сколько можно панику устраивать из-за уязвимостей, использование которых требует аж физический доступ к машине? вот переполнение в ssh, вот это да уязвимость была, эт, есть оно нету, ливцд и сломана ваша система хоть есть там эти уязвимости, хоть нету...

L.o.r. уполномочен заявить.

На L.o.r.'е было объявлено:

http://www.linux.org.ru/view-message.jsp?msgid=3635954

Как говорят в таких случаях? "Уже обсудили"?

Версия 124-9ubuntu0.2:

* SECURITY UPDATE: root privilege escalation via udev event spoofing.
- Add debian/patches/81-netlink-owner-check.patch: backport upstream
fixes (CVE-2009-1185).
* SECURITY UPDATE: overflow in path name encoding.
- Add debian/patches/82-encoding-overflow.patch: backport upstream
fixes (CVE-2009-1186).


В Убунте уже пофиксили

>теоретически выполнить свой код с повышенными привилегиями.

Типа теоретически-возможная уязвимость? :)

>>теоретически выполнить свой код с повышенными привилегиями.

>Типа теоретически-возможная уязвимость? :)

типа того...

> сколько можно панику устраивать из-за уязвимостей, использование которых требует аж физический доступ к машине?

Физический? А если у меня есть ssh до хостера, я могу разэксплоитить его сервер?

Тогда к чему говорится "локальный злоумышленник"?

> Физический? А если у меня есть ssh до хостера, я могу разэксплоитить его сервер?

Ну так попробуй.

>я могу разэксплоитить его сервер?

ага ещё и готовым эксплойтом... где скачал кстати? хм.... ну вот не страшно мне и всё тут, я пронаблюдал уже тысячи таких панических сообщений и не видел ни одного случая использования этих уязвимостей на практите, так что какого постоянно из-за всякой фигни истерику устраивают, в новости кидают я хз, вон в венде если сообщают о эпидемии какого-нить вируса, так тут-же начинают идти и сообщения о заразившихся, массово причём... ну блин да уязвимость, ну блин ща пропачатся все (особенно серверные версии дистров), ну у здравомыслящих людей обновления сами же и установятся оперативненько и всё тут, проблема себя исчерпала.... домашнему юзеру очевидно вообще пох.... да чё за паника-то?!

birdie - таки вернулся? Ой, чё делается...

По сабжу - думаю, что если под локальным доступом к машине подразумевается физический - уязвимость не так страшна. А если имеется ввиду наличие какого-либо доступа из-под учётной записи, не обладающей правами администратора, но обладающей доступом к шеллу, то это не так уж и безобидно, ИМХО.

>да чё за паника-то?!

А разве есть какая-то паника? Своевременное информирование об уязвимостях, даже не сверх критичных - это же не так уж и плохо, правда?

> Ну так попробуй.

Преследуется УК РФ, статья 273.

ну в смысле что поломать по сети произвольную машину не получится. нужно иметь пользователя, а там уже можно поднять права до рута

birdie..? занятно.

> да чё за паника-то?!

Вопрос был не про панику, а про твое утверждение о физическом доступе. Как мне кажется, физического доступа в данном случае не требуется.

кто поделится эксплоитом ? :>

>А разве есть какая-то паника? Своевременное информирование об уязвимостях, даже не сверх критичных - это же не так уж и плохо, правда?

да в том что, не тянет это на новость никак, а раз вывалили сюда значит придали очень серьёзное значение....

>Вопрос был не про панику, а про твое утверждение о физическом доступе. Как мне кажется, физического доступа в данном случае не требуется.

я собирательно говорю, многие дыры, которых все так боятся доходят вплоть до физического доступа и всё надо срочно поднять шумиху, пока патчи на серверах у людей ещё не стоят, это тоже добивает.

Ну вот, если добавить сюда какой-нить шеллкод для веб-браузера/самбы/медиаплеера - получится, что не так уж сильно защищен линукс, и спасает его лишь 1%. А то ведь яблочники тоже хвастались "сертификатами unix" и прочим, а как вылезли с приличным % на рынок - начали отгребать уязвимости лопатами.

>>Ну вот, если добавить сюда какой-нить шеллкод для веб-браузера/самбы/медиаплеера - получится, что не так уж сильно защищен линукс

поспешно вы выводы делаете, имхо. и не надо его с быдло макОсью сравнивать, тут и разработчики и сопровождение и идиология в корень разные.

Это не паника, а здоровый интерес. Извините уважаемые, но если на ЛОРе печатают статьи про игры( пусть даже и под линукс), то уж инфа, пусть и устаревшая, про критическую уязвимость явно заслуживает поста.

На счет уязвимости скажу так, если вы думаете что ее открыли недавно, то вы вполне можете ошибаться. Какой нить умник мог ее еще пару лет назад открыть и пользовать для управления чужими сервами, просто кто то ( может и он) обратил на нее внимание только сейчас. И как вы после этого думаете, критическая это была уязвимость или нет?

>да в том что, не тянет это на новость никак, а раз вывалили сюда значит придали очень серьёзное значение....

