Похоже, что 90% уязвимостей в ядре находит одна и та же польская контора . Это явный заговор против пингвина :)

фигня. у людей ужо давно 2.6.9

На продуктивных серверах, если я не ошибаюсь, еще стоит 2.4, поскоьку 2.6 для этого еще не созрел.

>На продуктивных серверах,

если Я не ошибаюсь, шеллов не раздают :)

>На продуктивных серверах, если я не ошибаюсь, еще стоит 2.4, поскоьку 2.6 для этого еще не созрел.

Это такой миф года?

нечего отговариваться, дыра так дыра

зато теперь еще одной дырой стало меньше!

>Это такой миф года?

Это не миф, это суровая реальность! :)

Все никак не возьмут тебя в 21 век?

>Все никак не возьмут тебя в 21 век?

шаман. отложи бубен, и послушай, что я тебе скажу: 2.6.x на самом деле недостаточно зрелая ветка для продакшн-серверов :)

ой извените веть geek у нас aka god/B.G/L.T. нужное подчеркнуть кудаж мы без его эскпайренса то.

Странно, вроде ж Solar проводил аудит этого кода в свое время. Или это только в его дерево вошло?

> Краткое описание ж

Однако стиль у Вас. "ж" - это то, что я подумал? :)

> Странно, вроде ж Solar проводил аудит этого кода в свое время.

ага, но только для 2.2 ;-)  в евоном 2.2 это и пофикшено...

> Или это только в его дерево вошло?

вот что он про это говорит:

Date: Thu, 11 Nov 2004 20:50:41 +0300        
From: Solar Designer
To: owl-users
Subject: Re: [owl-users] iSEC advisory about binfmt_elf

On Thu, Nov 11, 2004 at 07:43:12PM +0300, Ilya Andreiv wrote:
> This advisory comes from the following location : 
> http://isec.pl/vulnerabilities/isec-0017-binfmt_elf.txt
> 
> Is 2.4.27-ow1 kernel affected?

Yes, and yes we are aware of these issues (and had plenty of advance
notification, along with other vendors).  While I do feel somewhat
guilty for not dedicating enough time to preparing an update before
this was made public, I do not consider these to be terribly bad
(compared to other crap I'm sure we still have in the kernel...)

The only confirmed impact is being able to read +s-r executables.  The
potential for a local root compromise is just theory at this point
(although there _might_ be a way to exploit one of the flaws in such a
way).

An updated -ow patch will be coming.  Whether I will put one out
really soon or whether I'll hold to also include some other fixes is
not decided yet.

FWIW, one of these bugs was fixed in 2.2.14-ow1+ and 2.2.15 official,
but the fix was never rolled into 2.4.x+ as it turns out.  I did not
check 2.2.x for the other bugs yet.

--
Alexander Peslyak <solar at openwall.com>
GPG key ID: B35D3598  fp: 6429 0D7E F130 C13E C929  6447 73C3 A290 B35D 3598
http://www.openwall.com - bringing security into open computing environments

Не такая уж и фигня. Вчера еще в треде про игрушки ссылочка пробегала.



From: Ted Percival <ted@mrphp.com.au>
To: security@isec.pl
Cc: full-disclosure@lists.netsys.com, bugtraq@securityfocus.com
Subject: Re: Linux ELF loader vulnerabilities

These vulnerabilities appear to exist in 2.6.9 as well. All five buggy
lines appear verbatim in the 2.6.9 source.

Ted Percival

Paul Starzetz wrote:
> Synopsis: Linux kernel binfmt_elf loader vulnerabilities
> Product: Linux kernel
> Version: 2.4 up to to and including 2.4.27, 2.6 up to to and
> including 2.6.8
> Vendor: http://www.kernel.org/
> URL: http://isec.pl/vulnerabilities/isec-0017-binfmt_elf.txt
> CVE: not assigned
> Author: Paul Starzetz <ihaquer@isec.pl>
> Date: Nov 10, 2004
>
> Issue:
> ======
>
> Numerous bugs have been found in the Linux ELF binary loader while
> handling setuid binaries.

> 2.6.x на самом деле недостаточно зрелая ветка для продакшн-серверов :)
сколько у тебя продакшн-серверов и под какие задачи ? какие проблемы были с 2.6 ? или ты забыл добавить ИМХО

А что для продакшн 2.2 чтоли ? Мама, роди меня обратно.

Ты вообще-то сервера видел в своей жизни? SuSE и RedHat считают, что 2.6 уже нормальное, но они, конечно же, ламеры и дураки.

