Ряд критических уязвимостей в ядре FreeBSD

Решето! Закапывайте!

>Вменяемые люди не пользуются бета версиями или RC в продакшене.

Потому что они дибилы и не понимают простых вещей: только непрерывная интеграция и поддержание системы в стабильном состоянии спасает от неожиданностей и внезапностей, случающихся раз в полгода.

Ещё раз говорю: "локальный пользователь" для продакшена для начала должен получить пропуск для входа в систему предприятия в бюро пропусков этого предприятия. Таким образом решается проблема подсаживания эксплоита ещё ДО того, как обнаружится техническая возможность для этого.

>Хоронить FreeBSD 7.x ещё очень рано.

Закапывайте уже. "Мавр сделал своё дело. Мавр может уйти."
Ну сколько можно насиловать труп?

>Ой в вашем линуксе будто не в 100 раз больше дыр

3.14здеть - не мешки ворочать.

Лучше бы в сетевую подсистему уязвимостей добавили.

>Ещё раз говорю: "локальный пользователь" для продакшена для начала должен получить пропуск для входа в систему предприятия в бюро пропусков этого предприятия. Таким образом решается проблема подсаживания эксплоита ещё ДО того, как обнаружится техническая возможность для этого.

что за бред? Локальный пользователь продакшна заходит на сервер по ssh.
Или ты так погряз в своей винде, что забыл как на юникс заходят?

Они только по ссх обычно и заходят...

А ещё мне знакомый фряшник доказывал, что его фряха сто тыщ коннектов одновременно выдержала, а линукс бы в такой ситуации не выдержал.

>Ещё раз говорю: "локальный пользователь" для продакшена для начала должен получить пропуск для входа в систему предприятия в бюро пропусков этого предприятия. Таким образом решается проблема подсаживания эксплоита ещё ДО того, как обнаружится техническая возможность для этого.

Какие пропуска ты о чем? Фряха обычно живет на хостингах, и любой дырявый скрипт даст тебе уже remote-exploit. Или ты о пропусках на воркстешены без сетевой активности вообще? тогда,да. пропуск спасает.

>что за бред? Локальный пользователь продакшна заходит на сервер по ssh.

А cмонтировать флэшку из астрала он сумеет?

>А ещё мне знакомый фряшник доказывал, что его фряха сто тыщ коннектов одновременно выдержала, а линукс бы в такой ситуации не выдержал.

Как правило, все доказательства превосходства фряхи на линуксом базируются на специальной фряшной методике тестирования, именуемой "мысленный эксперимент". Т.е. "Представим себе какую-нибудь ситуацию. Фря, разумеется, справится отлично, а линупс, вне всякого сомнения, упадет. Что и требовалось доказать." Также можно вспомнить и классический фряшный метод обеспечения безопасноти - бегать по форумам и орать "ваш линупс в сто раз дырявее!".

>А cмонтировать флэшку из астрала он сумеет?

Ну ты точно двинулся на почве безутешного горя. При чем здесь флешка?

инфа не самая свежая. но

" Наиболее интересным в этом материале, конечно же, представляется сообщение об успехах, достигнутых на пути замены GCC на Clang, внешний интерфейс компилятора для C, C++ и Objective-C, использующий LLVM в качестве выходного буфера. Однако, несмотря на имеющиеся успехи (способность компилирования 99% программ из мира FreeBSD, в том числе загружаемые ядра i386/amd64), Clang пока не способен полностью заменить GCC для FreeBSD в качестве системного компилятора (все ещё наличествуют ошибки и поддержка C++ является несовершенной). "

инфа с линуксцентра, учитывая что теперь об этой иницативе мало говорят - видимо поспешили гнать gcc

>Ну сколько можно насиловать труп?

>iZEN **** (*) (03.10.2009 20:03:35)

даже бздуны признали, что BSD RIP

>А ещё мне знакомый фряшник доказывал, что его фряха сто тыщ коннектов одновременно выдержала, а линукс бы в такой ситуации не выдержал.

какой толстый фряшник

>А cмонтировать флэшку из астрала он сумеет?

Можно подумать, это единственный способ убить фрю.

решето r.i.p.

>А cмонтировать флэшку из астрала он сумеет?

scp\winscp , не?

А бзда уже научилась работать с флешкой?

А фжастфофаны мозгами?

Да, уже сделали

Правда сначала, если флешку просто выдернуть, не отмонтировав, падала вся система, но даже это вроде исправили

Хорошо, что iZEN на винде сидит, иначе бы я за него волновался.