Извиняюсь, с каких это пор, по сути, local root exploit на новость не тянет? Тем более в udev, который сейчас используется практически во всех основных дистрибутивах.

Ну не понимает он, что некоторые из здешних людей и у провайдеров работают, и крупные компании админят..

Ограниченный кругозор.

Решето !!!

Ну дык принцип неуловимого джо в действии.

А использовать подобные уязвимости просто -- достаточно утащить чей-нибудь логин к машине, которую собираемся взломать. Утащить можно в том числе и с помощью зараженной вендовой машины, если пользователь на линух ходит через putty, а реально работает в венде.

Я с таким случаем использования один раз сталкивался, но всё обошлось, так как умельцы, получив root-доступ, стали заливать на x86_64 машину x86 rootkit и вместо взлома просто привели ОСь в нерабочее состояние.

>поспешно вы выводы делаете, имхо. и не надо его с быдло макОсью сравнивать, тут и разработчики и сопровождение и идиология в корень разные.

В любом дистрибутиве найдется добрый десяток прог (особенно графических), которые только и ищут повода, чтобы словить сегфолт при неловком движении. А каждый сегфолт - это явный недосмотр, т.е. дыра, и никто не знает точное количество неявных дыр.

И идеология, сопровождение - не гарантия отсутствия уязвимостей в _изначальном_ продукте.

> сколько можно панику устраивать из-за уязвимостей, использование которых требует аж физический доступ к машине? вот переполнение в ssh, вот это да уязвимость была, эт, есть оно нету, ливцд и сломана ваша система хоть есть там эти уязвимости, хоть нету...

Ну-ну. Венда с дырами разными - это ужасно, а вот линукс, дающий рутовский шел любому автономному встречному - это прекрасно!

ждем ебилдов этого нетлинк-сообщения.

OpenSUSE обновился.

> Ну дык принцип неуловимого джо в действии.

Да ну конечно. Тешь себя надеждами.

а слака?

> Ну дык принцип неуловимого джо в действии.

И это правильно. Это единственный способ остаться неуязвимым. Например, у меня Gentoo x86_64. Считаем насколько распространен этот дистрибутив: Linux Desktop - 4%, среди них Gentoo - 10%, Среди них x86_64 - 7%. Итого три сотых процента от desktop компьютеров.

> А использовать подобные уязвимости просто -- достаточно утащить чей-нибудь логин к машине, которую собираемся взломать. Утащить можно в том числе и с помощью зараженной вендовой машины, если пользователь на линух ходит через putty, а реально работает в венде.

А разве использование для логина зашифрованных сертификатов не спасает от кражи логина? Хоть для putty, хоть для ssh.

еще вчера обновился, debian team молодцы.

>в ближайшее время ожидается выпуск обновления для SUSE

Буквально вчера в зюзе появилось обновление.

патч вышер раньше новости

>Тогда к чему говорится "локальный злоумышленник"?

Между локальным и физическим разниу ощущаем? Во всяких общих (например университетских) серверах - сам сервер в серверной - но все студенты - локальные. Ведь там же нет в эксплоите инструкции "наклонить сервер на 30 градусов в сторону заката?"

> А разве использование для логина зашифрованных сертификатов не спасает от кражи логина? Хоть для putty, хоть для ssh.

не спасет, просто банально украдут твой зашифрованный сертификат если понадобится

> Решето !!!

> WindowsXP

Ну, в принципе, согласен. :-)

>не спасет, просто банально украдут твой зашифрованный сертификат если понадобится

К нему ещё нужно будет подобрать пароль.

Зачем его подбирать? Его снимут либо keylogger'ом либо, что еще проще с помощью подмененного бинаря ssh или putty.

> Его снимут либо keylogger'ом либо, что еще проще с помощью подмененного бинаря ssh или putty.

А keylogger внедрят при помощи... хм, да тут бесконечная рекурсия %)

Внедрить тоже не проблема, особенно с вендой. В случае с которым я сталкивался пароль вообще утащили у ССЗБ, который сидел на не пропатченном RH7.2, потом с него полезли на сервак с CentOS, который завалили вместо того, чтобы сломать :)

> Внедрить тоже не проблема, особенно с вендой.

Это вроде не W.O.R., а L.O.R. Да в любой системе внедрить злонамеренный код очень трудно при соблюдении нормальных правил безопасности. Если ошибки исправляются вовремя, как эта.

Ошибки исправляются вовремя везде, проблема в том, что очень много есть ССЗБ, которые не ставят патчи

Вчера ночью обновился :)

а c selinux работать будет?

Это виндузятники уже проходили, когда кто-то обнаружил, что можно завершить, например, антивирус, послав в окно WM_QUIT, или выполнить произвольный код в контексте любого процесса с окном через WM_TIMER. Тут уязвимость той же природы - использование ядром механизма передачи сообщений, для проверки подлинности которых надо принимать специальные меры.

> Между локальным и физическим разниу ощущаем?

А Вы уверены, что всё так просто? Сколь мне помнится (не Ъ, поэтому иногда хожу по ссылкам), одна из уязвимостей требует создать в /dev устройство, одноимённое существующему, с chmod 0777.

Решето!!!