LINUX.ORG.RU

Леннарт Поттеринг удостоен премии Pwnie Awards 2017

 , , , ,


7

3

На церемонии, ежегодно проходящей в рамках конференции Black Hat USA в Лас–Вегасе, объявлены победители премии Pwnie Awards 2017, присуждаемой за выдающиеся достижения либо провалы в области компьютерной безопасности.

В категории «Самая дурацкая реакция разработчика» (Lamest Vendor Response) премии удостоен Леннарт Поттеринг за реакцию на ошибки в systemd и отказ документировать уязвимости, получившие индекс CVE: 5998 (новость), 6225, 6214, 5144, 6237 (обсуждение в Talks).

>>> Подробности



Проверено: jollheef ()
Ответ на: комментарий от borisych

Да-да - systemd дал тебе выбор: /usr в корневом разделе и рассказывать, что так и надо или /usr в корневом разделе и чтобы тебя systemdнутые называли хейтером.

dzidzitop ★★ ()
Последнее исправление: dzidzitop (всего исправлений: 1)
Ответ на: комментарий от alpha

а приводить микрософт в качестве аргумента - это только детей пугать

конечно-конечно, «со мной этого не произойдет». так думает каждый первый наркоман за несколько дней/месяцев/лет до своей кончины.

araks ()
Ответ на: комментарий от borisych

если криво встали libc, binutils, openssl и т.п. то урон будет ничуть не меньше.

Вот когда их объединят так, что из-за openssl надо будет libc обновлять, тогда и приходи. А с systemd сейчас картина именно такая. Общей системой сборки затронута куча мало связанных компонент.

AS ★★★★★ ()
Ответ на: комментарий от alpha

Проверять работу systemd-пакета надо задолго до того как он попадет на твой главный сервер.

Это всё отмазки. Грабли бывают, их не может не быть. systemd же просто повышает вероятность поиметь головную боль на ровном месте.

AS ★★★★★ ()
Ответ на: комментарий от mandala

Подтирать не надо, можно спрятать до фикса и потом обратно открыть. Или гитхаб так не умеет?

не в курсе насчет платного. Бесплатный умеет только комменты удалять/править и текст запроса менять, кнопки удалить нет, видимость тоже не настраивается.

borisych ★★★★★ ()
Ответ на: комментарий от alpha

я однажды «заманила» админа одного банка сервер потереть; абсолютно реальный случай, я ему в чате посоветовала выполнить

это говорит о том, что заманить очень просто и подтверждает мою точку зрения

ну а по сути будет ответ?

www_linux_org_ru ★★★★★ ()
Ответ на: комментарий от alpha

может вам чтения багрепортов и обсуждений вслух устраивать? радиовещанием?

в debian - одной из команд нельзя

а про то, что другой из комманд можно, ты умалчиваешь, в точности как наше любимое путинское радио?

useradd 0dayhacker
www_linux_org_ru ★★★★★ ()
Последнее исправление: www_linux_org_ru (всего исправлений: 1)
Ответ на: комментарий от www_linux_org_ru

По сути: взломщик должен уговорить админа создать пользователя, также уговорить админа разместить неизвестный unit, также уговорить запустить неизвестный unit и не прочитать ни разу лог этого запуска.

Уязвимость, да, мифическая.

alpha ★★★★★ ()
Последнее исправление: alpha (всего исправлений: 1)
Ответ на: комментарий от borisych

Про звонок админу это конечно бред. Если что-то нельзя, то нужно понять почему и только потом послать «шибко умный мейнтейнеров». Но ведь есть дистры где можно, это факт, а не влажные фантазии.

mandala ★★★ ()
Ответ на: комментарий от mandala

Это проблемы дистров, я согласен тут с поттерами. Потянули в рот каку, вот и хлебайте ложками. Все знали про багодром системгэ, и никого (как нас уверяют) не заставляли его внедрять.

bread ()
Ответ на: комментарий от alpha

видно только то что лидер проекта занимается bug triage

Если у него это хреново получается и он постоянно получает обратную связь, может делигировать это кому-то у кого получится лучше? Что ему мешает? Вон даже премию выдали. Может теперь подумает? Пусть пилит там код, пусть в команде говорит что душе угодно или как там у них принято. Но на публичной площадке у всего честного люда на виду гнать дичь посторонним людям, которые, на минуточку, пользователи твоего продукта (хоть ты ни чем им и не обязан по закону) — ну не красиво, ага.

mandala ★★★ ()
Ответ на: комментарий от dzidzitop

это было бы конечно замечательно

жаль не успели проверить на профпригодность всех, кто на нем пишет init-скрипты

а то то killall java, то переменные окружение из локального окружения через sudo пролезают, то ещё какой бардак

Но да, нам же не важно, что по факту ничего не работает, подверждения остановки процессов нет, pid переиспользуется не вовремя и т.д. и т.п., зато sysvinit чист как слеза.

alpha ★★★★★ ()
Ответ на: комментарий от mandala

ну там Леннарт примерно так написал: у нас юниты при попытке запуска проверяются на синтаксические ошибки, все директивы с синтаксическими ошибками игнорируются.

Но ведь есть дистры где можно, это факт, а не влажные фантазии.

Если вы уж решили что systemd изначально RH-only, то получается это ментейнеры из дебиана приняли софтину себе без должной проверки и дыра у дебиана, а не у Поттеринга (тот же julian-klode мог просто взять и прислать патч, а не исходить на говно при первой возможности).

borisych ★★★★★ ()
Ответ на: комментарий от alpha

/bin/sh как язык убог. Скрипты можно писать на чём-то более вменяемом. А почему едят баш - хз. В любом случае фишка инита не в скриптах, а в знании, что система не делает отсебятины. А если написал каку в скриптах - то сам дурак. А фиксить свои промахи, безусловно, лучше, чем есть с лопаты чужие вонтфиксы и придурковатую самодеятельность системы (типа зависания при смб шаре по wifi при выключении компа), не имея реальной возможности их исправить.

dzidzitop ★★ ()
Ответ на: комментарий от alpha

Но да, нам же не важно, что по факту ничего не работает, подверждения остановки процессов нет, pid переиспользуется не вовремя и т.д. и т.п., зато sysvinit чист как слеза.

