Очередной букет уязвимостей в ядре Linux

Re: Очередной букет уязвимостей в ядре Linux

А также дженту пропатчило:

GLSA 200407-02

CAN-2004-0228: Due to an integer signedness error in the CPUFreq
/proc handler code in 2.6 series Linux kernels, local users can
escalate their privileges.

CAN-2004-0394: A buffer overflow in the panic() function of 2.4
series Linux kernels exists, but it may not be exploitable under
normal circumstances due to its functionality.

CAN-2004-0495: Multiple vulnerabilities found by the Sparse source
checker in the kernel allow local users to escalate their privileges
or gain access to kernel memory.

CAN-2004-0535: The e1000 NIC driver does not properly initialize
memory structures before using them, allowing users to read kernel
memory.

Local DoS in PaX

Sun-ch (05.07.2004 11:38:53)

Re: Очередной букет уязвимостей в ядре Linux

Да, аргумент в ползу Линакс - "Винда Дырява" отпадает потихоньку

ansi (05.07.2004 11:42:21)

Re: Очередной букет уязвимостей в ядре Linux

Все ведь локальное? Не так уж и страшно.

Shaman007 (05.07.2004 11:42:52)

Re: Re: Очередной букет уязвимостей в ядре Linux

ansi, не позорься.

Shaman007 (05.07.2004 11:44:49)

Re: Очередной букет уязвимостей в ядре Linux

to Demetrio: если в бсд дыра затрагивает только архитектуру Alpha, то это типа не считается ?

chucha (05.07.2004 11:46:25)

Re: Re: Re: Очередной букет уязвимостей в ядре Linux

Чем же? Ты наверняка не раз спорил с мышеводами на нему что личше/хуже.

Что сисьАдмины первое говорят? Прално, Уиндовс распространена болше, поетому в ней дырок находят больше и вирусы под нее желаущих писать тоже болше.

ansi (05.07.2004 11:49:52)

Re: Re: Re: Re: Очередной букет уязвимостей в ядре Linux

Сегодня погода плохая, флеймить совсем не хочется. Дождь и пива нету.

Shaman007 (05.07.2004 11:53:58)

Re: Очередной букет уязвимостей в ядре Linux

Опять наверное фигня какая нибудь - не стоит и внимания обращать.

plm (05.07.2004 11:54:07)

Re: Re: Re: Re: Re: Очередной букет уязвимостей в ядре Linux

Насчет флеймить это ты зря. Я тоже за победу Линакса во всем Мире. На него телнетом ходить можно.

А плохая погода это очень хорошо. Никакая сволочь не скажет: "Скока можно сидеть перед этим ящиком? Пошли гулять!"

ansi (05.07.2004 11:58:31)

Re: Очередной букет уязвимостей в ядре Linux

А 2.6.7 вроде unaffected

init (05.07.2004 12:04:05)

Re: Очередной букет уязвимостей в ядре Linux

It is specific to kernel version 2.6 based systems such as the SUSE Linux 9.1 product, that only local shell access is needed to exploit this vulnerability. An interesting variant of the missing checks is that the ownership of files in the /proc filesystem can be altered, while the changed ownership still does not allow the files to be accessed as a non-root user for to be able to exploit the vulnerability. Systems that are based on a version 2.4 kernel are not vulnerable to the /proc weakness, and exploitation of the weakness requires the use of the kernel NFS server (knfsd).

То есть надо быть рутом, нужно, чтобы ядро было 2.6 и запущен knfsd, при этом дыра локальная.

The only network-related vulnerability fixed with the kernel updates that are subject to this announcement affect the SUSE Linux 9.1 distribution only, as it is based on a 2.6 kernel. Found and reported to bugtraq by Adam Osuchowski and Tomasz Dubinski, the vulnerability allows a remote attacker to send a specially crafted TCP packet to a vulnerable system, causing that system to stall if it makes use of TCP option matching netfilter rules.

А эта дырка с нетфильтром уже анонсировалась здесь неделю назад. И давно всеми закрыта.

Саныч, ты где этот сервер новостей вообще раскопал?

jackill (05.07.2004 12:06:31)

Re: Очередной букет уязвимостей в ядре Linux

ЛОР потихоньку превращается в шворцемерку "где багов больше"...

Размер шворца прямо пропорционален аптайму и неудобности работы с системой и обратно пропорционален количеству багов. Держу пари, в следующем десятке сообщений будет сообщение о багах в БЗДне. А потом опять про Линух. И снова про БЗДню. Пинг-понг... Вот народу неймется, все кому-то что-то доказать надо. То Сан-ча обидят, то Сан-ч обидит... Песочница...

Re: Очередной букет уязвимостей в ядре Linux

Ну вот, вместо того чтобы бороться с "уязвимостями", перешли на "самдурак"

ansi (05.07.2004 12:15:59)

Re: Re: Очередной букет уязвимостей в ядре Linux

А это веселее, да есть перспектива подраться стенка на стенку

plm (05.07.2004 12:21:03)

Re: Очередной букет уязвимостей в ядре Linux

Весьма типично для ЛОР, всем пофигу каждодневные новые дыры в любимой Оси, куда как важнее - знает ли Саныч правильное русское написание нерусских слов.

