Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Уязвимость в Glibc ld.so, позволяющая получить права root в системе, opennews (??), 04-Окт-23, (0) [смотреть все] сишники не осилили str split sep , maxsplit 1 , Аноним (1), 00:18 , 04-Окт-23, (1) +11 // https docs gtk org glib func strsplit html, Вы забыли заполнить поле Name (?), 01:20 , 04-Окт-23, (7) –2 // glib это не glibc, Аноня (?), 02:29 , 04-Окт-23, (13) +11 Да не просто Сишники, а те самые деды Эксперты, монстры Отцы-основатели , Аноня (?), 02:27 , 04-Окт-23, (12) –11 // Деды хотя всё возможно - акселерацияА вам лишь бы , Аноним (18), 06:37 , 04-Окт-23, (18) +10 Это он Не сильно на отца-основателя похож https sessionize com siddhesh-poyar, Аноним (18), 06:39 , 04-Окт-23, (19) +7 // Волшебник б , Аноним (31), 07:55 , 04-Окт-23, (31) +18 все честно написано Siddhesh Poyarekar is a toolchain hackerхакер - вот и слома, Аноним (81), 12:20 , 04-Окт-23, (81) +7 А разве не хакер Сломал линухи всей планете и глазом не моргнул Индусский кот , Аноним (102), 16:20 , 04-Окт-23, (102) +4 Так он же индус , Аноним (-), 13:57 , 04-Окт-23, (85) Понаведут смуззеров в глибц , Аноним 80_уровня (ok), 08:09 , 04-Окт-23, (36) Он не смуззер, он индус , Аноним (-), 13:57 , 04-Окт-23, (86) Индус - это диагноз Каким выглядит мир, когда в голове одни танцы , 128557 (?), 16:14 , 31-Янв-24, (165) Это не деды, а понабежавшие пионеры-двоечнеки , Аноним (136), 18:52 , 05-Окт-23, (136) +2 А ты не осилил написать glibc , Аноним (22), 07:00 , 04-Окт-23, (22) +2 Кажется это Python, а в С такого нету вот и неосилили, АнонПапка (?), 08:00 , 04-Окт-23, (32) Действительно крайне нубская ошибка Было вроде в каких-то языках или парсерах, , Пряник (?), 09:50 , 04-Окт-23, (58) // а тут целое ядро и 2 года не могли заметить но ведь тысячи глаз , фнон (?), 10:02 , 04-Окт-23, (62) +1 // И статические анализаторы кода Должны были ещё при коммите заметить сразу , Пряник (?), 10:07 , 04-Окт-23, (64) +3 А разве в ядре есть обязательный стат анализатор Проверка которого была бы необ, Аноним (72), 10:53 , 04-Окт-23, (72) +1 Какое еще ядро, лол - Какого цвета наш учебник - Какой предмет мы сдаем - Во в, Аноним (102), 16:21 , 04-Окт-23, (103) +2 Как вариант - не заметили потому что отвернулись в сторону Я не фанат конспирол, Kuromi (ok), 17:12 , 06-Окт-23, (149) +1 Как часто вижу подобные комментарии Но почему никто не написал ничего на другом, Аноним (110), 18:27 , 04-Окт-23, (110) strstr, uis (??), 12:19 , 06-Окт-23, (145) Это же сколько раз они на одни и те же грабли наступили с переменными окружения , Аноним (3), 00:19 , 04-Окт-23, (3) +7 // Всё как завещали деды https web mit edu simsong www ugh pdfThe Unix concept c, Аноним (31), 08:04 , 04-Окт-23, (34) +2 // AT T - та ещё корпорация зла Позлее гугла в свои времена , InuYasha (??), 17:24 , 05-Окт-23, (135) ты понимаешь, что если сделать один раз нормально - то больше код трогать не при, фнон (?), 09:27 , 04-Окт-23, (52) +1 Вообще концепция suid напрягает , Пряник (?), 09:51 , 04-Окт-23, (59) +1 // Ну отказаться от этой концепции видимо уже не получится Как вариант