LINUX.ORG.RU

Множественные уязвимости в OpenBSD

 ,


2

1

Специалисты из Qualys Labs обнаружили несколько проблем безопасности, связанных с возможностью обмануть программы, отвечающие за применяемые в BSD механизмы проверки паролей (аналог PAM). Обман заключается в передаче имени пользователя «-schallenge» или «-schallenge:passwd», которое затем интерпретируется не как имя пользователя, а как опция. После этого система принимает любой пароль. Уязвимы, т.е. разрешают в итоге несанкционированный доступ, сервисы smtpd, ldapd, radiusd. Сервис sshd проэксплуатировать не удается, так как дальше sshd замечает, что пользователь «-schallenge» на самом деле не существует. Программа su при попытке эксплуатации в лоб падает, так как тоже пытается выяснить uid несуществующего пользователя.

Также были обнародованы разнородные уязвимости в xlock, в авторизации через S/Key и Yubikey, а также в su, не связанные с указанием пользователя «-schallenge». Уязвимость в xlock позволяет обычному пользователю повысить привилегии до группы auth. Через неверную работу механизмов авторизации через S/Key и Yubikey можно повысить привилегии от группы auth до пользователя root, но в конфигурации OpenBSD по умолчанию это не работает, поскольку авторизация через S/Key и Yubikey выключена. Наконец, уязвимость в su позволяет пользователю повысить лимиты на системные ресурсы, такие как количество открытых файловых дескрипторов.

На данный момент уязвимости устранены, обновления безопасности доступны через штатный механизм syspatch(8).

>>> Подробности

★★★★★

Проверено: a1batross ()

Ответ на: комментарий от buratino

я так и не понял, чем мне это может навредить… но обновился, на свою голову

Через твой SMTP-сервер, если он слушал на 0.0.0.0 и позволял авторизованным пользователям посылать письма куда угодно, злоумышленники могли слать спам, пользуясь этой уязвимостью.

AEP ★★★★★ ()

В общем случае чем меньше у системы пользователей, тем она безопаснее. И ещё нужно пореже выпуски делать.

Вообще, ничего здесь особо страшного нет, потому что часть функций по умолчанию отключена, а другие разнородны и до них всех нужно ещё разом додуматься. Хорошо, что устранили.

Vudod ★★★★★ ()

Я думал, там программы самопроизвольно устанавливаются, как в шиндошсе … а так - несерьёзно. Заголовок новости - больше для хайпа, чем по теме.

Desmond_Hume ★★★★★ ()
Ответ на: комментарий от Desmond_Hume

Заголовок новости - больше для хайпа, чем по теме.

да не, заголовок нормальный и полностью отражает суть происходящего - там действительно «Множественные уязвимости», просто наполнение внутри новости без излишних технических потробностей, на опеннете чутка развёрнутее

https://www.opennet.ru/opennews/art.shtml?num=51979

ну и + AEP же приложил внизу новости ссылку сайт опенвалла

https://www.openwall.com/lists/oss-security/2019/12/04/5

anonymous ()

лол, и до неуловимого джо дотянулись.

помню, когда-то был сайт wideopenbsd.org, который развеивал мифы о «безопасности» данной ос.

anonymous ()

Удалённо эксплуатируемая уязвимость вызвана ошибкой при организации вызова обработчика аутентификации в библиотеке libc, которая вызывает программу /usr/libexec/auth/login_style с передачей аргументов в командной строке.

Вот что-то слабо верится, что это случайная уязвимость…

AlexVR ★★★★★ ()

Версия о том, что *BSD не такие безопасные, какими их пытаются представить, находит свое подтверждение. Стоило просто копнуть, как косяки нашлись. В итоге безопасность *BSD не ушла дальше (GNU/)Linux дистрибутивов.

anonymous ()
Ответ на: комментарий от dv76

Это про вот эту вот ОСь кричали, что безопаснее только небо

А что не так? Ей можно еще десяток таких уязвимостей, а она так и останется безопаснее остальных. Сравни, что у них творится всю историю.

anonymous ()
Ответ на: комментарий от anonymous

*BSD не такие безопасные

А почему множественное число? Ведь речь идёт об OpenBSD. Ведь фряшка или стрекоза себя в грудь пяткой, например, не бьют, что они супир-секурити. А, чтоб ты знал, фряшка отличается от OpenBSD, как вальс от ламбады.