Re: Re: Очередной букет уязвимостей в ядре Linux

>Весьма типично для ЛОР, всем пофигу каждодневные новые дыры в любимой Оси, куда как важнее - знает ли Саныч правильное русское написание нерусских слов.

Естественно. Незнание подрывает авторитет Саныча.

Shaman007 (05.07.2004 12:22:19)

Re: Re: Re: Очередной букет уязвимостей в ядре Linux

Ок, раз такая пьянка.

>Естественно. Незнание подрывает авторитет Саныча.

.. что обратно пропорционально авторитету Линакса :Р

ansi (05.07.2004 12:26:02)

Re: Очередной букет уязвимостей в ядре Linux

Запарился ядра тянуть-только трафик проедаю. Никогда Ляпих не будет надежным, раз-два раза в неделю ядра патчить достало. Лучше мастдай поставить-гемороя меньше и проблем нет с безопасностью.

Re: Re: Re: Очередной букет уязвимостей в ядре Linux

А просто тороплюсь донести инфу людям.

Врямя публикации SA вечер 02.07.

Sun-ch (05.07.2004 12:26:49)

Re: Re: Очередной букет уязвимостей в ядре Linux

Я медленно сползал со стула умирая со смеху....

Re: Re: Очередной букет уязвимостей в ядре Linux

этот сервер новостей всплывает тут регулярно, я так понимаю это ответ ананимазу

W (05.07.2004 12:30:35)

Re: Re: Re: Re: Очередной букет уязвимостей в ядре Linux

Саныч, Анси, я вас уважаю. Вы не то, что R00T. Где бы взять кефира?

Shaman007 (05.07.2004 12:31:01)

Re: Re: Очередной букет уязвимостей в ядре Linux

ты еще клык дай, что в эту песочницу не полезешь, посмеемся потом :)

W (05.07.2004 12:33:03)

Re: Re: Очередной букет уязвимостей в ядре Linux

> Лучше мастдай поставить-гемороя меньше и проблем нет с безопасностью.

Это пять, это пять... Травкой не поделишься?

Re: Re: Re: Очередной букет уязвимостей в ядре Linux

А смешно разве? ;)

root -- не root

> То есть надо быть рутом

Не забывайте про SELinux.

Dselect (05.07.2004 12:35:24)

Re: Re: Re: Очередной букет уязвимостей в ядре Linux

Я не обкуриваюсь и не наркоманю по ось. Ставлю то что удобно, а не то что типа не дряво...;)

Re: Re: Re: Re: Re: Очередной букет уязвимостей в ядре Linux

> Саныч, Анси, я вас уважаю. Вы не то, что R00T. Где бы взять кефира?

Сравнил *** с палцем. (c) Народная мудрость

А ты откуда будешь с МАсквы или "Информация о пользователе Shaman007" устарела?

Я бы помог с кефиром.

ansi (05.07.2004 12:38:00)

Re: Re: Re: Re: Очередной букет уязвимостей в ядре Linux

>А смешно разве? ;) Ну посуди сам, при обнаружении дыры в Винде, до ближайшей фиксы ждать один или пару месяцев, или до ближайшего червивого бума, когда типа гром уже грянет, в то время, как в линухах несмотря на наличие дыр, лечатся они еще в зачатачной стадии, зачастую даже при малейших намеках. Кстати, чтоб сильно не заморачиватся на и-нет подпишись на рассылку линух-девел'ов там эти патчики летают аки херувимы, еще до появления оф.новостей.

Re: Re: Очередной букет уязвимостей в ядре Linux

-- не прошло цензуру, повтор

Трафик это что, это фигня, я вот запарился драйвера/модули компилировать. Мне для этого GSX шатдаунить нужно, а сним еше четыре Гостевых оси. И это там где все 24х7 реботать должно. А что будет когда этих серверов четыре будет?

ansi (05.07.2004 12:44:07)

Re: Очередной букет уязвимостей в ядре Linux

>ясно чего будет, будешь стремицца к 96х28

>W * (*) (05.07.2004 12:35:41)

Хорошая перспектива.

ansi (05.07.2004 12:49:41)

Re: Re: Re: Re: Re: Re: Очередной букет уязвимостей в ядре Linux

>А ты откуда будешь с МАсквы или "Информация о пользователе Shaman007" устарела?
>Я бы помог с кефиром.

Проблема не в нахождении кефира, а нахождении его быстро. Но меня уже спасли. Я буду жить.

Shaman007 (05.07.2004 12:54:00)

Re: Re: Re: Очередной букет уязвимостей в ядре Linux

> Трафик это что, это фигня, я вот запарился драйвера/модули компилировать. Мне для этого GSX шатдаунить нужно, а сним еше четыре Гостевых оси. И это там где все 24х7 реботать должно. А что будет когда этих серверов четыре будет?

