LINUX.ORG.RU

Леннарт Поттеринг удостоен премии Pwnie Awards 2017

 , , , ,


7

3

На церемонии, ежегодно проходящей в рамках конференции Black Hat USA в Лас–Вегасе, объявлены победители премии Pwnie Awards 2017, присуждаемой за выдающиеся достижения либо провалы в области компьютерной безопасности.

В категории «Самая дурацкая реакция разработчика» (Lamest Vendor Response) премии удостоен Леннарт Поттеринг за реакцию на ошибки в systemd и отказ документировать уязвимости, получившие индекс CVE: 5998 (новость), 6225, 6214, 5144, 6237 (обсуждение в Talks).

>>> Подробности



Проверено: jollheef ()
Ответ на: комментарий от alpha

как минимум нужен use case

Ну какой тут use case ? remote syslog - это уже use case сам по себе: логи нужны на другом сервере (как правило, общем для группы оборудования). Всё. remote syslog ни для чего другого не предназначен. Это же как 2x2=4.

AS ★★★★★ ()
Ответ на: комментарий от alpha

1) это не простой вопрос

От жеж докатились. У всех систем инициализации все просто, понятно и логично, и только у сустемд - все очень сложно, необычно и непросто. Я бы еще понял, если бы этот глюкодром впиндюрили какие-нибудь маргиналы в свой маргинальный дистр, но когда её чуть ли не силком пропихивают всем основным дистрибутивам, а в случае баги верещат «это не бага, в нашем маня-мирке все ок!» - попахивает таким себе трусливым фашизмом.

araks ()
Ответ на: комментарий от mandala

теперь пользователь сам может писать его части на высокоуровневом скриптовом языке!» Когда ждать?

а когда-то обещали? я просто не в теме: обновился, написал пару юнитов, выяснил что одним Requires не обойтись, а нужно еще After писать, покачал головой и продолжил использовать.

borisych ★★★★★ ()
Ответ на: комментарий от alpha

и в каком месте это так же?

В таком, что просто нужен remote syslog. Без обсуждений. И ответ: сделаю/не сделаю/потом подумаю. Про что тут читать, что тут обсуждать ? Или Леннарт правда не знает предназначение и возможности syslog и надо разжевать, как новичку ? Тогда какого хрена он в init полез вообще и в обработку логов в частности ?

AS ★★★★★ ()
Ответ на: комментарий от mandala

задуманное разработчиком что-то ломает — это не нормально

Сравни

«задуманное разработчиком что-то ломает»

«разработчиком задумано чтобы оно ломало»

В первом случае - это баг. Потому что это означает про разработчик не продумал до конца и проявились неожиданные последствия.

Во-втором - это не баг, это ожидаемое поведение.

Можно спорить с разработчиком о его целесообразности. И можно попробовать переубедить разработчика. И тогда поведение будет изменено. Но это развитие, enhancement в соответствии с пожеланиями пользователей, а не баг.

alpha ★★★★★ ()
Ответ на: комментарий от AS

Или Леннарт правда не знает предназначение и возможности syslog и надо разжевать, как новичку ? Тогда какого хрена он в init полез вообще и в обработку логов в частности ?

Видишь ли, это не твое дело. Твое дело написать RFE так чтобы он был читаем. И не только лично Леннартом.

alpha ★★★★★ ()
Ответ на: комментарий от alpha

«разработчиком задумано чтобы оно ломало»

Если разрабом задумано ломание - какой он, к черту, разработчик? Эдак можно фекалии набросать на холст и говорить о богатом духовном мире. Что, собственно, и происходит.

araks ()
Ответ на: комментарий от Anakros

Любители systemd - это как россияне. Все только и делают, что вопят в их сторону, эти глупые, никчёмные, злобные людишки. Как они смеют вопить в сторону Добра?!!

Ну а фантазии понять, что вполне себе не вопли, не хватает.

dzidzitop ★★ ()
Последнее исправление: dzidzitop (всего исправлений: 1)
Ответ на: комментарий от AS

Правда, для нормальных людей, конечно.

