LINUX.ORG.RU

Выпущены 0day-эксплоиты для обработчиков мультимедиа

 , ,


1

3

Крис Эванс (Chris Evans), автор защищённого FTP-сервера vsftpd и эксперт по безопасности, опубликовал 0day-эксплоиты, использующие уязвимости обработчиков мультимедиа в GNU/Linux.

Для компрометации системы не требуется ничего, кроме открытия «плохого» аудиофайла, ошибка парсинга которого вызывает выполнение произвольного кода. При этом можно получить доступ ко всем данным, доступным текущему пользователю.

Работа эксплоита была продемонстрирована на полностью обновлённых системах Fedora 25 и Ubuntu 16.04 (видео на YouTube). В случае с Fedora эксплоит сработал при открытии файла процессом tracker-extract.

>>> Подробности

★★★★★

Проверено: Aceler ()

Линукс становится всё готовее и готовее для десктопа.

h578b1bde ★☆ ()

Жесть, как страшно жить.

paran0id ★★★★★ ()
Ответ на: комментарий от Desmond_Hume

Пробовал воспроизвести на Fedora 25. Не получилось. Наверное, ЧЯДНТ.

Сделай dnf update

Siado ★★★★★ ()
Ответ на: комментарий от waker

и не соглашаться ставить пакеты gstreamer*ugly*

И как тогда слушать mp3?

GStreamer Ugly Plug-ins is a set of plug-ins that have good quality and correct functionality, but distributing them might pose problems. The license on either the plug-ins or the supporting libraries might not be how we'd like. The code might be widely known to present patent problems.

И да, пользователь intelfx прав потому, что

gst-plugins-bad
a set of plug-ins that aren't up to par compared to the rest. They might be close to being good quality, but they're missing something - be it a good code review, some documentation, a set of tests, a real live maintainer, or some actual wide use. If the blanks are filled in they might be upgraded to become part of either gst-plugins-good or gst-plugins-ugly, depending on the other factors. If the plug-ins break, you can't complain - instead, you can fix the problem and send us a patch, or bribe someone into fixing them for you. New contributors can start here for things to work on

Odalist ★★★★★ ()
Последнее исправление: Odalist (всего исправлений: 2)
Ответ на: комментарий от te111011010

С тем же успехом я могу без DE проиграть файл плеером, использующим gstreamer. И с тем же успехом de для превьюшек может пользоваться другим мультимедиа-движком.

Да. Но, вот, юзать плейеры с gstreamer'ом вообще не обязательно. А в какие-то DE вызов gstreamer'а уже вшит хочет того юзер или нет. Может с какими-то опциями оно и отключается, но это надо смотреть и пересобирать. А плейеры на основе gstreamer'а можно просто не юзать.

saahriktu ★★★★★ ()
Ответ на: комментарий от saahriktu

Откуда я заранее мог знать, что именно в gstreamer есть такая уязвимость?

te111011010 ()

а, учитывая, что многие пользователи невнимательно относятся к обновлению систем, то злоумышленник может в дополнению к этому получить права суперпользователя и внедрить

Демонстрацию работы эксплойтов на полностью обновлённых системах

и чо?

gray ★★★★★ ()
Ответ на: комментарий от te111011010

Суть не в этом, а в том, что многие и не юзают проигрыватели на основе gstreamer'а. А тем DE, которые к нему обращаются, всё равно что думает по поводу юзер. gstreamer всё равно будет ими вызван.

saahriktu ★★★★★ ()
Ответ на: комментарий от shahid

Комментарий про раст.

Когда программы были маленькие, компьютеры большие, а программистов мало, язык С был вполне терпим.

red75prim ()

Странно, что никто не упомянул слово «комбайн», коим гстример является.

Кстати, SELinux, AppArmor не должны предотвращать подобное выполнение произвольного кода из-за дырявых либ, или зачем они?

rumly111 ()

конечно же, в этом ни капли нет вины языка C, и набыдлокодить можно и на Go/Rust... реквестую ссылки на подобные проблемы в Inferno!

anonymous ()

Взламывайте меня, добрые люди!1

...хотел было удалить этот gst-plugins-bad

Но оказалось он жёсткими зависимостями привёзан к Totem и ещё каким то пакетам!

Пришлось оставить (непонятно ради чего.. Врядли этот bad мне будет воспроизводить хоть что-то полезное)

Хэштэг #archlinux

user_id_68054 ★★★★★ ()
Последнее исправление: user_id_68054 (всего исправлений: 2)
Ответ на: комментарий от rumly111

Кстати, SELinux, AppArmor не должны предотвращать подобное выполнение произвольного кода из-за дырявых либ, или зачем они?

О практической малополезности SELinux и AppArmor (сам подход к защите — как внешняя надстройка) — уже не раз высказывались..

В данном случае думаю куда более полезно было бы реализовать зашиту через seccomp (или что-то подобное)..

