URL: https://www.opennet.dev/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 127699
[ Назад ]
Исходное сообщение
"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено opennews , 06-Июн-22 09:44 
В подсистеме ядра Netfilter выявлена уязвимость (CVE-2022-1972), похожая на проблему раскрытую в конце мая. Новая уязвимость также позволяет локальному пользователю получить права root в системе через манипуляции с правилами в nftables  и требует для проведения атаки доступа к nftables, который можно получить в отдельном пространстве имён (network namespace или user namespace) при наличии прав CLONE_NEWUSER, CLONE_NEWNS или CLONE_NEWNET (например, при возможности запуска изолированного контейнера)...

Подробнее: https://www.opennet.dev/opennews/art.shtml?num=57305

Содержание
Сообщения в этом обсуждении
"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено Аноним , 06-Июн-22 09:44 
Хотя бы не заметают под ковёр, когда закладки находят, как это делают с проприетарщиной.

>sysctl: cannot stat /proc/sys/kernel/unprivileged_userns_clone: No such file or directory

о чём это говорит?

"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено какая разница , 06-Июн-22 09:53 
И подтверждение словам имеется?
"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено Аноним , 06-Июн-22 12:58 
CVE-2022-1972 - Какое тебе ещё подтверждение?
"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено Кочегар , 07-Июн-22 08:47 
2022-1972... Нифига себе, ровно полвека замалчивали!
"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено Аноним , 09-Июн-22 13:36 
Первые 20 лет Linux тоже замалчивали. Высокосекретный проект рептилоидов.
"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено Аноним , 06-Июн-22 09:54 
А есть какие-то примеры? Я не отрицаю наличие таких, просто лучше раз увидеть чем... Я вот могу с два десятка накидать примеров где в открытых проектах или не чинят уязвимость годами (порой десятилетиями), или не признают уязвимость уязвимостью или вообще пытаются столкнуть ответственность на другой проект. Мол, это не наша софтина дырявая, а используемая нами либа, и неважно что программы других разработчиков с этой же либой подобных проблем не имеют.
"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено какая разница , 06-Июн-22 09:56 
А такие программы есть?
Если что, то я не подкалываю..
"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено Аноним , 06-Июн-22 10:12 
Пошерсти здешние новости по ключевым словам, я о ~60% всех случаев узнал отсюда. Из того что помню, очень "медленной реакцией" на уязвимости отметилась Canonical и Apache, переводом стрелок разрабы 7zip'а (по-моему тоже здешняя новость), об уязвимостях нефикшеных десятилетиями писала OSSRA (самой старой вроде 30 лет). Я могу расписать нормально, но только ближе к вечеру, когда дома буду.
"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено Аноним , 06-Июн-22 10:22 
Примеры так себе, было бы тоже интересно послушать о настоящих. И 7zip это разве не та гпл программа, для которой автор годами не даёт исходники? Но вообще, имеет смысл обсуждать только приличные проекты. Могильник и Убунта тоже не особо приличные организации, чтобы принимать их во внимание. Стоит смотреть на конкретный софт и его разрабов, вряд ли они свой денвер оставили бы дырявым в продакшене.
"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено Аноним , 06-Июн-22 10:27 
Не переживай примеров там хватает, я просто большей половины уже не помню, или помню частично те нужно удостоверится что я ничего не путаю, память уже не та. Доберусь до домашнего компьютера накидаю нормальный список со ссылками.
"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено i , 07-Июн-22 00:31 
Про чувака, который аудит безопасности делал, и подписывал не разглашение на 10 лет, а через 10 лет угадайте что, никто ничего не исправил, как его звали...
"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено Аноним , 06-Июн-22 10:06 
Так заметают, это сказывается на стоимости акций знаете ли. Знаю, что у Адобы было много приколов в своё время, вряд ли с тех пор много изменилось. МС всегда старательно прячет детали и максимально отстранённо упоминает исправления эпических дыр, и если ты не тусуешься в тех кругах, то и не узнаешь никогда. Деньги, деньги…
"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено Аноним , 06-Июн-22 11:13 
В открытых проектах ты можешь сам просто взять и переписать всё подсебя и без уязвимостей. В отличии от проприетарного говнища, который ты даже если захочешь не сможешь форкнуть.
"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено Попандопала , 06-Июн-22 11:19 
Инженеры с высшим образованием пишут с нуля,как я тут читал. Таким проприетарщина нестрашна от слова совсем. И плакаться по  чужому коду такие спецы не станут.D Берите пример.
"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено Аноним , 07-Июн-22 08:25 
> Инженеры с высшим образованием пишут с нуля,как я тут читал. Таким проприетарщина нестрашна от слова совсем.

