Инициатива снизу: ИТ-сообщество обратилось к Canonical за экстренными релизами Ubuntu 22.04.6 и 24.04.6

https это не защита а уязвимость. Нельзя доверять такую важную вещь, как целостнсть пакетов транспортному уровню (а TLS это именно Transport Layer Security).

Вообще хайп не на пустом месте подняли.

После скачивания пакета его контрольная сумма сверяется с тем, что написано в файле Packages, а контрольная сумма самого файла Packages - с тем, что написано в файле Release, а файл Release подписан gpg. А ключи которыми подпись проверяется, лежат в /etc/apt/trusted.gpg.d.

Так что подменяй пакет по дороге сколько угодно, он будет после скачивания опознан как битый и не поставится.

Цепочка доверия там выстраивается независимо от X509.

Для меня убунта на сервере всегда была росписью в профнепригодности, но вы там держитесь, хорошего настроения. Докер, кстати, тоже.

Надо сначала в разработку вкатиться. При написании патча, закрывающего уязвимость, можно потихоньку интересоваться, где тут ещё осталось незакрытое. В лоб конечно спрашивать «как получить рута на фре» не стоит.

Когда таблетки от паранойи не помогают.

Да нифига не свиснет. Им толпа людей лютейшими дырами в лицо тычет и матом орёт, а они делают вид что все норм. Нас %&ут, а мы крепчаем :)

Когда таблетки от паранойи не помогают.

никогда

ляяя так чо с убунтой не так?

Что не так с убунтой, не пойму?

Когда администратор, автоматический скрипт разворачивает чистый сервер и запускает первое обновление apt-get upgrade, система обращается к сети, используя уязвимый инструмент

Перед apt-get upgrade написать Acquire::Retries=0 религия не позволяет?

Как обмельчали и обленились линуксоиды… Когда-то инструкция, что сделать сразу после установки, была на несколько десятков страниц (как настроить язык, сеть, шрифты, графику, …).

выпустить внеплановые образы 22.04.6 LTS и 24.04.6 LTS<<

А какая разница между 22.04.6 LTS и 22.04.6 LTS ??? Или я просто затупил?

да шо вы такой резвый?! не спешите, надо всего-то подождать...
сядьте, попейте чаю, возьмите на руки любимого котофея, послушает новости от него (всяко лучше, чем те, которые).

п.с.
линух тоже был когда-то никому не нужен (корпоратам... ну не мешал он им...)

И где же лютейшие дыры? Ну кроме тех которые уже в security advisories/

В Debian нет нужды канючить фиксы у корпорации.

Правильно, там вообще не понятно у кого клянчить фиксы.

А что лично вы посоветуете ставить? Просто мне любопытно понять уровень адекватности местных анонимных экспертов.

Для меня убунта на сервере всегда была росписью в профнепригодности, но вы там держитесь, хорошего настроения. Докер, кстати, тоже.

Ubuntu дефолт и на серверах и на десктопах во всем мире. Можно представить что в РФ на серверах и десктопах импортозаместились отечественными дистрибутивами, но общей картины это не меняет. Профнепригодность это строить из себя нетакусика отрицающего объективную реальность.

LOR в своё время работал на Fedora... :3

А по-твоему распаковка (и скачивание) рандома из интернета под рутом это не лютейшая дыра? Да я на продукт этих людей даже ссать не стану чтоб не заразиться.

До недавнего времени я бы сказал дебиан. Сейчас однозначно – OpenBSD.

Я абсолютно с вами согласен. А так же считаю 99% админов профнепригодными :) Старая школа Лора и ирка нулевых не в счёт.

А разве для того, чтобы поместить бинарники из пакета в /usr/bin/ не не нужен рут? И даже если приколхозить пакетному менеджеру отдельного юзера тина, прости г-поди, TrustedInstaller, то не всё ли равно под каким юзером ставить в систему протрояненые init/systemd/sudo и т.п.?

Подмена происходит уже после того, как APT проверил контрольные суммы и подписи, но до распаковки.

Кто-нибудь может мне объяснить, как это происходит? Я всегда думал, что чтобы проверить контрольную сумму файла его надо сперва скачать.

Я представляю что не принял на работу при гипотетическом собеседовании сисдамина котроый бы стал рассказывать про Arch, Gentoo, но если бы мне сказали про OpenBSD ябы попросил справку из ПНД. OpenBSD хороша бравировать среди анонимных экспертов, что ты знаешь название самой безопасной ОС в Мире, но к реальной работе это не имеет никакого отношения.
Что за старая школа я не знаю, ЛОР никогда не бы особо адекватным.
Надо сделатть опрос на главной странице среди анонимных экспертов, кто в какомв виде хранит пароли. Я уверен что большинство хранит пароли в открытьм видео.
Вопрос и варианты ответа для опроса:
В каком виде вы храните пароли:
1. В никаком виде не храню, в сообщения мессенджера, в браузере. (неадекватность и профнепригодность)
2. В открытом видео в текстовом файле или в таблице (профнепригодность)
3. В текстовый файл запороленном архиве (неадекватность)
4. В персональном менеджере паролей (адекватность)
5. В корпоративном менеджере паролей (адекватность и профпригодность)
6. В бумажном журнале (полная профнепригодность и неадекватность)

Где дыра то, укажешь? Какой сценарий атаки ты предполагаешь и как от него защитит не-рут?

А я писал hobbit-у, начавшему редактировать эту новость, что надо заменить этот нейрослоп на нормальное описание, но он не захотел.

Точную механику мне лень было изучать, но схема примерно такая, вроде бы: apt скачивает один файл и проверяет его контрольную сумму, затем скачивает второй, но из-за каких-то фокусов с повторными попытками после обрывов, http-редиректами и хардлинками (подробности не смотрел) записывает его вместо первого, что там с его контрольной суммой не знаю, но потом дело доходит до установки первого, и ставится то что записалось вместо него в ходе второго скачивания.

Когда администратор, автоматический скрипт разворачивает чистый сервер и запускает первое обновление apt-get upgrade, система обращается к сети, используя уязвимый инструмент.

тебе нейросеть писала текст?

убунта с докером пром стандарт. а ты, я так понял, ставишь только арч\генту и исключительно из тарболов, верно?

APT дедублицирует скачанный контет используя жёсткие ссылки. Через http редирект можно было сделать так, чтобы звгрузка package-a и package-b приводила к созданию в кеше пакетов двух жестких ссылок на один и тот же файл. Скачивается package-a и проходит валидацию. Затем скачивается package-b, перетирая содержимое общего с package-a файла. Потом запускается установка package-a, где уже находится то, что сервер отдал в package-b.

Парадоксально, но абсолютно верно. В убунте некоторые пакеты прям древнятина!

В Debian эта уязвимость тоже работает

У нас она работает немного по-другому, добрее чтоли… не могу подходящего слова подобрать

Вот именно! Я о5 абсолютно согласен! К работе допустили стаи профнепригодных макак с убунтами и докерами наперевес. И работа стала адом для адекватов.

У меня все сервера на обзде и десктоп на ней же. Любую работу могу сделать :)

убунта с докером пром стандар

Для макаки – да.

man dpkg:

 Currently the only functional check performed is an md5sum
 verification of the file contents against the stored value in
 the files database.

Wiki:

On 31 December 2008, the CMU Software Engineering Institute concluded that MD5 was essentially "cryptographically broken and unsuitable for further use".

Интернеты:

«Ну, типа да, но от хэша и не требуется криптографическая надежность, ведь подпись пакетов проверяется при скачивании…»