так и будем переливать из пустого в порожнее?

Если не можешь «переступить через себя» и не приносить в баги своего личного отношения - не пиши в проект. Ну или пиши, а потом страдай тут на ЛОРе.

Я не вижу проблемы туда же в ответ на ссылк написать ответ с чуть более подробным описанием ситуации чтобы оно на первый взгляд не выглядело как запрос на техподдержку. Я также не вижу проблемы поднять эту тему в IRC и в рассылке предварительно.

Если это выше ваших моральных и физических сил, ну что ж поделать.

alpha ★★★★★ ()
Ответ на: комментарий от borisych

здесь 80% отписавшихся в треде ненавидят systemd просто за то, что он не написан на морально устаревшем shell.

Этот перл надо в блокнотик. Устаревший шелл, лол. Лучше конечно писать скрипты на новомодной сишке.

bread ()
Ответ на: комментарий от borisych

Вообще-то не за это, а за за беспорядочное поглащение компонентов системы и доволько агрессивное как для СПО навязывание пользователю. Ну и за подход Леннарта к разработке: все-таки хорошо было бы сначала продумать, какие компоненты должно входить в состав systemd, как они должны между собой взаимодейсвовать, ну и вообще замечательно если бы была предусмотрена возможность отдельной установки и замены этих компонентов на сторонние, а не решать такие вопросы на ходу. Тем более он не jff это делает, а за деньги. Вот инит, входящий в состав этого монстра, концептуально хорош.

templarrr ★★★★★ ()
Ответ на: комментарий от alpha

Пилится это красношапка-онли, не отрицай очевидное, а то уже не красиво получается. А то что это можно применять и в любом другом дистре , это не заслуга разрабов, это линукс дистры так устроены (пока так).

mandala ★★★ ()
Ответ на: комментарий от araks

Подумай теперь, не знаешь ли ты примеров таких случаев когда разработчиками было задумано «ломание», точнее например undefined behavior, которое привело в поломке кое-чего далее по цепочке. И возникшего в связи с этим спора на тему баг или не баг и если баг то где.

Про rm -rf я уже тут писала. Вот уж где ломание так ломание, и самое что ни на есть ожидаемое.

alpha ★★★★★ ()
Ответ на: комментарий от alpha

Я не вижу проблемы туда же в ответ на ссылк написать ответ с чуть более подробным
описанием ситуации чтобы оно на первый взгляд не выглядело как запрос на техподдержку.

Евгению надо было срочно, он поставил rsyslog в качестве прокси. Ну а меня это касалось только в плане обсуждения не собрать ли syslog помельче, на что я резонно заметил, а не к Леннарту ли лучше. Ну вот, не лучше. Проще забить. Ну а меня лично это вообще не касается. Просто ещё один минус в карму Поттеренгу, как говорится. Хотя там уже ниже некуда из-за комбайновости его поделия.

AS ★★★★★ ()
Последнее исправление: AS (всего исправлений: 1)
Ответ на: комментарий от mandala

А то что это можно применять и в любом другом дистре , это не заслуга разрабов

а ты знатный эксперт по заслугам наверное

может даже знаешь хотя бы три имени из тех кто кроме леннарта пилит systemd?

alpha ★★★★★ ()
Ответ на: комментарий от alpha

Тут вот выше писали - что по телефону попросив админа. Твой вариант?

Это в редхате нельзя создать юзера на цифру. В любом другом дистре где можно — это уязвимость. И ты еще говоришь, что сустемд не редхат онли? Не мешно, не позорься.

mandala ★★★ ()
Ответ на: комментарий от AS

Хотя там уже ниже некуда из-за комбайновости его поделия.

Собственно о чем и речь. Так что плюсы-минусы в карму в твоем исполнении - это смешно.

Баг тут ни при чем, и сам по себе он не является никаким вопиющим примером чего бы то ни было

Плохой запрос, шаблонный ответ, дальше отсутствие реакции - стандартная ситуация.

alpha ★★★★★ ()
Ответ на: комментарий от alpha

Расскажи же нам как юзер с именем 0day становится рутом. Тут вот выше писали - что по телефону попросив админа. Твой вариант?

