LINUX.ORG.RU
ФорумTalks

В XMir была обнаружена уязвимость при использовании виртуального терминала

 , , , ,


0

0

Любопытная уязвимость была обнаружена в разрабатываемом Canonical компоненте Mir, представляющем собой слой совместимости с X11 - XMir. Уязвимость отличается лёгкостью воспроизведения - для проверки достаточно всего лишь переключиться на один из виртуальных терминалов (Ctrl+Alt+F(1-6)).

Проблема заключается в том, что при переключении на виртуальный терминал, у XMir остаётся доступ к вводимым данным. Для проверки предлагается запустить текстовый редактор, передав ему фокус и зайти в систему с одного из виртуальных терминалов. При переключении обратно можно будет обнаружить свой логин и пароль в поле ввода.

Интересно, что Canonical уже месяц известно о данной уязвимости, но это не помешало включению XMir в основной репозиторий.

Новость на Phoronix

Перемещено tazhate из security

★★★★★

Последнее исправление: Falcon-peregrinus (всего исправлений: 1)

Интересно, что Canonical уже месяц известно о данной уязвимости, но это не помешало включению XMir в основной репозиторий.

Типичный стиль убунтовцев/Марка.

Extraterrestrial ★★★★★
()
Ответ на: комментарий от Mixail

Правильно не ставят. Но федорщиков же покормить нужно.

bhfq ★★★★★
()

Эмм. Проблема не в xmir, данные же не из него утекают. Проблема в consolekit в убунте (и в том, что убунта не переходит на systemd, где consolekit успешно закопан). И каноникалу нужно собственными силами патчить давно заброшенный consolekit (либо таки выкинуть upstart).

x3al ★★★★★
()
Ответ на: комментарий от x3al

Ну и не удивлюсь, если к релизу выкинут VT и оставят вместо них какие-нибудь легковесные терминалы поверх Mir, назвав это новым стандартом. Что будет гораздо лучше текущего безумия с VT в десктопном линуксе.

x3al ★★★★★
()
Ответ на: комментарий от Mixail

но по умолчанию же ещё не ставят

Вот именно. До октября пофиксят, а пока пусть федоровцы радуются, жуют планшетный гноме шелл и радуются.

mylorlogin
()
Ответ на: комментарий от Extraterrestrial

Они всегда пытаются выпустить релизы своих проектов как можно быстрее.

Нет. Они просто выпускают релиз в уставленный срок.

mylorlogin
()
Ответ на: комментарий от mylorlogin

в уставленный срок.

Который сами и назначают, конечно же. В результате, мы имеем забагованную поделку. Эта новость тому подтверждение.

Extraterrestrial ★★★★★
()
Ответ на: комментарий от Extraterrestrial

мы имеем

Ты ещё ничего не имеешь, а уже поднял крик.

fenris ★★★★★
()
Ответ на: комментарий от Extraterrestrial

мы имеем забагованную поделку

ололо пыщ пук пыщ

У меня все работает идеально, а вот федора глючит и лагает не смотря на переносы сроков.

Почему? Они ждут когда в апстриме починят, а чинят там ломая что-то другое лишь к следующему релизу Fedora.

mylorlogin
()

http://mjg59.dreamwidth.org/27327.html

Опа! Как чувствовал, что без срущих на Canonical (намеренно забывая, что XMir сейчас есть только в тестовой версии Ubuntu)Редхатовцев (этот бывший, но старые привычки дают о себе знать)не обошлось;))))

mylorlogin
()
Ответ на: комментарий от mylorlogin

Успокойся, страдалец. Мы все верим, что Марк всё починит в запланированые сроки. Никто твою Canonical не ругал.

