пользоваться функциональными патчами на ядро 2.4.20 (CryptoAPI, UDF и т.д.). Ядро из дистра не подходит. На новое переходить, пока эти патчи не вышли тоже никак нельзя.

И что мне теперь делать? Где оперативно найти все security патчи на ТЕКУЩУЮ (или даже предыдущую) версию ОРИГИНАЛЬНОГО ядра? Патчи типа grsecurity, cipherfunk конфликтуют с cryptoAPI и тоже не подходят.

anonymous (*) (2003-05-17 20:08:52.524)

Юзать WOLK

anonymous (*) (2003-05-17 20:08:52.524) да поставь rc2, CryptoAPI, Cryptoloop с ним работают на ура.

WOLK слишком "тяжелое"

аналогичная проблема имею 2.4.20 с кучей патчей, но не дистрибутивное и что мне опять трахаться чтоб на 2.4.21rc2 все эти патчи накладывать, может есть всё-таки патч для 2.4.20?

Слушайте, умники, о чем вы тут вообще трепетесь? При чем тут бага в кернеле и зафлудить с измененным адресом? Вот вам простая формула:

1)послать простой пинг на 20 разных машин с измененным обратным адресом, который указывает на другую конкретную машину. 2) на каждую из 20 машин ICMP пакет ушел маааленький и один. 3) как вы думаете каков будет трафик на точке входа той машины, обратный адрес которой вы указали? пакет*20! А если машин 100? А если 200?

Эта формула применима для всех ОС, кернелов, и тд, вне зависимости стоят на них какие-то патчи или нет. Спастись от этого можно только правильно настроив фильтр на атакуемой машине заранее.

Стар как мир этот DoS. Известен он был со времен рождения линукса. Помогает опция в ядре "Big Routing Table".
С другой стороны, читаем последствия хорошо спланированой атаки:

This could potentially bring a Linux system offline with a
rate of only 400 packets per second

Странное понятие у них "offline". У меня на веб-серверах
средний показатель 300 пакетов/секунду. Так что не страшно.

ftp://ftp.vocord.disorder.ru/pub/linux/kernel/linux-2.4.20-nethashfix.patch

/usr/src/linux> cat ../linux-2.4.20-nethashfix.patch | patch -p1 --dry-run
patching file include/linux/jhash.h
patching file include/linux/sysctl.h
Hunk #1 succeeded at 312 (offset -3 lines).
patching file include/net/tcp.h
Hunk #1 succeeded at 1595 (offset -9 lines).
patching file net/ipv4/netfilter/ip_conntrack_core.c
Hunk #1 succeeded at 31 (offset 3 lines).
Hunk #2 succeeded at 109 (offset 3 lines).
Hunk #5 succeeded at 1430 (offset -5 lines).
patching file net/ipv4/route.c
Hunk #5 succeeded at 2421 (offset -2 lines).
Hunk #6 succeeded at 2460 (offset -2 lines).
Hunk #7 succeeded at 2488 (offset -2 lines).
Hunk #8 succeeded at 2547 (offset -2 lines).
Hunk #9 succeeded at 2555 (offset -2 lines).
patching file net/ipv4/tcp.c
patching file net/ipv4/tcp_ipv4.c
Hunk #1 succeeded at 52 (offset -4 lines).
Hunk #2 succeeded at 858 (offset -11 lines).
Hunk #3 succeeded at 872 (offset -11 lines).
Hunk #4 succeeded at 892 (offset -11 lines).
patching file net/ipv6/tcp_ipv6.c
Hunk #1 succeeded at 34 (offset -2 lines).
Hunk #2 succeeded at 358 (offset -11 lines).
Hunk #3 succeeded at 376 (offset -11 lines).
Hunk #4 succeeded at 1122 (offset -14 lines).
can't find file to patch at input line 583
Perhaps you used the wrong -p or --strip option?
The text leading up to this was:
--------------------------
|# This is a BitKeeper generated patch for the following project:
|# Project Name: Linux kernel tree
|# This patch format is intended for GNU patch command version 2.5 or higher.
|# This patch includes the following deltas:
|#                 ChangeSet    1.1144  -> 1.1145
|#      net/ipv4/netfilter/ip_conntrack_core.c  1.18    -> 1.19
|#       net/ipv6/tcp_ipv6.c    1.22    -> 1.23
|#       net/ipv4/tcp_ipv4.c    1.21    -> 1.22
|#      include/linux/jhash.h   1.1     -> 1.2
|#          net/ipv4/route.c    1.22    -> 1.23
|#
|# The following is the BitKeeper ChangeSet Log
|# --------------------------------------------
|# 03/05/03     jmorris@intercode.com.au        1.1145
|# [NET]: Cosmetic cleanups of jhash code.
|# - Consistent naming (i.e. jhash_xxx)
|# - Reduces the 2&1 word variants to call jhash_3words()
|# - Replaces __inline__ with inline.
|# --------------------------------------------
|#
|diff -Nru a/include/linux/jhash.h b/include/linux/jhash.h
|--- a/include/linux/jhash.h    Tue May  6 02:40:04 2003
|+++ b/include/linux/jhash.h    Tue May  6 02:40:04 2003
--------------------------
File to patch:
Skip this patch? [y]
Skipping patch.
4 out of 4 hunks ignored
patching file net/ipv4/netfilter/ip_conntrack_core.c
Hunk #1 FAILED at 115.
1 out of 1 hunk FAILED -- saving rejects to file net/ipv4/netfilter/ip_conntrack_core.c.rej
patching file net/ipv4/route.c
Hunk #1 FAILED at 205.
1 out of 1 hunk FAILED -- saving rejects to file net/ipv4/route.c.rej
patching file net/ipv4/tcp_ipv4.c
Hunk #1 FAILED at 871.
1 out of 1 hunk FAILED -- saving rejects to file net/ipv4/tcp_ipv4.c.rej
patching file net/ipv6/tcp_ipv6.c
Hunk #1 FAILED at 371.
1 out of 1 hunk FAILED -- saving rejects to file net/ipv6/tcp_ipv6.c.rej
patching file net/ipv4/route.c
Hunk #2 FAILED at 485.
1 out of 2 hunks FAILED -- saving rejects to file net/ipv4/route.c.rej
patching file net/ipv4/tcp_minisocks.c
Hunk #1 succeeded at 447 (offset 3 lines).