обмазать вс, Чи (?), 11:31 , 04-Окт-23, (78) // SELinux - лишнее звено , Аноним (-), 13:58 , 04-Окт-23, (88) Почему не отказаться Что из этого нельзя выкинуть А других гнилых бинарей у ме, Аноним (91), 14:29 , 04-Окт-23, (91) –1 Получится, если будет политическая воля Более 20 лет шло балабольство о невозмо, Аноним (111), 18:37 , 04-Окт-23, (111) +1 Эммм POSIX file capabilities , uis (??), 12:24 , 06-Окт-23, (146) Причем каждый раз когда я пишу про SUID на этом форуме всегда найдется парочка д, Аноним (115), 19:42 , 04-Окт-23, (115) +4 // Просто интересно, а если ли хоть какая-то система где все перечисленное реализов, Анонин (?), 21:14 , 04-Окт-23, (117) +1 Осталось ответить на вопрос ну и вот нахрена это ХОТЬ КОМУ-НИБУДЬ чтоб это само, User (??), 22:21 , 04-Окт-23, (119) // Вопросы по всем перечисленным пунктам многократно поднимались в списках рассылки, Аноним (115), 12:54 , 05-Окт-23, (129) gt оверквотинг удален Ну, в общем я и говорю - примерно всем пох Или не пох , User (??), 19:07 , 05-Окт-23, (137) Получается Windows Но ведь она давно уже есть, зачем изобретать велосипед , Аноним (120), 22:28 , 04-Окт-23, (120)   // Во-первых не просто Windows, а именно Windows NT Внутри Windows есть огромное ко, Аноним (115), 12:18 , 05-Окт-23, (128) +3   Suid не обходит selinux , Аноним (130), 13:05 , 05-Окт-23, (130)   Он не обходит его на этапе работы с контекстом вызываемой утилиты, в том и тольк, Аноним (115), 13:26 , 05-Окт-23, (131)   Жопslashes, case-нетерпимость, буквы устройств, ФС без DAC и стойкое желание всё, Аноним (157), 21:13 , 08-Окт-23, (157)   Нууу вы так говорите, будто в этом POSIX in our days есть хоть что-то хорошее, User (??), 09:44 , 10-Окт-23, (159)   Одна только унификация - на вес золота Много хорошего, за неимением лучшего , Аноним (160), 10:04 , 10-Окт-23, (160)   Ну вот кушайте posix acl, не обляпайтесь Ой, а он внезапно не часть POSIX У, User (??), 10:14 , 10-Окт-23, (161)   Я в реальной жизни встречал баранов, которые выключили SELinux, понаставили ch, Kuromi (ok), 17:21 , 06-Окт-23, (150) кмк, необходимо и достаточно внимательно аудировать код утилит, требующих 4000 , крокодил мимо.. (?), 18:53 , 08-Окт-23, (156) Васян решил добавить самописный парсер строк , Аноним (4), 00:49 , 04-Окт-23, (4) +1 // Зато без всяких cargo , morphe (?), 01:00 , 04-Окт-23, (6) +15 // И чего там в карго нету глибс на безопасТном , Аноним (22), 07:01 , 04-Окт-23, (24) –1 Но Раст базируется на libc , мяя (?), 18:42 , 04-Окт-23, (112) // Но только в грезах и фантазиях Военов Супротив Раста man syscalls, Аноним (118), 21:52 , 04-Окт-23, (118) +1 И почему я не удивлён А разве переменные окружения не должны очищаться при запу, Аноним (91), 00:58 , 04-Окт-23, (5) // Очевидно нет, если переменная предполагается для чтения , bergentroll (ok), 07:47 , 04-Окт-23, (29) +2 // А есть какие-то иные переменные окружения , Аноним (113), 18:50 , 04-Окт-23, (113) +1 Debian 11 тоже подвержен уязвимости из-за того, что патч из glibc-2 34 был бэкпо, Аноним (8), 01:20 , 04-Окт-23, (8) +1 // Ubuntu 22 04 - тоже была уязвима, апдейт выпущен, marten (ok), 