Точно, тут только так и принято. Сначала вышеуказанные инженеры машинными кодами (байтиками, битиками - ноликами и единичками) набирают себе ассемблер - транслятор программы из текста на языке ассемблера в программу на машинном языке. Затем на ассемблере себе пишут компилятор под язык Ы (чтобы никто не догадался и не диктовал как должен выглядеть "правельный изык!"). Главное чтобы язык был как сишка, а не "новомодное типа безопасТное гуано - мы ошибок и так не допускаем". Потом переписывают этот компилятор на самом языке Ы. Ну а потом уже по мелочи - прошивки для мамки и железок, загрузчики ОС, саму ОС, драйвера. Последними пишут какой-нибудь MyOffice и "бровзер". Главное нескучные обои не забыть наваять в самописном Гимпе/Фотошопе, а то не оценят...

"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено какая разница , 06-Июн-22 15:20 
> ты можешь сам просто взять и переписать всё подсебя и без уязвимостей

А все у нас программисты?

"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено Аноним , 07-Июн-22 08:29 
Он у нас как та сова в анекдоте про сову и мышей - "Я не тактик, я - стратег !"
"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено Аноним , 07-Июн-22 08:39 
Ну и раз он ВСЁ может переписать "подсебя" (да еще без уязвимостей!) то у него похоже времени куча и всё остальное сделано (кроме не мешающей переписыванию основной работы доставщиком пиццы еще и дом воспитан, дерево построено, сын посажен...). По логике - бессмертный он, выходит: сотню человеколет туда вбрость, один человековек сюда... - г.вно вопрос.
"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено какая разница , 06-Июн-22 09:54 
> как это делают с проприетарщиной.

Я об этом..

"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено Аноним , 06-Июн-22 11:53 
>> sysctl: cannot stat /proc/sys/kernel/unprivileged_userns_clone: No such file or directory
> о чём это говорит?

О том, что у вас не Debian (этот sysctl специфичен для их ядер и производных).

"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено Прохожий , 06-Июн-22 10:18 
Мышки плакали, мучались, но продолжали есть кактус. Вместо того, чтобы переходить на нормальный язык программирования, из год в год наступаем на одни и те же грабли с памятью.
"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено Аноним , 06-Июн-22 10:22 
На Dlang.
"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено Аноним , 06-Июн-22 11:53 
+ плюсую
"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено Аноним , 06-Июн-22 10:25 
"Нормальный" язык слишком часто падает и паникует, чтобы оставаться сколько-нибудь юзабельным. Ошибки с памятью не исключают 9/10 других ошибок, так что попробуй потоньше накидывать.
"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено Аноним , 06-Июн-22 11:44 
Ну да, паника это плохо, лучше молча получать рут))
"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено Бывалый смузихлёб , 06-Июн-22 12:28 
у него есть какая-то встроенная неспособность получать рут ?
"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено Аноним , 06-Июн-22 17:11 
Практически во всех языках, кроме сишки и крестов, с непредвиденным получением рута всё сложно.
"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено Аноним , 06-Июн-22 17:45 
Только в языках без джита и ффи, их не так и много.
"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено Аноним , 07-Июн-22 12:36 
В языках (на самом деле - интерпретаторах с JIT) дыры из-за кривых рук разработчиков JIT.
В сишке и крестах - дыры из-за кривых рук разработчиков конечных программ. Это на много порядков больше.
"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено fi , 07-Июн-22 17:07 
LOL!!!

если вспомнить что "интерпретаторах с JIT" пишут с кривыми рука разработчики конечных программ, то теорема сводиться к кривым рукам разработчиков на C

"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено Аноним , 08-Июн-22 22:17 
> Ошибки с памятью не исключают 9/10 других ошибок

По статистике гугла, ошибки с памятью при использовании си-подобного добра составляют 70%. Очень-очень полезно было бы избавиться от этих ошибок. Использовать тут слоган - "или ВСЕ ошибки исключить или тогда уже оставить как есть" - глупо.

"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено _hide_ , 06-Июн-22 13:24 
Не подскажите, каким образом может "нормальный язык" решить проблемы с обращением к памяти в модулях ядра?
Большое спасибо.
"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено Аноним , 06-Июн-22 16:12 
Эй Прохожий - проходи..
"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено Аноним , 07-Июн-22 00:35 
> Мышки плакали, мучались, но продолжали есть кактус

Ну да. Вянтузятники как сидели в ущербной системе так и сидят.