то есть не патчится оно, есть нормальный патч?

300 пакетов на вебсервере
это хорошо
ну тут речь идет о 400 пакетах и досе
я на долбаном диалапе могу 400 пакетов
сгенирить и сервак в дауне это есть очень плохо....

to anonymous (*) (2003-05-18 00:14:46.84)

vanilla-kernel-2.4.20+ptrace patch. Патчится без единого реджекта. Это или вы что-то не так делаете или ядро слишком специфическое.

> ну тут речь идет о 400 пакетах и досе
я на долбаном диалапе могу 400 пакетов

Я говорю о нормальных пакетах по 1500 байт. А ты похоже не понял, к чему говорилось про 400 пакетов. Эти 400 пакетов в секунду - пропускная способность сервака во время DoS. Ими можно обслужить порядка 300-400 веб-юзеров в минуту. Совсем неплохо.

Спасибо зп патч! Щас натягивать буду... ;-)

Кстати, поклонникам Debian... :-)
Вот how-to для установки Debian на компы SGI (debian-mips): http://www.linux-debian.de/howto/debian-mips-woody-install.html

Меня порадовала строчка: "I prefer the simple way to install the packages, dselect is a hard way."
И после этого, мне будут втирать, что "dselect - намного круче, чем handy-install"... :-))) Эх, жаль, что Слаквари нет для MIPS'ов...

" Кстати, поклонникам Debian... :-)
Вот how-to для установки Debian на компы SGI (debian-mips): http://www.linux-debian.de/howto/debian-mips-woody-install.html

Меня порадовала строчка: "I prefer the simple way to install the packages, dselect is a hard way."
И после этого, мне будут втирать, что "dselect - намного круче, чем handy-install"... :-))) Эх, жаль, что Слаквари нет для MIPS'ов..."

читать надо официально руководство по установке, а
не какой-то левый фак !

" Кстати, поклонникам Debian... :-)
Вот how-to для установки Debian на компы SGI (debian-mips): http://www.linux-debian.de/howto/debian-mips-woody-install.html

Меня порадовала строчка: "I prefer the simple way to install the packages, dselect is a hard way."
И после этого, мне будут втирать, что "dselect - намного круче, чем handy-install"... :-))) Эх, жаль, что Слаквари нет для MIPS'ов..."

читать надо официальное руководство по установке, а
не какой-то левый фак !

2asoneofus: Понимаешь, в чём дело...

Во-первых, я абсолютно уверен, что с первого раза "как надо" я Debian и на писюк-то не поставлю. Что уж говорить про столь специфичную железячку...
Соответственно, метод установки по сети мало устраивает.

Во-вторых, у этой железячки нет дисковода. Потому ставить придется либо с CD, либо как описано в HOW-TO'шке загружаться с DHCP. Причём, вариант с DHCP не очень подходит из-за того, что я попросту не знаю, как войти в system maintenance menu. (родная документация от железки не сохранилась, а в том, что лежит на сайте SGI я этого не нашел) Возможно, удастся поставить дисковод от PC'шки... Но, честно говоря, я боюсь эксперементировать (в своё время за железячку заплатили $10'000).

В общем, вот такие пироги. Идеальный выход - загрузочный установочный CD. Значит, придется качать.
Тут тоже печальная проблема: 632 Мбайта. Канал ADSL от MTU - до 6-ти Мбит/с. (т. е., в принципе, оно может выкачаться за время порядка 800 секунд). Но траффик стоит $0.1 без налогов. Значит, $80 - насмарку (65$ + НДС). Для сравнения Slackware 9.0 с полным набором книжек, плюшевым пингвином и двумя маечками обойдется в $173.85 (без перевозки и растаможки). Дело даже не в деньгах. Просто я за то, чтобы отдать эти несчастные 80 баксов сообществу GNU, чем интернет-провайдеру (кстати, моё начальство тоже придерживается этого мнения: платить надо тем, кто что-то ДЕЛАЕТ...)

> Тулза lv позволяет получить local root на красной шапочке с 7.* по 9. http://ftp.redhat.com/pub/redhat/linux/updates/7.3/en/os/SRPMS/lv-4.49.4-3.7x...

> Еще два дня назад вышло у редхата ядро, решающее эту проблему. > Несложно догадаться, что патч можно взять в исходниках ядра. http://ftp.redhat.com/pub/redhat/linux/updates/7.3/en/os/SRPMS/kernel-2.4.20-...

Поскольку пользую RH v7.3

господа Debian'щики скажите, вот такое apt'ом возможно: произвести upgrade пакетов только что бы они не из репозитария брались скомпиленные, а скачивались сорсы, компилялись и ставились, короче что то типа
apt-get source -b package_name
но для всех пакетов что обновились в пепозитарии?