Удаленный отказ в обслуживании в linux

Пинг смерти? Я думал, это только под виндой такие штучки возможны... :((

Для исправления необязательно качать 2.6.15.3

Открываем net/ipv4/icmp.c

правим текстовым редактором.

if (ip_options_echo(&icmp_param.replyopts, skb_in)) 
-goto ende; 
+goto out_unlock;

Далее ядро можно собрать без make clean, т.е. make bzImage,
копируем bzImage в /boot вместо старого, затем перезагружаемся.

(проверено на 2.6.14.4)

Спасибо!

А когда-то кричали, что воот дескать FreeBSD/OpenBSD - падает от icmp пакета ;) Эх Все мы смертны

Грустно конечно, неприятно, но прорвемся.

Главное чтоб не получилось как в шутке:

Поздравляю всех ***ов, эта версия прорыв! Ждем версию 3.1, в которой прорыв будет устранен.

это 2.4.х тоже касается ?

Интересно, а по какой статье можно уволить админа, поставившего 2.6.* на производственный сервер?

а, вижу, вроде нет:

Secunia Advisory: SA18766
Release Date: 2006-02-08
Critical:
Moderately critical
Impact: DoS
Where: From remote
Solution Status: Vendor Patch
OS: Linux Kernel [b]2.6.x[/b] 

госпади, какой же я молодец что до сих пор 2.4.х юзаю %-) на серверах %-)

Преступная халатность ;( И заодно можно поставить под сомнение его професиональные качества со всеми вытекающими...

а можно ли как-нибудь заблокировать фаерволл'ом подобные пакетики?

Блокируй icmp. Сырая, блин, ветка 2.6 сырая. Не зря Патрик на 2.4 сидит.

> Интересно, а по какой статье можно уволить админа, поставившего 2.6.* на производственный сервер?

Баг присутствует только для 2.6.12 - 2.6.15.3

Бугага, это при _посылке_ сообщения возможно. Т.е. если система сама создаст такое сообщение при декодировании приянятого, но принятое будет отброшено, если у него были некорректные опции.

>Интересно, а по какой статье можно уволить админа, поставившего 2.6.* на производственный сервер?

Да, саныч наверное круче разработчиков SLES и RHEL, которые уже давно работают на 2.6. :)

Да мне пох, на чем работают разрботчики SLES и RHEL, зато ко мне пришло заплаканное офисное жывотное и заявила, что их линакс-сервер "похоже нае$нулся".

>Да мне пох, на чем работают разрботчики SLES и RHEL, зато ко мне пришло заплаканное офисное жывотное и заявила, что их линакс-сервер "похоже нае$нулся".

Саныч придумал отличный повод пересадить жывотное со стола на колени?

>Sun-ch # (10.02.2006 12:17:09)

daesh Sun-ch -u geltuu zvezdu , ili dage dve .

naschet novosti eto konechno nexorosho , no gde te anonymousi i ne tol'ko chto zroradstvovali pro Freebsd ?

ksta u menia linux server 2.4 , a levie icmp paketi regutsia snachala na freebsd routere/firewalle a potom eshe i na samom linux-e

p.s. sorry za translit ( tut krugom odni nerusskie :) )

Пингую hping с timestamp и с route, 2.6.14 никак не хочет падать доситься. У кого-нибудь получилось?

> Интересно, а по какой статье можно уволить админа, поставившего 2.6.* на производственный сервер?

По несоответствию :)

если gentoo то там уже давно подправили

>> Интересно, а по какой статье можно уволить админа, поставившего 2.6.* на производственный сервер?

>По несоответствию :)

Интересно, а по какой статье можно уволить анонимусов?

Debian Sarge x86-64 ядро 2.6.8-11. Спим спокойно.

2 Саныч & анонимоус:
>> Интересно, а по какой статье можно уволить админа, поставившего 2.6.* на производственный сервер?
>По несоответствию :)

По той же самой, по которой будешь его увольнять за дырки в Соплярке/FreeFufloBSD/Винде.
В сличае с оффтопиком можешь сразу увольнять главного архитектора ПО.

Потом не забудь уволиться сам, если ты этого админа на работу и принимал.



2 j262
>p.s. sorry za translit ( tut krugom odni nerusskie :))
Для таких особо тяжелых случаев, когда со всех сторон обложили "не русския" есть http://www.translit.ru

Ванильное ядро. 2.6.14 и 2.6.15 пробовал.