> непрерывная интеграция и поддержание системы в стабильном состоянии

Ключевое слово — [b]стабильном[/b]. И именно для этого существуют ветки *-STABLE.

Все кто написал что-либо про бзд - ПНХ!

> на винде сидит

лучше на винде, чем на ликунсе.

>Ответ на: Re: Ряд критических уязвимостей в ядре FreeBSD от notolerance

Ыыыы?

Решето. И таки да - R.I.P.

Господа линуксойды!

Объясните, почему при дисковой нагрузке ваш линукс практически зависает. Мышь движется рывками, буквы с клавиатуры вводятся через пару секунд от нажатия, графика отрисовывается мееедлеенно, а о запуске программ при копировании файла можно забыть?

Проблема тянется с 2.6.16 и с каждой версией становится все хуже. https://bugs.launchpad.net/ubuntu/+source/linux/+bug/131094/

На той же машине венда и бсд показывают превосходную отзывчивость.

> > Вменяемые люди не пользуются бета версиями или RC в продакшене.

> Потому что они дибилы и не понимают простых вещей: только непрерывная интеграция и поддержание системы в стабильном состоянии спасает от неожиданностей и внезапностей, случающихся раз в полгода.

Непрерывная возня с CURRENT, бетами и RC - не есть "поддержание системы в стабильном состоянии". Эти вещи предназначены для разработки и тестирования. Для поддержания системы в стабильном состоянии достаточно подписаться на freebsd-security-notifications и использовать примерно такой supfile:

*default host=cvsup.FreeBSD.org
*default base=/var/db
*default prefix=/usr
*default release=cvs tag=RELENG_7_2
*default delete use-rel-suffix
*default compress
src-all

> Ещё раз говорю: "локальный пользователь" для продакшена для начала должен получить пропуск для входа в систему предприятия в бюро пропусков этого предприятия. Таким образом решается проблема подсаживания эксплоита ещё ДО того, как обнаружится техническая возможность для этого.

С кем и о чём ты сейчас разговаривал?

> > Хоронить FreeBSD 7.x ещё очень рано.

> Закапывайте уже. "Мавр сделал своё дело. Мавр может уйти."
Ну сколько можно насиловать труп?

Какой ещё труп? FreeBSD 7.0 вышла лишь в конце февраля прошлого года.

Конечно, не труп. Но если восьмёрка делает не хуже - почему бы и не обновиться.

Фря одна из самых лучших систем.Мне больше всего из *BSD импонирует OpenBSD (правда Тео тролль еще тот ;) ).

Почему-то не удивился, увидев первым комментом "решето" :). ананимусы в своем стиле.

я пральна понял, что фикса пока нет ?

Нет, не правильно, так как нет workaround-а, solution есть.

> Конечно, не труп. Но если восьмёрка делает не хуже - почему бы и не обновиться.

Когда она выйдет, я может быть обновлюсь. А пока мне и на 7.2 неплохо.

Какая радость от нахождения ошибок в родственной системе! Ясное дело, что "элитарность" пользователей FreeBSD часто зашкаливает, но дело же не в этом. Эти пользователи всё же по эту сторону open source, поэтому не стоит разделять и так не очень большой лагерь. Разделяй и властвуй никто не отменял, поэтому нам вообще опасно разделяться. А то так и будем в пределе пару процентов.

>> Потому что они дибилы и не понимают простых вещей: только непрерывная интеграция и поддержание системы в стабильном состоянии спасает от неожиданностей и внезапностей, случающихся раз в полгода.

> Непрерывная возня с CURRENT, бетами и RC - не есть "поддержание системы в стабильном состоянии".

"Смешались кони, люди, звери" ©

Никто не предлагает возиться с -CURRENT. Эта ветка вообще не предназначена для пользователей.

-BETA* и RC* — это всё -STABLE ветка. Её-то и нужно юзать всем.

-RELEASE — всего лишь снапшот -STABLE, выполненный в удачный день. :))

я пральна понял, что фикса пока нет ?

Неправильно.

Фикс есть.

> -BETA* и RC* — это всё -STABLE ветка. Её-то и нужно юзать всем.

Это вообще не ветка. Ветка начинается словом RELENG и стабильная ветка - это RELENG_X_Y

Ты бы Handbook прочитал, что ли:

FreeBSD-STABLE is our development branch from which major releases are made. Changes go into this branch at a different pace, and with the general assumption that they have first gone into FreeBSD-CURRENT for testing. This is still a development branch, however, and this means that at any given time, the sources for FreeBSD-STABLE may or may not be suitable for any particular purpose. It is simply another engineering development track, not a resource for end-users.