То есть НЕ когда мы «навешиваем сверху» безопасность, а когда код может породить процесс, который сам себя лишит излишних возможностей

user_id_68054 ★★★★★ ()
Ответ на: комментарий от rumly111

SELinux, AppArmor не должны предотвращать подобное выполнение произвольного кода из-за дырявых либ, или зачем они?

Ну так их же настраивать надо. А кому это надо для чего-то десктопного?

fornlr ★★★★★ ()
Ответ на: комментарий от saahriktu

Обычно превьюшки отключить можно.

anonymous ()

хмм... чота я никогда не слышала про vsftpd. а в чём его принципиальное отличие от других ftp серверов?

Iron_Bug ★★★★ ()
Ответ на: комментарий от Iron_Bug

SSL поддерживает, милая. Остальные, как тельнет, прямымтекстом.

anonymous ()
Ответ на: комментарий от anonymous

с чего вдруг-то? навалом ftp с SSL. какбэ без него он уже давно немодный. лет этак цать.

Iron_Bug ★★★★ ()
Ответ на: комментарий от Iron_Bug

Все это BSD, которого хоронят. Да, линух, мать его, Которого так «любят». Пофиг на эту ерунду. Выходи за меня замуж, крошка. Будем вместе драйвера писать, да прошивки.

nihilanth ()
Ответ на: комментарий от nihilanth

эээ...пасиба, конечно. но нет. да и ты убежишь быстрее африканского спринтера, если меня живьём увидишь. так что давай не будем портить друг другу жизнь. жизнь прекрасна и удивительна. в мире столько всего интересного! включая линюкс и BSD. на сто лет хватит патчить и дрова писать. а хорошее дело браком не назовут - это факт. так что я разумно держусь подальше от подобных афёр.

Iron_Bug ★★★★ ()
Ответ на: комментарий от Iron_Bug

хорошее дело браком не назовут

Согласен. Ради тебя я даже зарегистрировался. Не убегу. Написал бы в ЛС, или как ее называют. Но на лоре нет этого :(

nihilanth ()
Ответ на: комментарий от Venediktov

Имеешь в виду сплоит сорвал тебе $ТО_ШТО_НУЖНО %%ююю%% Логи, плиз, парень.

nihilanth ()
Ответ на: комментарий от nihilanth

Немного не так выразился, то есть у меня не сломался ниодин браузер

Venediktov ()
Ответ на: комментарий от aplay

Не получится. От гномоговна можно убежать только в консоль.

anonymous ()

ШЕРЕТО!

То есть теперь можно бэкдорить убунту через ютюбные видео? (пока не пофиксили)

SakuraKun ★★ ()
Ответ на: ШЕРЕТО! от SakuraKun

Re: ШЕРЕТО!

Уже пофиксили, расслабься.

anonymous ()
Ответ на: комментарий от nihilanth

У нее есть ЛОР и сборник цитат Саныча. Что еще нужно?

devl547 ★★★★★ ()

Ну скачал. Ничего не произошло. Пофиксили. Fedora 25

BeerSeller ★★★★ ()

А оно вообще работало в debian? Я понимаю что QuodLibet не Totem и не Rhithmbox, но я больше от тыканий VTE страдал, целых пять минут, пока не набрал «dbus-update-activation-environment --all».

los_nikos ★★★★★ ()
Ответ на: комментарий от saahriktu

Сидишь себе такой в пещере, водку пьёшь, лаптями закусываешь. Ни тебе вирусов, ни уязвимостей, память зазря ничего не жрёт. Лепота.

meliafaro ★★★★ ()
Ответ на: комментарий от anonymous

Давай, ковбой, подкрепи слова делом. Надеюсь, пользуясь lynx, ты здесь реже будешь отмечаться.

meliafaro ★★★★ ()
Ответ на: комментарий от nihilanth

(это жосский оффтоп)

безусловно. только там маленько не там запятая стоит: я довольна тем, что я одинока.

мне никто не выносит мозг дома или на работе. полная гармония и спокойствие. это просто потрясающая роскошь, которой многие никогда не достигнут. я могу работать дома, потому что мне никто не мешает.

я убеждённый холостяк. на 200%. нет ничего лучше, чем жить в гармонии с самим собой. так, чтобы не убивать в себе личность ради непонятных социальных ритуалов. меня не интересует социальный статус и всё такое. это для меня абсолютно фиолетово. я живу и радуюсь жизни. я постоянно развиваюсь, что-то изучаю, осваиваю новые для меня навыки. мне некогда барахтаться в трясине семейной жизни. есть куда более интересные цели, на которые можно потратить своё время.

Iron_Bug ★★★★ ()
Ответ на: комментарий от Iron_Bug

опасносте! адекватная баба! за тобой уже выехали

anonymous ()
Ответ на: ШЕРЕТО! от SakuraKun

Re: ШЕРЕТО!

Так там вроде через эмулятор музяки от приставки, причем тут видео?

anonymous ()
Ответ на: комментарий от EXL

Разработчики Firefox с 46 версии отказались от Gstreamer и перешли на поддержку FFmpeg. Так что дёргаться с Firefox особо не стоит. :-)

anonymous ()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.