2.6 vs 2.4

Дети, не ссорьтесь.

По крайней мере 2.6.8 мне удавалось куче различных спобосов (вида modprobe/rmmod) убивать напрочь. При этом модули грузились вполне себе частоиспользуемые -- сетевых карт, например. Далеко не всё при этом воспроизводится. Те, знакомые мне специалисты, которые смотрели в код, не соглашаются его использовать даже на рабочих станциях.

Кроме того прошу не путать vanilla-kernel и ядра от дистрибутивописателей. У вторых 2.6 уже пригодно по крайней мере для десктопа и в большинстве случаев для серверов (на офисный сервер я бы его уже ставил, а вот на площадку куда если что ехать придётся, и за каждую минуту простоя по голове больно получать -- нафиг-нафиг).

>>На продуктивных серверах, >если Я не ошибаюсь, шеллов не раздают :)

> Повышение привилегий через загрузчик ELF в Linux (privilege escalation) > Опубликовано: 11 ноября 2004 г. > Источник: BUGTRAQ > Тип: удаленная > Опасность: 5 > Описание: Некорректная обработка исключительных ситуаций приводит к кратковременным возможностям доступа к памяти. > Затронутые продукты: > LInuX:kernel 2.4 > LInuX:kernel 2.6 > Оригинальный текст: Paul Starzetz, Linux ELF loader vulnerabilities

а почему она удаленная?

> Повышение привилегий через загрузчик ELF в Linux (privilege escalation) 
> Опубликовано: 11 ноября 2004 г. 
> Источник: BUGTRAQ 
> Тип: удаленная 
> Опасность: 5 
> Описание: Некорректная обработка исключительных ситуаций приводит к кратковременным возможностям доступа к памяти. 
> Затронутые продукты: 
> LInuX:kernel 2.4 
> LInuX:kernel 2.6 
> Оригинальный текст: Paul Starzetz, Linux ELF loader vulnerabilities 

а почему она удаленная? 

ps: так себе форум :(

>>На продуктивных серверах, если я не ошибаюсь, еще стоит 2.4, поскоьку 2.6 для этого еще не созрел. >Это такой миф года?

Куда уж нам без твоего мнения? Микросос тоже вот считает оффтопики серверной "самой самой секурной и неламабельной" осью.

>или ты забыл добавить ИМХО

забыл, каюсь :)

>Ты вообще-то сервера видел в своей жизни? SuSE и RedHat считают, что 2.6 уже нормальное, но они, конечно же, ламеры и дураки.

знаешь золотое правило "работает - не трогай!" ? Видимо нет :)

или надо срочно переезжать на 2.6.x? а смысл?

GEEK, НЕ ОБРАЩАЙ ВНИМАНИЯ НА ЛАМАКОВ..

йобнутые что ли?
http://bugzilla.kernel.org/show_bug.cgi?id=3608
http://bugzilla.kernel.org/show_bug.cgi?id=3428
http://bugzilla.kernel.org/show_bug.cgi?id=3580

^^^ этого уже доcтаточно чтобы 2.6 близко к серьёзным 
делам не подпускать.

шаманы, блин :)

>йобнутые что ли?

Спасибо, что открыли мне глаза, я то че делаю ;-(

more /etc/issue

Welcome to SUSE LINUX Enterprise Server 9 (x86_64)

uname -a

2.6.5-7.111-smp

Connected to: Oracle9i Enterprise Edition Release 9.2.0.4.0 - 64bit Production

Да уж. Че мне делать то теперь? :-(

ну если так 2.6 обсирать - то 2.4 много лучше что-ли? :)

2motherfucker:
backup'ы делать чаще и работу другую искать, 
на всякий случай ;)

мне по-человечески интересно, эта твоя машинка 
изначально под 2.6 работает, или случилась какая-то 
необходимость с 2.4 переползать?

> ну если так 2.6 обсирать - то 2.4 много лучше что-ли? :)
есть большая вероятность, что за прошедшее с релиза время 
2.4 лучше вычищено, и это IMHO очевидно.

> если Я не ошибаюсь, шеллов не раздают :)

А зачем шелы раздавать ? В cgi-bin какой-нибудь положить нужный файлик, типа, cgi-шка - вот и пожалуйста. Когда нужно - зашел по http и получли рутовую консоль :)

Надеюсь, никто не будет оспаривать тот факт, что хостеры выделяют место для cgi скриптов ?

