Уязвимость в mpg123

Так и представилась целая толпа пиратов внедряющих шелкоды в mp3 файлы исполнителей, чьи диски они продают

а что, кто-то еще не заменил mpg123 на mpg321?

В консольном приложении bash найдена обнаружена уязвимость допускающая возможность выполнения любых команд.

> а что, кто-то еще не заменил mpg123 на mpg321?

а зачем? какую выгоду я поимею если заменю его?

> а зачем? какую выгоду я поимею если заменю его?

Как? Уязвимости не будет.

Всё это ерунда. Выполнение комманд с правами юзера для софтинки типа mpg123 - тьфу. Хотя на ЛОРе зачастую можно встретить чудиков, сидящих под рутом, но чудики они на то и чудики.

> Выполнение комманд с правами юзера для софтинки типа mpg123 - тьфу. Хотя на ЛОРе зачастую можно встретить чудиков, сидящих под рутом, но чудики они на то и чудики.

Ну ты конечно крут, тока на подавляющем большинстве машин (особ. линуксовых) содержимое ~/ гораздо ценнее, чем содержимое /usr или /var

> Всё это ерунда. Выполнение комманд с правами юзера для софтинки типа mpg123 - тьфу. Хотя на ЛОРе зачастую можно встретить чудиков, сидящих под рутом, но чудики они на то и чудики.

Они не чудики. Они супер-мега хекеры. Во всяком случае так говорят.

> Ну ты конечно крут, тока на подавляющем большинстве машин (особ. линуксовых) содержимое ~/ гораздо ценнее, чем содержимое /usr или /var

Бэкап нужно делать.

>> а что, кто-то еще не заменил mpg123 на mpg321?
>а зачем? какую выгоду я поимею если заменю его?

У меня при вызове демоном atd (запескаю через него проигрывание музыки в определенное время, работает как будильник) mpg123 часто вываливалась с segfault'ом. Использую mpg321.

Я думаю, использование mpg123 вместо mpg321 рационально на старых машинах (первый пень), где проигрывание mp3 жрет много ресурсов.

Замер программой time показал:

mpg321 05-Two\ For\ Tragedy.mp3 13,83s user 0,65s system 6% cpu 3:51,06 total
mpg123 05-Two\ For\ Tragedy.mp3 6,14s user 0,40s system 2% cpu 3:50,66 total
mpg123 в 2,25 раза быстрее!

После чего я запустил mp3blaster, просто ради интереса и получил старанный результат:

time mp3blaster 05-Two\ For\ Tragedy.mp3
mp3blaster 05-Two\ For\ Tragedy.mp3 0,06s user 0,50s system 0% cpu 3:50,85 total

Я так понял, time просто не отслеживает дочерние процессы mp3blaster'a.. Увы, померять его не получится по нормальному, похоже.

>Всё это ерунда. Выполнение комманд с правами юзера для софтинки типа >mpg123 - тьфу. Хотя на ЛОРе зачастую можно встретить чудиков, сидящих >под рутом, но чудики они на то и чудики.
Систему я элементарно востановлю, а вот данные из моего home...

>>Всё это ерунда. Выполнение комманд с правами юзера для софтинки типа >>mpg123 - тьфу. Хотя на ЛОРе зачастую можно встретить чудиков, >>сидящих >под рутом, но чудики они на то и чудики.

>Систему я элементарно востановлю, а вот данные из моего home...

Вообще-то можно из под рута весь раздел /home угробить. У меня был подобный прикол: я игрался с dd, проверяя производительность некоторых частей компьютера, и случайно вместо написал "dd if=/dev/random of=/dev/hda" вместо "dd if=/dev/random of=/dev/null" (/dev/hda было в истории shell'a)... К счастью, основной диск у меня стоит слэйвом (/dev/hdb), а на мастере (hda) был загрузочный раздел от линукса (невелика потеря) и винда, в которой единственно ценной нужной мне вещью был "текстовый документ" на рабочем столе... Это я все к тому, что набо быть аккуратнее. (по крайней мере мне ;)

> Так и представилась целая толпа пиратов внедряющих шелкоды в mp3 файлы исполнителей,
чьи диски они продают eXOR


Достаточно, что он прописам в /etc/pluggerrc
audio/mpeg: mpa,abs,mpega: MPEG audio
audio/x-mpeg: mpa,abs,mpega: MPEG audio
stream, preload: mpg123 -q -b 128 -

> Ну ты конечно крут, тока на подавляющем большинстве машин (особ. линуксовых) содержимое ~/ гораздо ценнее, чем содержимое /usr или /var

А что там может быть такого ценного? Anyway, всё ценное надо бэкапить, в особенности если ты любитель слушать левые mp3'шки ;-)

А то за это скоро сажать будут и придут к тебе ребята из подразделения "P" повяжут под белы рученьки и начнут пытать утюгом.

> А что там может быть такого ценного?

Например, мой PGP-ключ, пароли, исходники закрытого софта, над которым я работаю.

>Так и представилась целая толпа пиратов внедряющих шелкоды в mp3 файлы исполнителей, чьи диски они продают

Пираты - это навряд ли, но... mpg123 (как впрочем и mpg321) позволяет проигрывать mp3-файлы прямо из internet по их полному url. И если нарваться по ссылочке на такой файлик с внедрённым кодом, можно считать, что твой домашний каталог тебе уже не принадлежит.

> Например, мой PGP-ключ, пароли, исходники закрытого софта, над которым я работаю.

Повоторю ещё раз - действительно важные вещи надо бекапить.

Слона-то он и не приметил... Речь идёт о вещах куда более важных. Их надо в первую очередь ПРЯТАТЬ!

Бэкап нужно делать.

anonymous (*) (10.09.2004 0:14:28)

Ага, бэкап. 120 Гб винт, 80 Гб ~/ замути мне бэкап. Откуда стока много пионеров?

Novel * (*) (10.09.2004 7:10:01)

У кого то вообще ничего ценного нет. Я так понял это мыслят гиганты администрирования серверных кластеров, да? ;)) Вопрос можно к шибко умным, а что у вас вообще делает на сервере mpg123?

Ага, слушаешь, слушаешь mp3-шку, а потом плеер вылетает и комп начинает ругаться из динамиков =)

> Ага, бэкап. 120 Гб винт, 80 Гб ~/ замути мне бэкап. Откуда стока много пионеров?

Тебе надо бэкапить все 80 гигов?

> У кого то вообще ничего ценного нет. Я так понял это мыслят гиганты администрирования серверных кластеров, да? ;)) Вопрос можно к шибко умным, а что у вас вообще делает на сервере mpg123?

У нас на сервере нет mpg123. А вероятность того, что тебе подсунут левую mp3'шку не намного выше того, что например винт посыпется или ты сам случайно что-то удалишь (бывает и такое). Поэтому всё _ценное_ надо бэкапить.