Ну уволят тебя как внедренца линуха там, где нужно 24x7. Ну пойдёшь ты и по доброте душевной от пережитого отдефейсишь kernel.org и напишешь там "k4zly vy vse i l4mery!". А так - ничего не будет, Луна на Землю из-за багов в лялихе не упадёт ( в обозримом будущем :) )

Re: Re: Очередной букет уязвимостей в ядре Linux

А чем отличается локальная уязвимость от нелокальной? Просветите неграмотного...

Re: Re: Re: Re: Очередной букет уязвимостей в ядре Linux

Правильно, ибо Луна бегает по FreeBSD! ;)))

Re: Re: Re: Re: Очередной букет уязвимостей в ядре Linux

> Трафик это что, это фигня, я вот запарился драйвера/модули
> компилировать. Мне для этого GSX шатдаунить нужно, а сним еше четыре
> Гостевых оси. И это там где все 24х7 реботать должно. А что будет
> когда этих серверов четыре будет?

Тебя самого не надо шатдаунить за эксперименты там, где надо 24х7?
А то, понимашь, его стабильное ядро не устраивает -- надо еще
компилить... мысл жизни не в компиляциях, сударь любезный. А лучшее --
враг хорошего.

--
Лично довольствуюсь ядром из стабильной ветки 2.4.

Re: Re: Re: Очередной букет уязвимостей в ядре Linux

> А чем отличается локальная уязвимость от нелокальной? Просветите неграмотного...

Локальная - это когда срут в карман пользователи имеющие шелл на твоем серваке, за что их можно оперативно найти и нагнуть, а удаленная это когда поднасрать может каждый (разумеется с наличием мяса в голове). Локальная - не так страшно, удаленная - весьма стремно.

Re: Re: Re: Очередной букет уязвимостей в ядре Linux

> Лучше мастдай поставить-гемороя меньше и проблем нет с безопасностью.

Как говорится "нет безопасности - нет проблемы (с безопасностью)"

kraw (05.07.2004 13:13:06)

Re: Re: Re: Re: Очередной букет уязвимостей в ядре Linux

>за что их можно оперативно найти и нагнуть

А как ты их найдешь?

Они же хакиры.

Sun-ch (05.07.2004 13:17:10)

Re: Re: Re: Re: Re: Re: Re: Очередной букет уязвимостей в ядре Linux

2Shaman007 поделись кто лучше (чаще, эффективнее) спасает: бухгалтерия, канцклярия или ты вовсе в магазине на рассылку подписался. А то понимаешь тоже на кефире сижу и тоже иногда мертв :-)

Re: Re: Re: Re: Re: Re: Очередной букет уязвимостей в ядре Linux

Лучше SSHoй. Telnet включите - сами себе злобные буратины будите.

linux_newbe (05.07.2004 13:18:49)

Re: Re: Re: Re: Re: Очередной букет уязвимостей в ядре Linux

Все зависит от оперативности поиска...ну и само собой от того насколько хорошо они за собой "убрались". В последне случае все усложняется, но если совесть не замучает можно "нагнуть" потенциального взломщика, так чтоб остальным поплохело...

Re: Re: Re: Re: Re: Очередной букет уязвимостей в ядре Linux

ближайшего червивого бума, когда типа гром уже грянет, в то время, как в линухах несмотря на наличие дыр, лечатся они еще в зачатачной стадии, зачастую даже при малейших намеках.

Ага, особенно прикольно когда пишут что уязвимы версии 2.4.х 2.6х 2.2.х

Re: Re: Re: Re: Re: Re: Re: Очередной букет уязвимостей в ядре Linux

Это шутка была, тенетом у меня и не пахнет толко ssh.

ansi (05.07.2004 13:28:16)

Re: Re: Re: Re: Re: Re: Очередной букет уязвимостей в ядре Linux

Маладай еше :)

Нагнуть, гы гы :)

Дык кто ж тебя потом в систему пустит.

Будешь ходить и ныть: "Ну хватит нах. Ну чё вы как дураки"

Sun-ch (05.07.2004 13:28:29)

Re: Re: Re: Re: Re: Re: Очередной букет уязвимостей в ядре Linux

Первым делом тебя нагнет безопасность, а ты...ты вряд ли уже будешь нагибать кого то, даже чисто символически...

Re: Re: Re: Re: Re: Очередной букет уязвимостей в ядре Linux

>Лично довольствуюсь ядром из стабильной ветки 2.4.

Да и не ставил я никогда 2.6, нафига оно мне, я пионерский галстик еше в 87-м носить перестал.

ansi (05.07.2004 13:32:30)

Re: Re: Re: Re: Re: Re: Re: Очередной букет уязвимостей в ядре Linux

Будешь ходить и ныть: "Ну хватит нах. Ну чё вы как дураки"

У него дискетки чисто есть. :))) Я пришел к тебе с дискеткой рассказать что поимели. :))

Re: Очередной букет уязвимостей в ядре Linux

Я вот что-то не пойму...
Кто-нибудь проверял это на 2.6 ?
Потому что в bk репозитории глухо как в танке с патчами на эту тему, а Марселло уже сразу -rc3 зарелизил....

Re: Re: Re: Re: Re: Re: Re: Re: Очередной букет уязвимостей в ядре Linux

Не поверишь - служба поддержки.

Shaman007 (05.07.2004 13:42:20)