>Кроме того прошу не путать vanilla-kernel и ядра от >дистрибутивописателей. У вторых 2.6 уже пригодно по крайней мере для >десктопа и в большинстве случаев для серверов
Блин да откуда эти сказки про плохое ядро с kernel.org и хорошее у дистроклепателей ??? Такой большой а в сказки веришь !

>Это такой миф года?

Это не миф, это насущная необходимость.

>SuSE и RedHat считают, что 2.6 уже нормальное

Только Suse. Редхат свой продукт на 2.6 еще не выпустил. Причем предыдущую дыру, которая присутствовала в suse, откомментировали типа "у нас ядро 2.4, поэтому мы в домике, у suse 2.6..."

>Блин да откуда эти сказки про плохое ядро с kernel.org и хорошее у дистроклепателей ?

По опыту, парень, по опыту. Это и эксплоиты показывали - в обычном работает, в rh или suse часто нет.

сам ты, ламо и птица с клювом, блин, и сервера окромя тебя дятла, ни кто конечно же не видел, лучше, вспомни свой вопрос в админском форуме, об настройке постфикса, ламьё, блин, а всё туды же, плин, противно,

скажу на серьезные серверы надо ставить ядра ветки 2.4, а сам поставлю FreeBSD :)

По поводу 2.4 vs 2.6. Не очень понятно, чего для мигрировать с первого на второе?

Для десктопа типа лучше, потому что шедулер в 2.6 позволяет интерактивным приложениям работать более приятно для юзера. Однако, читая здесь про разнообразные грабли с USB, дровами от nVidia, записью CD из-под юзера и т.п., как-то стремно ставить его пока на десктоп.

Для сервера типа лучше, потому что NPTL. Однако же, если на сервере все задачи работают через select или fork, не юзая треды, то опять-таки не очень понятно, в чем будет преимущество у 2.6. Зато более медленная работа с IDE -- явный недостаток.

Может я чего не знаю, но единственно где я вижу преимущества 2.6 -- это в числодробильне на многопроцессорных системах. Если вычисления хорошо параллелятся, то их можно раскидать по тредам и получить выигрыш в скорости. Но и тут страшновато юзать 2.6 из-за опасений нестабильности в нем: считалка отработает неделю, а потом ядро проглючит, и начинай все заново.

Резюме: лично для меня необходимость перехода с 2.4 на 2.6 пока неочевидна.

Реальные проблемы с некоторыми SCSI. например с Adaptec 79xx и его RAID 320. РЕАЛЬНЫЕ проблемы. На реальных дорогих интелёвых платформах. 2.4. работают. Далее - если надо пользовать context патч - то тоже для 2.6 он не до конца чист ещё. И т.п. на десктопе - да - всё отлично. На реальных боевых серверах (и серверных платформах) - ещё нет.

>записью CD из-под юзера

Про это уже все забыли как про страшный сон.

>дровами от nVidia

Тоже работают, просто у некоторых (как у меня) оно валится при перелогинивании DE/WM и то на редхатовском ядре, а не на vanilla. ;)

>Резюме: лично для меня необходимость перехода с 2.4 на 2.6 пока неочевидна.

Версии к 18 наверно более-менее исправят.

ну чего вы все так тормозите-то?
никто никого никуда не заставляет переходить. можете на 2.0 сидеть - слова дурного не скажут. а с 2.6 нормальная ситуация. вспомните как печально было с 2.4 - сначала ничего, потом хуже и хуже, пока наконец к 2.14+ не выправилось более или менее

Вот тебе 2.6.8:

aic7xxx -- поломан (кернел паник при загрузке на aic79xx)
QoS -- поломан (ребуты под нагрузкой)
IDE -- поломан (тормозит)

Было еще что-то четвертое... Не вспомню сейчас. Вернулся как со страшного сна на 2.4.

сидите-сидите на своем 2.4
а вот мы раз в пару дней с биткипера ядро синхронизируем и юзаем.
и nvidia пашет, и IDE не тормозит - отличия в показателях hdparm -Tt
от 2.4 не больше чем на 1-2 мегабайта.

P.S.
и апач у нас 2.0.49
так что все дело в ручках :)

Пофиксили. Мы тоже по биткиперам ползать умеем.

http://linux.bkbits.net:8080/linux-2.6/gnupatch@41925edcVccsXZXObG444GFvEJ94GQ

> а вот мы раз в пару дней с биткипера ядро синхронизируем и юзаем.

Living on the edge