"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено какая разница , 07-Июн-22 05:38 
А вы продолжаете орать этот бред, но wine используете именно для запуска программ для windows..
"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено Аноним , 06-Июн-22 10:22 
Это очень хорошая новость. Раз она есть, значит уязвимость нашли. А раз нашли, значит исправят.
"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено Аноним , 06-Июн-22 10:22 
Побольше бы таких новостей.
"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено Аноним , 06-Июн-22 11:47 
Больше новостей -> больше уязвимостей нашли -> больше уязвимостей было...
Oh, wait!
"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено Аноним , 06-Июн-22 12:59 
-> больше исправили
"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено ИмяХ , 06-Июн-22 13:32 
>>А раз нашли, значит

значит энтузиасты уже наклепали сотни эксплоитов, которые крадут конфиденциальные данные.

"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено Аноним , 06-Июн-22 16:15 
Разве крадут энтузиасты?
"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено Аноним , 06-Июн-22 17:12 
Не важно, кто крадёт, важен сам факт, что крадут.
Или даже - теоретически могут украсть.
"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено Аноним , 06-Июн-22 18:21 
Теоретически, я могу вычислить тебя по айпи, прийти к тебе домой и напугать твою канарейку. Но практически делать этого конечно же не буду, у меня есть дела поинтереснее. Так и тут. Мало найти уязвимость, нужно ещё найти чего украсть через неё. А там, где есть чего красть, зачастую практикуют security in depth, так что одной уязвимостью не обойдёшься.
"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено Аноним , 06-Июн-22 11:55 
Ну вот, опять...
"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено hohax , 06-Июн-22 12:30 
> убедиться в отключении возможности создания пространств имён непривилегированными пользователями ("sudo sysctl -w kernel.unprivileged_userns_clone=0")

И как понять, что сломается после такого хука?

"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено Бывалый смузихлёб , 06-Июн-22 12:36 
Это почти как с недавними планами развития перла "обратная совместимость в дальнейшем будет сохраняться за исключением закрытия уязвимостей". Вот и угадай потом, что и когда вдруг отвалится в глубинах кода, который отлично работал многие годы
"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено Аноним , 06-Июн-22 13:05 
> И как понять, что сломается после такого хука?

LXD, скорее всего. Он завязан на user namespaces

> On most hosts, LXD will check /etc/subuid and /etc/subgid for allocations for the “lxd” user and on first start, set the default profile to use the first 65536 uids and gids from that range.
> If the range is shorter than 65536 (which includes no range at all), then LXD will fail to create or start any container until this is corrected.

А вот разрабам докера это пилить было лень. Там все понятно: если рут в контейнере - то рут и на хосте.

"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено hohax , 06-Июн-22 13:14 
У меня хост c LXC 

sysctl -a | grep -c kernel.unprivileged_userns_clone 
0

давно работает. На LXD еще такое не пробовал.
"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено Аноним , 06-Июн-22 13:29 
На lxc это специально включать надо.
А lxd - он "для блондинок", там всё из коробки.
"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено Бывалый смузихлёб , 06-Июн-22 12:34 
Это, навскидку, и пары недель не прошло с обнаружения прошлой дырени в нэтфилтре
Возможно, даже первая неделя только-только подошла к концу

Респект таким высоколобым гениям, которые наизусть знают все требования к оформлению кода и пишут идеальный код
Разумеется, дырявый не менее куска хорошего сыра, но полностью соответствующий всем формальным критериям, проходящий все осн проверки и потому попадающий в релиз

