LINUX.ORG.RU
Новости — Безопасность  

Многочисленные уязвимости ядер linux


0

0
Michal Zalewski, Ilja van Sprundel, Mathieu Lafon, Yichen Xie объявили о серьезных уязвимостях ядер linux 2.4.x и 2.6.x, приводящих к повышению привилегий до root, DoS атаке и выдаче важной информации.

1) Ошибки в работе с файловой системой ISO9660 могут присести к DoS или к выполнению произвольного кода
2) Целочисленное переполнения в функциях работы с bluetooth ( более подробнее --> http://www.linux.org.ru/view-message.... )
3) Утечка информации при создании директории (с файловой системой ext2) приводит к чтению памяти ядра.
4) Ошибка в работе функции load_elf_library() может привести к DoS

Решения: обновление до 2.6.11.6 и 2.4.30-rc2



>>> Подробности

★★★

Проверено: maxcom ()
← Учебный комплект ASPLinux
Sylpheed-Claws 1.0.4 →
Ответ на: комментарий от Selecter
>С 2 по 4 - баяны.

Почему ты так считаешь?
на LOR было только про "голубой зуб"
Dead ★★★★
()
> Ошибки в работе с файловой системой ISO9660 могут привести к DoS или к выполнению произвольного кода

Это же находка для промышленного шпионажа :-))

anonymous
()
Линукс, видимо, уже суперстабилен и супернадежен, раз о 4-х уязвимостях говорят "многочисленные". Скоро появится новость: обнаружена многочисленная уязвимость...
IMNSHO
()
Ответ на: комментарий от IMNSHO
Нет, с такими багами Linux супер опасен.
anonymous
()
пазерско-пеарная новость!!
DasIch
()
Ответ на: комментарий от Selecter
И что? Обновляться раз в три часа до нового ядра?
iRunix ★★★★
()
Ответ на: комментарий от mikhail
Ясно. А я view-all.jsp всегда смотрю, когда на ЛОР захожу.
Selecter ★★★★
()
/me только что выкачал 2.4.26-std-up-alt10 (12 Мб) и увидев новость испугался немного, что придется снова что-то качать :))) Но раз удаленных DOS'ов нет, то не так страшно..
php-coder ★★★★★
()
Ответ на: комментарий от mikhail
Зато теперь эту новость, правда иносказательно выраженную, всё-таки на первую страницу пропустили.
Lumi ★★★★★
()
Ох не сдержался, хоть и говорил себе вегда при флейме про нахождение новых дырок забивать на ламмеров, но сейчас не сдержался, уж простите пиво кипит. Во-первых, пока ОС разработывают и внедряют живые, люди а не ангелы с инопланетянами - ВСЕГДА в коде будут ошибки. Критерием их влияния на реальное применение той или иной операционной системы являются три основных фактора: 1. Их реальная опасность, 2. Частота появления, 3. Скорость выпуска решения по устранению уязвимости. Про бая н тут уже писали, но даже если и появляется реальная дырища, то читая про нее в security рассылках, я одновременно читаю и про то, как ее заткнуть. Напоследок, обслуживая сеть в несколько десятков Linux серверов (провайдерская контора), реально приходится подрываться из-за дырок которые могут навредить бизнесу приблизительно раз в четыре месяца, да и то, по большей части виноват софт дырявый а не ядро, а все остальное - так, регулярный секюрити апдейт синего зуба(к примеру) на сервере где он никогда в жизни функционировать не будет.
Gluk ★
()
Ответ на: комментарий от php-coder
> Но раз удаленных DOS'ов нет, то не так страшно..

почему нет удалённых уязвимостей ? приносит тебе злоумышленник сидюк с изюминкой, а вечерком получает твои файлы по почте. сидюк несут из другого района, так что уязвимость удалённая. во если-б этот злоумышленник сидюк нарезал на твоём компе, и только потом использовал, вот тогда это и была бы локальная уязвимость :)
anonymous
()
Ответ на: комментарий от anonymous
>> Но раз удаленных DOS'ов нет, то не так страшно..

>почему нет удалённых уязвимостей ? приносит тебе злоумышленник сидюк с изюминкой, а вечерком получает твои файлы по почте. сидюк несут из другого района, так что уязвимость удалённая. во если-б этот злоумышленник сидюк нарезал на твоём компе, и только потом использовал, вот тогда это и была бы локальная уязвимость :)

Дык в вендовозе например вставил диск, запустился autorun, твои файлы отправлены по почте. И никто это уязвимостью не считает.

mikhail ☆
()
Ответ на: комментарий от mikhail
с дисками есть вероятность что при таком "взломе" тебе самому его в жопу вставят
anonymous
()
Ответ на: комментарий от anonymous
угу, причём autorun запускался раньше даже есть система залочена.
blind ★
()
(зевая)Какой ужас... а-а-а. Пойду поплачу в ванной.
n1tro ★
()
Нет безглючных программ кроме hello world... вообще!!! И хорошо что в лялихе ошибки исправляються...
Nagwal ★★★★
()
Ответ на: комментарий от Nagwal
> Нет безглючных программ кроме hello world... вообще!!! И хорошо что в лялихе ошибки исправляються...