01:42 , 04-Окт-23, (11) Пушто всякие дебунты это недодистрибутивы, багованые школоподелки В мире остало, СисадминА (?), 07:00 , 04-Окт-23, (23) –3 // Alt очень хорош Ядро без нареканий собирают Завидую У меня норм только 4 19 , еизвестный (?), 15:55 , 04-Окт-23, (100) Slackware отличный , Аноним (130), 19:23 , 05-Окт-23, (138) Скрыто модератором, cheburnator9000 (ok), 01:36 , 04-Окт-23, (9) +4 // Скрыто модератором, ДаНуНафиг (?), 06:42 , 04-Окт-23, (20) –1 Скрыто модератором, Аноним (22), 07:02 , 04-Окт-23, (25) Такого класса дыры нельзя публиковать до устранения , Tron is Whistling (?), 01:40 , 04-Окт-23, (10) +1 // Всё импортозамещение уже взломано , Аноним (22), 07:04 , 04-Окт-23, (26) –3 // Зачем партнёры будут ломать своих агентов, внедрившиз бэкдур в госструктуры , Аноним (77), 11:26 , 04-Окт-23, (77) Американские сервера тоже , Neon (??), 14:51 , 04-Окт-23, (94) Я вчера обнову на дебиан 12 поставил около 10-ти вечера, а новость опубликована , eugener (ok), 08:55 , 04-Окт-23, (43) Сказать, что я в бешенстве - ничего не сказать За один месяц Remote webp, vpxLo, birdie (ok), 03:27 , 04-Окт-23, (14) –3 // Зачем пользователям федоры секюр апдейты подождал неделю и новый релиз , WE (?), 06:21 , 04-Окт-23, (16) +8 make a sign, mos87 (ok), 08:05 , 04-Окт-23, (35) Геройствования работы до 4 утра, мало того что это покрытие чьего-то про кола, э, Аноним (22), 08:22 , 04-Окт-23, (40) +6 // В том-то и дело, что нет у него никакого лайфа , Аноним (116), 19:42 , 04-Окт-23, (116) А зачем тебе возмущаться Это же лучшая ось написанная на божественном языке А н, Анонин (?), 09:31 , 04-Окт-23, (53) +2 Как же это было предсказуемо если знаешь на каком языке библиотека написана , Аноним (120), 05:36 , 04-Окт-23, (15) –1 // Т е если в новости не написать на каком, то это автоматом станет для тебя непре, Аноним (28), 07:39 , 04-Окт-23, (28) +2 // Да низкий уровень образования создаёт причудливые логические связи , Аноним (22), 08:23 , 04-Окт-23, (41) +2 Дружище, если что-то писать на делфи, то с высокой степенью вероятности в коде б, Аноним (120), 22:34 , 04-Окт-23, (121) // Не совсем так Сам питон в минорных версиях ничего не ломает, это скорее из мира, inferrna (ok), 16:13 , 12-Окт-23, (162) trollmode Включи IPv6 и спи спокойно , Аноним (17), 06:33 , 04-Окт-23, (17) +1 Весь, ВЕСЬ код в dl-tunables c написан в стиле дедовское сишное буллшит-бинго ,, Аноним (21), 06:50 , 04-Окт-23, (21) +2 // Так ты это молодой, давай переписывай Критиковать каждый умеет , Аноним (22), 08:12 , 04-Окт-23, (37) // а что лучше критиковать или писать вот такой код , фнон (?), 09:25 , 04-Окт-23, (49) // В твой случае лучше молчать, Аноним (76), 11:12 , 04-Окт-23, (76) +1 Одно другому не мешает , Пряник (?), 09:57 , 04-Окт-23, (61) Деды на пенсии давно А в леггинсы дали молодые опеннет-балаболы, сами-то они бе, Аноним (157), 21:26 , 08-Окт-23, (158) Да что ж это такое, а Этому безобразию настанет когда-нибудь конец или нет , Аноним (27), 07:18 , 04-Окт-23, (27) На Эльбрусах не срабатывает , Аноним (39), 08:13 , 04-Окт-23, (39) +2 // А эти Эльбрусы сейчас с тобой в одной