>> -BETA* и RC* — это всё -STABLE ветка. Её-то и нужно юзать всем.
> Это вообще не ветка.

Прочти ещё раз, что я написал. Внимательно.

> Ветка начинается словом RELENG и стабильная ветка - это RELENG_X_Y

У релизов нету веток.

RELENG_X_Y — это ЖЁСТКО замороженный снапшот ветки -STABLE + security фиксы в течение времени поддержки по мере обнаружения проблем с безопасностью релиза.

> Ты бы Handbook прочитал, что ли

Сам читай. Я уже наобновлялся с одной ветки на другую, так что не тыкай в меня цитатами, в которых ты ничего не понимаешь.

>>-RELEASE — всего лишь снапшот -STABLE, выполненный в удачный день. :))

То есть в тот день когда Фря всё-таки способна запуститься? Хорош стейбл, нечего сказать. Я - то думал, что стейбл можно в любой день релизить. Даже в неудачный.

> Я - то думал, что стейбл можно в любой день релизить. Даже в неудачный.

Можно в любой день, но после этого трудно будет использовать бинарное обновление системы. Как-никак, бинарные chunk's и бинарные файлы инсталляционного дистрибутива имеют цифровую подпись для обеспечения корректного обновления.

-RELEASE тем и отличается от -STABLE, что допускает БИНАРНОЕ обновление. Поэтому на серверах преимущественно установлены релизы с секурити-фиксами, которые обновляются бинарно.

-STABLE — обновляется только через исходники. Есть официальные ftp с месячными и предрелизными снапшотами этой ветки.

>По крайней мере на домашних десктопах-роутерах. А на промышленных серверах "локальному пользователю" вход заказывают через систему пропусков предприятия.

Ты явно не отличаешь сетевую дырку от локальной.

Сетевая - это значит, что связавшись с системой по сети каким-либо образом, не имея прав на доступ к системе, ты всё-таки получаешь возможность запустить в системе нечто - последовательность процессорных инструкций, которая может дать тебе, например, shell.

Получив shell, ты уже обладаешь локальным доступом к системе, т.к. для дальнейшего взлома тебе сеть не нужна. Теперь ты сможешь воспользоваться локальной уязвимостью.

Недавно даже предупреждения были про то, что все, кто использует nginx и FreeBSD, необходимо обновиться. Потому что в первом была найдена сетевая уязвимость, а во второй - локальная. Воспользовавшись двумя этими уязвимостями, можно получить root-доступ, не имея каких-либо прав, кроме просмотра web-странички с сервера.

А всякие "пропуски на предприятие" могут спасти только от ситуации, когда серверы к сети вообще не подключены.

Или ты локальную уязвимость не отличаешь от уязвимости физического доступа?

Ни разу за два с половиной года не видел, чтобы GENERIC-ядро и мир из -STABLE не запустились. Систему обновляю (сейчас это RELENG_8) с периодичностью порядка два-три раза в неделю.

Ты явно не отличаешь сетевую дырку от локальной.

Сетевая - это значит, что связавшись с системой по сети каким-либо образом, не имея прав на доступ к системе, ты всё-таки получаешь возможность запустить в системе нечто - последовательность процессорных инструкций, которая может дать тебе, например, shell.

Ты открыл мне глаза. Спасибо.

Получив shell, ты уже обладаешь локальным доступом к системе, т.к. для дальнейшего взлома тебе сеть не нужна. Теперь ты сможешь воспользоваться локальной уязвимостью.

Не важно как, но можешь. «Сеть не нужна» — открылися ворота в астрал. :)

По третьей дырке:

The feature is disabled by default in FreeBSD 7 and lower, and must be enabled by setting the sysctl(8) variable security.bsd.map_at_zero to 0. In FreeBSD 8 and later feature is enabled by default.

— вот поэтому лучше пользоваться -STABLE веткой, а не ждать обновлений релизов. Может случится так, что ты не успеешь...

Непрерывная разработка несёт в себе одну немаловажную деталь: злоумышленник не знает точно, какие уязвимости есть в работающей -STABLE-системе, поскольку исследовать на уязвимость часто изменяющийся код неэффективно и весьма затратно. К тому же для определения попыток получения более подробной информации о платформе у администратора всегда есть соответствующие инструменты противодействия (вкупе с ежедневными билдами системы, ага).