в чем проблема придти к админу, а если он откажет — то к начальнику и сказать «я хочу быть 0dayhacker, это очень крутое и уникальное имя, а админ из вредности не дает мне его?»

а затем попросить сервис — это уже рутина

это локальный вариант эксплуатации

www_linux_org_ru ★★★★★ ()
Ответ на: комментарий от templarrr

за беспорядочное поглащение компонентов системы и доволько агрессивное как для СПО навязывание пользователю

мне вот вообще плевать, что оно там udev поглотило или что-то еще. Раньше устройства приходилось руками создавать, потом придумали devfs, потом оказалось что devfs не так уж и хороша и заменили ее на udev - здесь со стороны разработчиков ядра тоже как-то особой продуманности не наблюдается. На journald у всех батхерт чтоли?

borisych ★★★★★ ()
Ответ на: комментарий от www_linux_org_ru

не, ты продолжай, у тебя ещё много вариантов эксплуатации уязвимостей:

поговорить с админом по телефону,

поговорить с ним лично,

прислать ему открытку,

положить письмо в подарок под елку..

alpha ★★★★★ ()
Ответ на: комментарий от mandala

Пилится это красношапка-онли, не отрицай очевидное, а то уже не красиво получается

было бы удивительно, если бы за деньги RH оно пилилось бы для кого-то другого.

borisych ★★★★★ ()
Ответ на: комментарий от mandala

может вам чтения багрепортов и обсуждений вслух устраивать? радиовещанием? никак ведь не можете сами осилить, вот прямо каждое предложение уже перепостила почти по три раза

в el7 (это CentOS7 если что) - можно

в debian - одной из команд нельзя

в fedora и arch нельзя

Так как уязвимость-то выглядит?

alpha ★★★★★ ()
Ответ на: комментарий от mandala

Это в редхате нельзя создать юзера на цифру. В любом другом дистре где можно — это уязвимость.

Выглядит оно довольно близко к: дядя амин, добавьте, пожалуйста, мой скрипт в рутовый крон.

borisych ★★★★★ ()
Ответ на: комментарий от alpha

Не поверишь - сам разработчик. Разговаривали, переписывались, закрывали с won't fix. Только такой трэш и в голову не придёт закрывать как won't fix. А от «разработчиков», которые не понимают, что это нужно фиксить, лучше держаться подальше. Лёнька - типичный быдлокодер.

dzidzitop ★★ ()
Ответ на: комментарий от dzidzitop

то есть мысли что для кого-то один из твоих won't fix тоже кошмарным кажется не возникает? никогда спора по этому поводу не было?

alpha ★★★★★ ()
Последнее исправление: alpha (всего исправлений: 1)
Ответ на: комментарий от alpha

не, ты продолжай, у тебя ещё много вариантов эксплуатации уязвимостей: ... положить письмо в подарок под елку...

опять задам наводящий вопрос:

допустим, в браузере есть баг с возможностью выполнения произвольного кода от юзера; чтобы его заэксплойтить, нужно заманить юзера на скрафченную атакующим страницу (точно так же, как админа надо заманить на создание 0dayhacker)

ты тут тоже будешь разводить разговоры про способы заманивания юзера или признаешь этот баг уязвимостью?

www_linux_org_ru ★★★★★ ()
Ответ на: комментарий от alpha

Баг тут ни при чем, и сам по себе он не является никаким вопиющим примером чего бы то ни было

Просто очередной пример его отношения как к людям, так и к своей поделке.

Плохой запрос

Если бы он был плохим. Но он - элементарный.

Что касается проблемы комбайна. Все эти баги в одном продукте, исправляются они пересборкой всего, и, как следствие, обновлением даже того, что не менялось по факту. Просто так пакетный менеджер работает, когда пакет собирается. Опять обновление вызовет необходимость перезапуска init ? Если сборка самого systemd, всё же, прошла не так ? Ребутом проверим ? Вот тебе и главный негатив, и ничего тут не сделать в силу архитектурных особенностей. Увы.