А вы всё вебмакаки да вебмакаки

"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено Аноним , 06-Июн-22 12:47 
Так потому и нашли, что раньше не искали, или даже не знали где искать, а тут всё очевидное повылезало.
"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено какая разница , 06-Июн-22 15:24 
Ну если раньше "не знали" где искать, а тут "кавычка все решила", то чем это не закладка?
"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено Аноним , 06-Июн-22 13:03 
Лично у меня порой складывается впечатление, что в системном программировании люди вообще не слышали о таком понятии как тестирование🤦 (а если и слышали, то не в курсе какие входные данные нужно при этом использовать)
"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено Аноним , 06-Июн-22 13:06 
Сишники, сэр. "Наш код не дыряв, потому что у нас прямые руки!"
"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено Аноним , 06-Июн-22 13:08 
Я конечно не мега гуру в Си, но вот например если работа с памятью ведется через стандартный malloc и free, что мешает для защиты тупо написать простейший макрос такого рода:
#define free(p) (free(p), (void)((p) = 0))
"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено наноим , 06-Июн-22 13:39 
ответ на твой вопрос в первом предложении твоего коммента
"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено Аноним , 06-Июн-22 14:02 
а вы я так понимаю гуру?
"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено Аноним , 06-Июн-22 13:43 
Ты не поверишь, но можно и выход за границы массива проверять и валидность printf-спецификаторов. Но сишники удавятся за каждую лишнюю наносекунду (особенно, как я подозреваю, во всякой embedded'овщине). Поэтому между скоростью и безопасностью, выбирают первое (измеряется в количествах дыр в секунду).
"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено Аноним , 06-Июн-22 14:25 
хм... странная логика у сишников конечно!
Помнится ещё Страуструп писал: не важно, как быстро ра­ботает ваша программа, если она выдает неправильные результаты! (ну или в нашем случае если она в конечном итоге дырявая)
"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено Аноним , 06-Июн-22 17:10 
На практике немного иначе: неважно, насколько дырява ваша программа, если она написана на трушной, олдовой, правильной сишке.
О безопасности пусть смузи-девляпсы думают.
"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено Аноним , 08-Июн-22 07:57 
Девяпсы и думать это антонимы.
"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено Аноним , 06-Июн-22 14:43 
Ох, будто в других языках кто-то что-то проверяет. Там удавятся за лишнюю строчку, которая будет что-то там сверять, потому что спринт надо скорей закрыть.
"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено Аноним , 06-Июн-22 17:08 
Поэтому в других языках проверки производятся автоматически, без ручной копипасты каждый раз.
"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено Аноним , 06-Июн-22 14:44 
Вот тебе способ сделать вклад в опенсорс. Берёшь и тестируешь, если они не умеют.
"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено Аноним , 06-Июн-22 15:33 
Я иногда пишу тут в комментариях, про всякие найденные косяки:)
Например, как то нашёл косяк в picolibc, и сказал что если хотите репортите ибо мне оно не надо:), - и нашёлся таки добрый аноним который зарепортил:) Проблема кстати там была такого рода, что при нормальном тестировании данную проблему быстро бы обнаружили, - а это говорит, что там тоже о тестрировании мало что слышали:) Да и вообще в целом качество проекта плохое, ибо это просто сборная солянка из разных проектов, - короче навыхватывали куски кода, да так что порой встречаются функции где сразу видно, что это куски которые написали разные люди! Кроме того, там полный бардак с заголовками, - нет бы взять и вынести одни и теже определения макросов в отдельный заголовок, но нет копипаста на копипасте!)

ПС: Я это к чему, - Опенсорс это конечно хорошо, но как говорится: Если можешь делать что-то и при этом довольно хорошо, то не нужно делать бесплатно!) Корпарасам надо, пускай сами этим и занимаются!

"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено Аноним , 06-Июн-22 15:46 
Всё, что не глибц, не для общего применения. Например, в интернет выставлять нельзя. А на встройках баги и дыры, да кто их там найдёт, кому это интересно? Так и живут, программисты, етить.
"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено Аноним , 06-Июн-22 16:03 
>>> кому это интересно? <<<

мне:) но как я уже сказал, по-серьезному, бесплатно я таким заниматься никогда не буду!

"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено Аноним , 06-Июн-22 17:13 
Значит, не так уж и интересно.
"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено Аноним , 06-Июн-22 19:17 
>>>  Значит, не так уж и интересно. <<<

Просто за это мало платят:(

"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено Аноним , 06-Июн-22 16:22 
> а это говорит, что там тоже о тестрировании мало что слышали:)

План роста требует жертв: Ничего лишнего, только рост. 😊

"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено microsoft , 06-Июн-22 21:37 
И тут ты такой в белом выходишь из-за угла, ииии как начинаешь нам рассказывать и показываиь, как надо это все делать? Что? Нет? Ну вот... всегда так.
"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено Ананоним , 06-Июн-22 13:49 
Надо было писать на Ada.
"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено Тыква , 06-Июн-22 15:03 
Пиши
"Ещё одна уязвимость в подсистеме ядра Linux Netfilter"
Отправлено псевдонимус , 06-Июн-22 15:45 
Опять неймспейс. Вечная дырка.