интересно, какое количество дебилоидов, написавших "РЕШЕТО!!" работают в более-менее серьезном энтерпрайзе\SP? Вот у нас - очень много циски, есть джунипер, ОООЧЕНЬ много винды, полно линукса. Из WAN - ethernet, ppp, mpls, FR, местами ATM, SDH, etc. Браты анонимусы, неужели непонятно, что на Линуксе все это не построишь....По сервисам - интернет, хостинг, контакт-центры, телефония (ss7,dss1,sip,h323,h264,sccp). когда же поумнеете? когда ЗП на 6 умножат? так ведь красноглазым не умножат, за что умножать малышу с молотком и бухтой кабеля в руках?

>Какая радость от нахождения ошибок в родственной системе! Ясное дело, что "элитарность" пользователей FreeBSD часто зашкаливает, но дело же не в этом. Эти пользователи всё же по эту сторону open source, поэтому не стоит разделять и так не очень большой лагерь. Разделяй и властвуй никто не отменял, поэтому нам вообще опасно разделяться. А то так и будем в пределе пару процентов.

Самое страшное в BSD - это как раз то, что они _по ту_ сторону баррикад. И каждый BSD-кодер работает прежде всего на Баллмера, и уже потом на opensource. Потому что лицензия BSD ставит в одну весовую категорию открытый и закрытый код. Естественно, благодаря такой вещи, как маркетинг, проприетарный производитель имеет _абсолютное_ преимущество. Поэтому BSD - пятая колонная в рядах opensource. Пока она не будет уничтожена окончательно, открытые технологии не смогут полноценно бороться за рынок с проприетарщиками. Вы когда-нибудь пробовали бороться, когда вам стреляют в спину?

>Непрерывная разработка несёт в себе одну немаловажную деталь: злоумышленник не знает точно, какие уязвимости есть в работающей -STABLE-системе, поскольку исследовать на уязвимость часто изменяющийся код неэффективно и весьма затратно. К тому же для определения попыток получения более подробной информации о платформе у администратора всегда есть соответствующие инструменты противодействия (вкупе с ежедневными билдами системы, ага).

Т.е. основной метод обеспечения безопасности фри - это обеспечение круглосуточной работы по пересборке системой самой себя? А когда клиентов обслуживать?

>интересно, какое количество дебилоидов, написавших "РЕШЕТО!!" работают в более-менее серьезном энтерпрайзе\SP?

Почему-то даже дебильная красноглазая школота понимает в безопасности больше, чем ты такой весь из себя энтерпрайзнутый :-)

>> Вот у нас - очень много циски, есть джунипер, ОООЧЕНЬ много винды, полно линукса.

А где в перечисленном BSD?

>>Самое страшное в BSD - это как раз то, что они _по ту_ сторону баррикад. И каждый BSD-кодер работает прежде всего на Баллмера, и уже потом на opensource.

Цитирую freebsd_user >>лучше на винде, чем на ликунсе.

Коментарии излишни. Всем понятно, кто по какую сторону баррикад. Претензии к GPL и Столлману в основном у bsdунов. Потому что их лицензия не жизнеспособна(софт поддерживается разработками универа Беркли) и их код постоянно где-нибудь кто-нибудь использует, даже не возвращая патчи в апстрим. Вот им и завидно, что ГПЛ-софт развивается, а ихний студенты Беркли вместо курсовых пишут. Хотя куски БСД отлично допилены и прекрасно чувствуют себя в МакОси. Только коммитов от них маловато будет.

>Коментарии излишни. Всем понятно, кто по какую сторону баррикад.

Да нет, тут все гораздо проще.

Неужели не видно невооруженным глазом, что наши фанатики бзди - изен, ворон, фрибсд_юзер - вовсе никакие не админы? Изя считает, что RC для энтерпрайза рулит и даже _не отличает локальную уязвимость от удаленной_ (это вообще аут), а ворон искренне верит статистике неткрафта. Да это обычные школьники/студенты-гуманитарии/офис-манагеры, которым Балмер промыл мозги гетзефаксом и стоплинуксом, и теперь они фанатично верят, что пингвин - зло, не зная, что это такое. Естественно, живут и работают они на винде, а фря у них водится только на дома на ворованной вмвари. Для виртуального увеличения члена.

Настоящий админ здесь - ббк123. И, кстати, что-то не припоминаю за ним криков "Сдохни линупс!!1" :-)

>Т.е. основной метод обеспечения безопасности фри - это обеспечение круглосуточной работы по пересборке системой самой себя? А когда клиентов обслуживать?

Не утрируй. Для круглосуточной сборки есть выделенный билд-сервер, а /usr/obj расшарен по NFS в локалку. Билд готов — можно обновлять сервера. Можно вообще систему загружать по сетке, а локальные диски использовать только для данных.