А в Слаке нет PAM

>А в Слаке нет PAM

потому что слака говно.

Кто-нибудь толком может объяснить - почему?
Почему как из рога изобилия эти баги посыпались?
Третий фикс за последнюю неделю - не многовато ли будет?

Есть оно в слаке...
Но ночью уже патч готов был...
upgradepkg ужо сделал.

Slackware is not vulnerable to the PAM problem, and it is not believed that any of the other code cleanups fix exploitable security problems, not nevertheless sites may wish to upgrade.

Slackware Linux Security Team

Хех... видать народ обиделся что только мелкософт постоянно заплаты выпускает и решил поддержать их со стороны никсов :)

мне кажется дело в том что мс было обосрато немного - сыпались один за одним ms ie, ms dcom, etc - очень похоже что копали под мс и копали китайцы - мсу надо было показать что опен осы не надежнее и поэтому как и ожидалось посыпались sendmail и openssh ..

вот уж теперь детишки вроде stalsen'a со своим RTK повеселятся =)

-

under a non-standard configuration, with privsep disabled

Чего боитесь ? По дефолту privsep включено

Может просто чисткой кода занялись - вот вам и рог изобилия.

-

вот уж теперь детишки вроде stalsen'a со своим RTK повеселятся =)

Боишься ? Правильно боишься.

RedHat 9.0 с настройками по умолчанию, не подвержена данной уязвимости.

>А в Слаке нет PAM

я конечно знал, что слака говно, но не до такой же степени!

openssh на помойку. это сервис-гейт в святая святых - источник/хранилище информации. openssh аналогично деревянным дверям в банк.

религия не позволяет использовать non-commercial от ssh.com?

2 borisych
Ты бы такое не говорил, ок?
Я же не говорю, что любимая тобой дженту говно

-

религия не позволяет использовать non-commercial от ssh.com?

А там что святые ?

2anonymous (*) (2003-09-24 15:08:41.307729)
Тебе ничего не буду отвечать, вспомни лишь бородатый анекдот - "Мужик, ну ты сам понял, да?"

2Sun-ch
Да не... просто постабильнее, в угоду меньшей функциональности. И опять же, из-за гораздо меньшего процента пользования ею - дыр гораздо меньше :)

Dimez, а M$ terminal service вообще получается неуязвим коли им почти никто не пользуется?

Мля, я ж смайл поставил, понимать надо, да? :) И, кстати, пользуются terminal services, не надо :)

Ай да маладца слака! Опять впереди планеты всей. Не зря от PAM
отказались. Толку от него - чуть, а вот на багтреке с дырами
в безопасности светится уже третий или четвертый раз. И эта
софтина была призвана повысить безопасность системы ;)

слака смотрит на года вперед!

>Мля, я ж смайл поставил, понимать надо, да? :) И, кстати, пользуются terminal services, не надо :)

нет маньяков, использующих его в _инете_

>софтина была призвана повысить безопасность системы ;)

дубина, PAM не для того предназначен.
а ну марш на google.com искать для чего нужен PAM и не позорься тут

>Ты бы такое не говорил, ок? Я же не говорю, что любимая тобой дженту говно

а типа отсутствие pam это кул 7 а отсутствие nss тоже кул ? и вообще нифиг на серваках пользователей держать ?

Так и знал, что какая-нибудь шавка обязательно тявкнет ;(
Ну вот, например, что google выдает:

PAM creates independent modules that verify passwords and tell
the appropriate program ( login ) that the entered password is
correct. This _greatly_ _increases_ _security_ (since PAM can
tell passwd that a given password is too easy to guess), and
also increases the ways of authenticating a user.

Почему PAM является какашкой? Патаму шта:
- сделан через жопу
- неоправданно усложняет схему аутентификации и создает незаметные на первый взгляд дырочки.
- неоднократно появлялся на багтреке в разделе "дыры в безопасности"

Уже за один последний пункт он не имеет права считаться
серверным софтом. Впрочем, так же, как bind, sendmail, openssh...

>>неоправданно усложняет схему аутентификации и создает незаметные на первый взгляд дырочки.

совсем наоборот.

>>неоднократно появлялся на багтреке в разделе "дыры в безопасности"

это из пальца высосано ??

>>сделан через жопу

imho, если к нему существует столько модулей, то ни о какой жопе и речи быть не может.

> >>неоднократно появлялся на багтреке в разделе "дыры в безопасности"
> это из пальца высосано ??

Ага. Этот палец называется интернет.
http://www.google.com.ru/search?q=PAM+security

>imho, если к нему существует столько модулей, то ни о какой жопе и речи быть не может.

А миллионы мух, как известно, ошибаться не могут.

>Ага. Этот палец называется интернет. http://www.google.com.ru/search?q=PAM+security

а я уж было повелся.... :) первые две ссылки какое-то гонево, не относящееся к дыркам, все остальные >3 летней давности.

Да если даже тебя мордой ткнуть в эти дырки, ты все равно
скажешь, что плохо видишь, туго слышишь и плохо соображаешь ;)

для танкистов :

набираем в гугле pam vulnerability - все ссылки трехлетней давности

а если наберем sendmail vulnerability - последняя 17 сентября

хотя был баг в pam_wheel (16/6/2003) , но какой-то надуманный...

This _greatly_ _increases_ _security_ (since PAM can
tell passwd that a given password is too easy to guess), and
also increases the ways of authenticating a user.

И эти люди будут меня учить как выбирать пароли?

они хоть патчи выпускают оперативно...

2 borisych Идеология Slackware такая, что хочешь - то и сделай По умолчанию pam'а нету, хочешь, чтобы был - ставь, прикручивается - на ура(я, правда, не прикручивал, ибо нах не надо)