плохо, что они там появляются, причем некоторые - даже по нескольку раз...
anonymous
()
Ответ на: комментарий от php-coder
>/me только что выкачал 2.4.26-std-up-alt10 (12 Мб) и увидев новость испугался немного, что придется снова что-то качать :)))

Ну во первых можно качать не ядро а патчи, получается несколько меньше. Во вторых практически на все из новости можно забить. Поднимите руки у кого на среваках юзверь имеет доступ к ext2, "каллубойзупп" и самостоятельно монтирует сд. Про cdrom понравилось. Чувак который так ломать будет - мазохист. Проще записать на диск какой нить "дружеский" рпм, который сам админ и установит. Тоже мне, уязвимость.

>Но раз удаленных DOS'ов нет, то не так страшно.

Для справки DOS - отказ в обслуживании (не зря же Билли так свою первую операционку обозвал). Для проведении удаленной DOS дыр вообще не нужно. Здесь же пугают повышением полномочий путем локального выполнения.

anonymous
()
Ответ на: комментарий от anonymous
>Для справки DOS - отказ в обслуживании (не зря же Билли так свою первую операционку обозвал). Для проведении удаленной DOS дыр вообще не нужно. Здесь же пугают повышением полномочий путем локального выполнения.

Для справки MS DOS - Disk OS - Дисковая операционная система.

Я ДОС на дух не переношу, но есть люди, которым он нравится...

Alexander_I
()
Ответ на: комментарий от Alexander_I
> Я ДОС на дух не переношу, но есть люди, которым он нравится...
Это не люди, это извращенцы какие-то.
anonymous
()
Если 4 уязвимости это многочисленные уязвимости, то что тогда значит малочисленные уязвимости...
OpenStorm ★★★
()
Ответ на: комментарий от Alexander_I
>>> Я ДОС на дух не переношу, но есть люди, которым он нравится...

это Ваши проблемы, а не проблемы людей, которым он нравится.
chip ★
()
Залевский пиарит себя и секуину, на которую работает.

Full disclosure must die адназначна!

anonymous
()
Ответ на: комментарий от anonymous
Ага, надеятся на запуганных лохов, которые им бабули-були-були понесут. "Сексперты по безопасности" херовы.
anonymous
()
РЕШЕТО МЛЯ! МЛЯТСКОЕ РЕШЕТО!
anonymous
()
И не лень бурю в стакане разводить?
realloc ★★★★
()
Ответ на: комментарий от anonymous
>это значит уязвимостей нет. в некоторых ос это считается нормальным.

Таких ОС нет в природе и быть не может

OpenStorm ★★★
()
Ответ на: комментарий от AlexM
>Ты сюда не ходи, ты к vsu ходи.

Дык я этим путем и иду 8)

>Он, поди, уже проапдейтил kernel-fix-security.

А вот тут я что-то не очень понял о чем речь %)

Я понял, что если есть уязвимости, то он их устранит и в updates появится 2.4.26-std-up-alt11, который можно будет скачать всем желающим. Так?

php-coder ★★★★★
()
Ответ на: комментарий от anonymous
>почему нет удалённых уязвимостей ? приносит тебе злоумышленник сидюк с изюминкой, а вечерком получает твои файлы по почте

Слишком уж маловероятно в моем случае. Ко мне если и приходят, то с винтом. Да и нет у меня таких "друзей", которые бы так поступили 8)

php-coder ★★★★★
()
Ответ на: комментарий от anonymous
>Ну во первых можно качать не ядро а патчи, получается несколько меньше.

Знаю я это. Но я решил сам больше ядра не собирать! Я доверяю это важное дело ALT Team...

>Во вторых практически на все из новости можно забить.

О чем я и сказал (или попытался), когда сказал про DoS...

Кстати, да. Я не правильно выразился DoS тут не причем. Я имел ввиду конечно же уязвимости, благодаря которым злоумышленник, действую удаленно способен получить какие-либо права на моей машине..

php-coder ★★★★★
()
Ответ на: комментарий от php-coder
"я х#$@%ею, дорогая редакция..."(с)четырехлетняя девочка

поразительно вовремя на лоре новость поместили. ВСЕМ ГАДАТЬ, КТО И ГДЕ ПЕРЕПУТАЛ ДАТЫ, но ядра с исправлениями вышеуказанных уязвимостей УЖЕ ВЫШЛИ к моменту появления этого бреда на лор. достаточно иметь подписку на ОДНУ рассылку, чтобы не постить новости с проходными маложивущими уязвимостями и не разводить по их поводу флейм.

anonymous
()
Ответ на: комментарий от orb
>ага! вот кто базу центробанка в инете продает!

Не виноватая я! Он сам пришел! (с) :)))))

php-coder ★★★★★
()
Ответ на: комментарий от Gluk
>ВСЕГДА в коде будут ошибки

надо использовать правильные технологии и доказывать код тогда не будет ошибок, впрочем пионерам этого не понять...

anonymous
()
Ответ на: комментарий от anonymous
потрясающе свежая мысль. ты наверное правая рука стиви балмера и у тебя есть яхта и вила в флориде!
anonymous
()
Ответ на: комментарий от anonymous
> для справки dos -- dirty os :) это автор ее так назвал а не билли

Для справки ... автор назвал её QDOS -- Quick and Dirty OS ...

anonymous
()
Ответ на: комментарий от anonymous
Кому нах нужны вилы в тухлой лАмерике? У меня замок в предместье Парижа. А Балмер сам моя правая нога. Так что иди нах со своими предположениями.
anonymous
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
← Учебный комплект ASPLinux
Безопасность
Sylpheed-Claws 1.0.4 →