Так что писать надо так писать -

Версия о том, что OpenBSD не такая безопасная, каковой её пытаются представить, находит свое подтверждение. Стоило просто копнуть, как косяки нашлись.

anonymous ()

Материал из Википедии, свободной энциклопедии:

Основным отличием OpenBSD от других свободных операционных систем, базирующихся на 4.4BSD (таких, как NetBSD, FreeBSD), является изначальная ориентированность проекта на создание наиболее безопасной ... из существующих операционных систем.

ttnl ★★★★★ ()
Ответ на: комментарий от dv76

Это про вот эту вот ОСь кричали, что безопаснее только небо, только Аллах?

Обычно речь идёт только об удалённых дырках, которых действительно было мало. Локальных хватало всегда. А если OpenBSD вдруг начнёт использоваться всерьёз, то можно не сомневаться, что уязвимости всех сортов вылезут в удивительных количествах.

anonymous ()

Безопасность - не единственное. Есть еще и просто надежность. А надежность опенка не радует - находили в прошлом году большие грабли в стеке IPv6… Но так как работу в этом направлении не профинансировали, то копать глубже и фиксить никто не стал. Чем популярнее система, тем больше к ней привлекается ресурсов разработчиков, а бесплатно никто не работает. Поэтому опенок сейчас имеет смысл в основном для закрытых систем.

dimss ★★★★★ ()
Ответ на: комментарий от Vudod

при чем тут мало пользователей? я не фанат bsd, но во всех журналах читаю о именно высокой экспертной оценке. Те не школота с vk оценивает секюрность дистрибутива, а профессионалы.

jtad ()
Последнее исправление: jtad (всего исправлений: 1)
Ответ на: комментарий от jtad

но во всех журналах читаю о именно высокой экспертной оценке

Это свежий номер журнала, где экспертом выступает специалист по аудиту, который как раз на днях проводил аудит безопасности новейшей OpenBSD? А то экспертные оценки имеют склонность к устареванию. Хороший пример с FreeBSD — когда-то она имела более быструю сетевую подсистему, чем в линуксе. И с тех пор это стало таким «всем известно, что», фактом, не требующим проверки. И во всех обсуждениях FreeBSD обязательно всплывало «линукс, конечно, популярнее, но у фри есть свои плюсы, например, более быстрая сеть». Пока не так давно один гражданин не взял да не померил, что сейчас творится, а не 20 лет назад. И фряха проиграла, где-то немного, а где-то вообще в салатень.

при чем тут мало пользователей?

Чем меньше пользователей, тем меньше профессиональных пользователей. Тем реже аудит. Тем больше пожилых экспертов, которые судят о нынешнем состоянии по своим впечатлениям 20летней давности, а не по свежим исследованиям.

gremlin_the_red ()
Ответ на: комментарий от gremlin_the_red

Тем больше пожилых экспертов

так если он эксперт разве не должен использовать новейшие подходы к оценке? Торвальдс как бы тоже начинал с самого начала и наоборот приобрел со временем все больший опыт. Имхо рассуждения не в ту степь, а наоборот за время моей работы я наблюдал как сопляки в проектах являлись причиной их гибели. Ибо все игрушки

jtad ()
Последнее исправление: jtad (всего исправлений: 1)
Ответ на: комментарий от Desmond_Hume

Я думал, там программы самопроизвольно устанавливаются, как в шиндошсе … а так - несерьёзно. Заголовок новости - больше для хайпа, чем по теме.

+++++

anonymous ()
Ответ на: комментарий от Vudod

В общем случае чем меньше у системы пользователей, тем она безопаснее. И ещё нужно пореже выпуски делать.

не, чем больше слонов наступило на мины, тем меньше последних осталось.

crypt ★★★★★ ()