А какой командой (т.е. с какими парамтерами diff) вообще принято делать ядерные патчи? А то я хотел патч для 2.6.12.6 сделать и не знаю, как надо кошерно...

хваленые С программисты - goto в ядре!

>хваленые С программисты - goto в ядре!

это очень страшно, да?

ранее верно настроенный фаервол решает эту проблему (по крайней мере можно спокойно исправить исходник, не боясь потерять связь с серваком).
так что вопрос и в опыте админа тоже.

> хваленые С программисты - goto в ядре!

Гы. Сделай

grep -c goto *.c|grep :[1-9]

в каталоге net/ipv4 сорцов ядра :) За этим, я думаю, последует харакири.

> это очень страшно, да?

goto в НЕБОЛЬШИХ программных единицах (вроде функций) ничего страшного собой не представляет. Если код всей программной единицы умещается на одном экране, то goto не ухудшает читаемость и не запутывает. Скорее, запутают как раз попытки заменить goto иными языковыми средствами.

goto здесь не причем. это оператор в языке програмирования. не больше.

> goto здесь не причем. это оператор в языке програмирования. не больше.

Есть укоренившееся мнение, что goto некошерен, т.к. снижает читаемость программ, поэтому его надо избегать.

>Есть укоренившееся мнение, что goto некошерен, т.к. снижает читаемость программ, поэтому его надо избегать.

скажи это программистам на ассемблере -)

иногда наоборот - в некоторых случаях, он улучшает читаемость кода.
ядро линукса тому пример. но это не причина уязвимостей, т.е., применение goto тут не причем.
бля, зачем об этом говорить - давайте лучше о том, как Линус отреагировал на эту уязвимость.

Дык еще отцы-основатели говорили, что за использование goto надо отрубать пальцы на руках, оно теперь понятно откуда в ляпиксе столько дыр, как можно проводить аудит кода, когда это не код а какая то солянка.

> давайте лучше о том, как Линус отреагировал на эту уязвимость.

А он обязан как-то реагировать на каждую уязвимость?

на DoS через icmp должен был бы.

> Интересно, а по какой статье можно уволить админа, поставившего 2.6.* на производственный сервер?

Умышленное вредительство. ;)

здрасте - виноваты разработчики. а не админы, которые были уверены в работе ядра.
а если завтра найдут дыру для remote exploit'a в ветке 2.х - тоже админы выноваты ?

> Дык еще отцы-основатели говорили, что за использование goto надо отрубать пальцы на руках

user@host|/usr/src/sys/kern$ grep -rw goto .| wc -l

1291

user@host|/usr/src/sys/kern$ uname -sr

FreeBSD 4.11-STABLE

Исходников соляриса под рукой нет, а жаль...

Не хотел писать, но не могу удержаться - всем злорадно пи*девшим на BSD посвящается ;)

это вам за Delphi...

но если стоит net.ipv4.icmp_echo_ignore_all=1 - пофиг? =)

Запарил этот дырявый лялих =)))

> FreeBSD 4.11-STABLE

bash-3.00$ grep -rw goto .|wc -l
31354
bash-3.00$ uname -r
2.6.12.6

Че ты так распереживался? Никто никого увольнять не собирается, но следует иметь ввиду, что ставя ветку, находящуюся в активном девелопменте, надо не спускать с нее глаз, а не пиво сосать до потери человеского облика.

МОгу сказать, что мне в моих программах goto нужен очень редко. Обычно он появляется, если надо быстро поправить свою ошибку или добавить функциональность.

>bash-3.00$ grep -rw goto .|wc -l
31354

Мдя, вот интересно, хоть один чел со здоровым моском может провести аудит чужого сода хотя с парой-другой тысяч goto?

> bash-3.00$ grep -rw goto .|wc -l
> 31354
> bash-3.00$ uname -r
> 2.6.12.6

$ uname -r
2.6.14.6
$ grep -rw goto .|wc -l
67782

>МОгу сказать, что мне в моих программах goto нужен очень редко.

Могу сказать, что я вообще не знаю такого оператора =)

> FreeBSD 4.11-STABLE

sh# grep -rw goto .|wc -l 7004 sh# uname -smr OpenBSD 3.6 i386