Pakostnik ★★★
()
Ответ на: комментарий от x3al

Проблема в consolekit в убунте

bin$ dpkg --get-selections | grep consolekit
bin$ dpkg --get-selections | grep xserver-xorg-xmir
xserver-xorg-xmir				install
bin$ lsb_release -r
Release:	13.10

?

wota ★★
()
Ответ на: комментарий от Akamanah

Ничего особенного. Matthew Garrett: «If you ever use text VTs, don't run XMir right now»

Pakostnik ★★★
()
Ответ на: комментарий от wota

Эмм.. Они упоролись? Чем они следят за seat'ами и сессиями юзеров? consolekit всегда был в базе бубунты, другие дистрибутивы выкинули его не потому, что он не нужен, а из-за лучшей реализации всех его возможностей в systemd.

x3al ★★★★★
()
Ответ на: комментарий от x3al

Эмм.. Они упоролись? Чем они следят за seat'ами и сессиями юзеров?

bin$ ps -A | grep logind
  544 ?        00:00:00 systemd-logind

я не в теме - но вполне возможно, что этим

wota ★★
()
Ответ на: комментарий от Extraterrestrial

Они это выпустили? Если нет, то ты нагло врешь.

Reset ★★★★★
()
Ответ на: комментарий от wota

systemd-logind

Это лол, конечно. Хватит уже извращаться, закопайте стюардессу. upstart, я имею ввиду.

geekless ★★
()
Ответ на: комментарий от x3al

Что будет гораздо лучше текущего безумия с VT в десктопном линуксе

Ждем kmscon в дистрибутивах.

Ivan_qrt ★★★★★
()
Ответ на: комментарий от x3al

Они упоролись? Чем они следят за seat'ами и сессиями юзеров?

Это ты упоролся со своим системД

Добавлена поддержка управления сеансами пользователей (режим Session Init), появившаяся в Upstart 1.7 и позволяющая использовать Upstart для инициализации графических сеансов.

mylorlogin
()
Ответ на: комментарий от mylorlogin

Добавлена поддержка управления сеансами пользователей (режим Session Init), появившаяся в Upstart 1.7 и позволяющая использовать Upstart для инициализации графических сеансов.

systemd-logind

Вы уж там определитесь, через что ваша убунта работает.

geekless ★★
()
Ответ на: комментарий от mylorlogin

Это немного не то. Session init — это возможность использовать /bin/init для управления пользовательскими процессами (например, firefox'ом) как стандартными сервисами. А следить за тем, где какой юзер и кому какая клавиатура и какая флешка принадлежит — всё же другая задача.

x3al ★★★★★
()
Ответ на: комментарий от x3al

Для проверки предлагается запустить текстовый редактор, передав ему фокус и зайти в систему с одного из виртуальных терминалов. При переключении обратно можно будет обнаружить свой логин и пароль в поле ввода.

Тьфу!

Проблема в consolekit в убунте

Именно в убунте? Или со всеми дистрами которые еще не выпилили consolekit?

RedEyedMan
()
Ответ на: комментарий от RedEyedMan

В убунте, поскольку обычные иксы сделают всё вручную.

x3al ★★★★★
()

Убунта как всегда вперде.

Quasar ★★★★★
()
Ответ на: комментарий от mylorlogin

Да. И при этом им пофиг на качество. Что выпустят в определённый день, то релизом и назовут.

Quasar ★★★★★
()
Ответ на: комментарий от Quasar

В чём безумие vt?

В том, что софт из 70х годов, не слышавший об i18n, многомониторности, xkb, fontconfig и прочем тащат в 2013, да ещё и в ядре. Нет, я понимаю, что vt100 — груда костылей, но хотя бы реализацию его можно же сделать нормально?

x3al ★★★★★
()
Ответ на: комментарий от x3al

O_O

Зачем программам, которые читают stdin и пишут в stdout, знать что-то про многомониторность, xkb и fontconfig?

Пятница еще не наступила, притормози.

geekless ★★
()
Ответ на: комментарий от geekless

Программам — незачем, если они не пытаются рисовать псевдографику. А вот терминалу — вполне. Я о том, что дефолтная ядерная реализация VT не нужна и должна быть уничтожена.

x3al ★★★★★
()
Ответ на: комментарий от x3al

дефолтная ядерная реализация VT не нужна и должна быть уничтожена.