AS ★★★★★ ()
Ответ на: комментарий от www_linux_org_ru

я однажды «заманила» админа одного банка сервер потереть

абсолютно реальный случай, я ему в чате посоветовала выполнить

rm -rf ./*

а он перепечатывал себе в консоль руками, а точку почему-то решил не писать как несущественную

мата потом в чате было...

уязвимости везде

alpha ★★★★★ ()
Ответ на: комментарий от AS

Если сборка самого systemd, всё же, прошла не так ? Ребутом проверим ? Вот тебе и главный негатив, и ничего тут не сделать в силу архитектурных особенностей. Увы.

если криво встали libc, binutils, openssl и т.п. то урон будет ничуть не меньше.

borisych ★★★★★ ()
Ответ на: комментарий от alpha

Мой редкий won't fix подкреплён аргументацией и взаимным согласием и они не относились к уязвимостям. Такие баги, если по пьяни появятся, фикситься должны безальтернативно, с выдачей премии в виде внушения автору кода. А с такой аргументацией, как у лауреата, я бы посоветовал его начальнику найти работника поумнее.

dzidzitop ★★ ()
Ответ на: комментарий от alpha

Секундочку, rm сам по себе ничего не ломает, и -rf не является undefined behavior. И с чего вдруг мы стали называть целенаправленное ломание undefined behavior, когда это чистой воды defined. Ну захотелось человеку сломать что-то. Чо такова-то, компонент-то не критический, можно и пошалить. Хотя, конечно же, никакой шалости тут нет, а есть целенаправленная политика подминания всех дистров в стиле «жрите мое дерьмо». Все это мы уже проходили с майкрософтом, который тоже так «шалил» с реализациями всего, от CHAP до формата doc, не следуя даже собственным описаниям, из-за чего тот же doc по факту кривой, и только MS Word правильно понимает эту кривизну. сустемд идет той же тропой - в живых останутся только краснопузые дистры, в то время как остальные плавно вымрут под гнетом задуманных глюков и багов. Замечательная перспектива.

araks ()
Ответ на: комментарий от borisych

Странно, что ты не понял намек. Уже придумали, еще до моего рождения. А Лёня изобрел нечто ужасное в самом плохом стиле корпораций. То что код свободный не дает индульгенцию.

mandala ★★★ ()
Ответ на: комментарий от AS

просто очередной пример его отношения как к людям, так и к своей поделке.

ну я уже объяснила, в этом примере видно только то что лидер проекта занимается bug triage

Если бы он был плохим. Но он - элементарный.

элементарных вопросов не бывает, бывают непродуманные

Что касается проблемы комбайна...

Ты говоришь какие-то банальности. Проверять работу systemd-пакета надо задолго до того как он попадет на твой главный сервер. Бинарные пакеты - они как раз для этого если что. Если ты пересборку системного пакета наживую проверяешь, то проблема явно не в systemd.

alpha ★★★★★ ()
Ответ на: комментарий от borisych

мне вот вообще плевать

Да действительно, чо такова. Ну подумаешь undefined behavior, подумаешь, целенаправленная политика «шоп у остальных работало криво», все нормально, ставим себе и дальше клизмы ссывглазания, улыбаемся и машем.

araks ()
Ответ на: комментарий от alpha

Ну если «у нас тут SELinux и всё ок», растекания по дереву «это особенность unix-like» и т.п. — это так задумано, то ок, о чем тут говорить... Вот только пользоваться этим нельзя, всего то.

mandala ★★★ ()
Ответ на: комментарий от true_admin

А у меня на собеседовании на третьем техническом общеобразовательном вопросе кандидат досрочно сдался, с плачем, что это какое-то неправильное собеседование.

Думаю, Лёнька сдался б на втором вопросе.

Тысячи таких спысиалистафф

dzidzitop ★★ ()
Последнее исправление: dzidzitop (всего исправлений: 1)