Это всё не задачи pid 1.

dzidzitop ★★ ()
Ответ на: комментарий от alpha

жаль не успели проверить на профпригодность всех, кто на нем пишет init-скрипты

Поттера своего проверьте сначала на вшивость. А скрипты на совести вендоров и админов, вам то что?

bread ()
Ответ на: комментарий от alpha

Уязвимость, да, мифическая.

С такой формулировкой можно две трети CVE выбросить в помойку. Вокруг одни дураки, а безопасников в психушку надо! Сто раз слышал.

mandala ★★★ ()
Ответ на: комментарий от h578b1bde

а как тогда выглядят добросовестные читатели жёлтой прессы?

я, например, прочитала все треды на гитхабе по ссылкам из топ поста, и не только их
alpha ★★★★★ (29.07.2017 1:38:09)

Тут таких исчезающе мало, а быть принципиальным «Ъ» даже почетно.

mandala ★★★ ()
Последнее исправление: mandala (всего исправлений: 1)
Ответ на: комментарий от alpha

Но да, нам же не важно, что по факту ничего не работает

Так и запишем: до Поттеринга ничего не работало. Странно, что же тогда редхат продавал нам? Какое то нерабочее говно. Эх, прав был Билли со своими гетзефакс.

bread ()
Ответ на: комментарий от mandala

Шляпа, как и полагается всем oldschool парням сидит на багзилле :) А вот Леннарту следовало бы забить на гитхабовский трекер и выбрать что-нибудь более приличное, например https://www.jetbrains.com/buy/opensource/?product=youtrack

borisych ★★★★★ ()
Ответ на: комментарий от bread

Где крупно написано, в каком мане, что юзер с цифры — это крап? Это надо быть крупным специалистом в linux-ах, а то получается «поле с разложенными граблями, которые аккуратно помечены флажками» это не про линуксы и сустемд, тут в отличии от дебиана на флажках экономят.

mandala ★★★ ()
Ответ на: комментарий от alpha

Подумай теперь, не знаешь ли ты примеров таких случаев когда разработчиками было задумано «ломание», точнее например undefined behavior, которое привело в поломке кое-чего далее по цепочке.

Какое отношение имя пользователя с циферки имеет к UB?

И возникшего в связи с этим спора на тему баг или не баг и если баг то где.

Например, реализация memcpy в glibc. Помнится там даже Линус попинал Ульриха STOP REOPENING Дреппера.

h578b1bde ★☆ ()
Ответ на: комментарий от borisych

это ментейнеры из дебиана приняли софтину себе без должной проверки и дыра у дебиана, а не у Поттеринга

Да, это официальная позиция редхата. Только они замалчивают факт «RH-only», это вскрывается только в обсуждениях. Вывесили бы они это у себя на глагне и в других видных местах — вопросов бы не было.

mandala ★★★ ()
Ответ на: комментарий от borisych

следовало бы забить на гитхабовский трекер и выбрать что-нибудь более приличное

Вообще странно это с гитхабом. Ну гит сам по себе не плох, да. Но гитхаб? Да еще и багтрекер открыт? Я уже писал тут по поводу претензии «не туда написал тот китаец»: закройте и дайте линк на нормальный, а не где то там пятой строкой. Это я вот сразу ходил на редхат когда федорой пользовался, у меня как то даже не было мыслей шариться по проприетарным левым помойкам.

mandala ★★★ ()
Последнее исправление: mandala (всего исправлений: 1)
Ответ на: комментарий от bread

То что СПО это поле без флажков? Ну так это не удивительно. А вот то что ключевой компонент не желает ставить флажки, а говорит что грабли там должны лежать и надо поправить траву ,чтоб опять не заметно было — ну странно, реакция обычно другая: поставить флажок или сказать спасибо и грабли прибрать. Вот об этом и речь.

mandala ★★★ ()
Ответ на: комментарий от alpha

По сути: взломщик должен уговорить админа создать пользователя, также уговорить админа разместить неизвестный unit, также уговорить запустить неизвестный unit

я бы это назвал куда короче: AC:L/UI:R, хотя не исключено и AC:H

и не прочитать ни разу лог этого запуска.

а вот это я не знаю как назвать, пойду читать спецификацию и примеры

www_linux_org_ru ★★★★★ ()
Ответ на: комментарий от mandala

даже чужая шелл-лапша лучше блоба

Зато грузится быстро как понос. Мощнейший хомячковый аргумент. Как легко оказалось линупсоидов купить. Конфетку покажи и суй им блобы. Лет 10 назад за такие идеи сожрали бы на лоре. А теперь и бинарные логи норм.

bread ()
Ответ на: комментарий от mandala

что СПО это поле без флажков? Ну так это не удивительно.

СПО как раз в основном с флажками, чем и ценно. Просто поттерософт уникально низкого качества для такой важной подсистемы. И главное, системгэ это идеологическая диверсия против юникс-вей. Теперь все наши яйца в руках одной корпы, все, кончилась свободка.

bread ()
Ответ на: комментарий от templarrr

вообще замечательно если бы была предусмотрена возможность отдельной установки и замены этих компонентов на сторонние

Знаешь что?

Ты не поверишь...

intelfx ★★★★★ ()