С этим согласен.

Но как ты тогда будешь взаимодействовать с системой без дисплейного сервера, если возложить эту задачу на xmir. Вменяемая реализация терминала может идти, например, отдельным бинарником, рисующим во фреймбуфер (без зависимостей от дисплейного сервера), и запускаться из iniramfs.

А весь xmir в iniramfs же не засунешь. (Или маразм убунты дойдёт и до этого?)

geekless ★★
()
Ответ на: комментарий от x3al

и в том, что убунта не переходит на systemd

однако, она перелазит с consolekit на logind, так что проблема не в этом. или как раз в этом? уже в следующем релизе не будет consolekit

derlafff ★★★★★
()
Последнее исправление: derlafff (всего исправлений: 1)
Ответ на: комментарий от geekless

Вменяемая реализация терминала может идти, например, отдельным бинарником, рисующим во фреймбуфер

Кстати, думаю вполне реально портировать какой-нибудь vte таким образом, чтобы не изобретать велосипеды. vte построен на стеке gtk, а заставить gtk работать поверх чистого фреймбуфера — вполне посильная задача.

geekless ★★
()
Ответ на: комментарий от geekless

xmir — даже в страшных снах нет, mir (ну или weston) — фиг их знает. Впрочем, убунта идёт своим путём.

x3al ★★★★★
()
Ответ на: комментарий от geekless

Выше по треду вроде как показали реализацию этого. Ну и есть более ранние велосипеды вроде того же fbterm (им или аналогами были вынуждены пользоваться CJK-язычные юзеры, ибо в 512 символов их язык не вместить, а заодно и BSD-шники с UTF-консолью, как минимум раньше).

x3al ★★★★★
()
Ответ на: комментарий от geekless

vte поверх чистого фреймбуфера

...блин, мне эта идея даже начинает нравиться. Сколько кирпичей на форумах будет отложено после этого, это ж можно оптовую торговлю стройматериалами открыть :D

geekless ★★
()
Ответ на: комментарий от x3al

Кстати, делаем ставки: через сколько лет большинство десктопных видеокарт выкинет VBE на помойку с победоносным шествием UEFI?

x3al ★★★★★
()
Ответ на: комментарий от x3al

Выше по треду вроде как показали реализацию этого.

О, а где? Пролистал, не увидел. Шаровылупин закончился, так что извиняйте.

Ну и есть более ранние велосипеды вроде того же fbterm

Про fbterm знаю, что был такой раньше, но не знаю, жив ли он сейчас. Про BSDшную реализацию не слышал, я думал, они там только однобайтовые кодировки гоняют.

Надо погуглить эту предметную область...

geekless ★★
()
Последнее исправление: geekless (всего исправлений: 1)
Ответ на: комментарий от geekless

https://github.com/dvdhrm/kmscon не vte, но всё же.

Русские BSDшники, как минимум раньше, не могли использовать русский в UTF-консоли и были вынуждены ставить тот же fbterm (jfbterm как альтернативу) и... uim-fep (разрабатываемый японцами) для ввода кириллицы.

x3al ★★★★★
()
Ответ на: комментарий от Ivan_qrt

О, щас заценю этот.

В fbterm адски глючит рендерер шрифтов. Чего-то он там не дружит с современными версиями фритайпа.

Хватит велосипедить!

Это кстати отличный способ спросить про наличие чего-нибудь. Если прямо спросить, то всем лень отвечать. А вот если предложить идею изобрести велосипед...

geekless ★★
()
Ответ на: комментарий от geekless

А у этого шрифты не глючат, но глючит ввод. А я уже губу раскатал... :(

Мне что, еще и это приложение хакать, нет в жизни щастя!!11

geekless ★★
()
Последнее исправление: geekless (всего исправлений: 1)
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.