комнате, покажи где ты их трогал , Аноним (45), 09:13 , 04-Окт-23, (45) +1 // и на столе есть и МЦСТ даёт доступ по ssh, погуглите, Аноним (68), 10:42 , 04-Окт-23, (68) +3 // Сначала нужно, чтобы он появился в продаже по сравнимым с интелом и амд ценам По, An (??), 18:00 , 04-Окт-23, (108) Зачем Ты не нужен, сиди и жди халяву дальше , Аноним (152), 18:03 , 06-Окт-23, (152) Ну ок Тогда смотрим на альтернативы x86_64, ARM, RISC-V А вы и дальше сидите в, An (??), 16:36 , 08-Окт-23, (155) А какая версия Glibc там Небось, ещё 2 2x какая-то , Аноним (56), 09:40 , 04-Окт-23, (56) // yukari ls -l lib libc -rwxr-xr-x 1 root root 5265800 июн 7 21 24 lib libc, Аноним (68), 10:43 , 04-Окт-23, (69) // yukari lcc -vlcc 1 26 20 Jun--6-2023 e2k-v4-linuxThread model posixgcc vers, Аноним (68), 10:44 , 04-Окт-23, (70) Емайл автора патча внедрившего ошибку Email siddhesh AT redhat DOT com or , ыы (?), 08:56 , 04-Окт-23, (44) +4 // Засланый казачок , Вы забыли заполнить поле Name (?), 11:52 , 04-Окт-23, (80) Ахаха, ой не могу Это уже которая по счету за этот месяц Просто какой-то месяц , Анонин (?), 09:19 , 04-Окт-23, (47) +5 // Все они умеют вот как бы вы внедряли бэкдур так чтобы его не заметили , ыы (?), 09:23 , 04-Окт-23, (48) +2 Тоесть с апреля 2021 по октябрь 2023 все радетели за обновляемся скорее свежий , ыы (?), 09:25 , 04-Окт-23, (50) // ты конечно был бы прав, если бы не такие от подарки Например CVE-2021-22555 ht, фнон (?), 09:44 , 04-Окт-23, (57) +4 // Тем временем Made public today was CVE-2023-43785 as an out-of-bounds memory acc, Аноним (60), 09:57 , 04-Окт-23, (60) Ого, впечатляет С другой стороны х11 это особый кусок кода Создатели котор, Анонин (?), 10:08 , 04-Окт-23, (65) Дарю для комплекта CVE-2021-3999 Она старше Windows 95 , Аноним (120), 22:40 , 04-Окт-23, (122) Нахождения старых уязвимостей - это хорошо Но вот повторное наступление на граб, Пряник (?), 10:06 , 04-Окт-23, (63) Не, ну я конечно понимаю, что намного приятнее думать что это бекдор, а не обычн, Анонин (?), 09:35 , 04-Окт-23, (54) +1 // - мужики, а спорим я бэкдур внедрю и мне за это ниче не будет - Как - сделаю ви, ыы (?), 09:39 , 04-Окт-23, (55) +1 // Таак, тут какая-то фигня Надо правильно считать размеры буфера Сделаю-ка я это, fuji (?), 10:27 , 04-Окт-23, (66) Закономерный итог Сам язык си и практики, сложившиеся вокруг него, подталкивают, Шарп (ok), 10:52 , 04-Окт-23, (71) +3 // я бы еще добавил стандартная библиотека мало того что написана ногами, так еще, Аноним (72), 11:02 , 04-Окт-23, (73) +2 // Стандартные библиотеки С и С еще и написаны больным на голову Более уродского, Neon (??), 14:55 , 04-Окт-23, (97) +1 Фиг с ней с библиотекой Это что, единственное место в ядре где сплит нужно делат, Анонимусс (?), 11:09 , 04-Окт-23, (75) Жалко только Торвальдс не поменял своего мнения о C , который мог бы ему значит, Аноним (79), 11:46 , 04-Окт-23, (79) // и чем плюсы лучше посмотри сколько cve шек на плюсах и главное какиха там то же , фнон (?), 13:49 , 04-Окт-23, (83) +2 // Только если писать в сишном стиле Современный c 11 обладает множеством сре, Шарп (ok), 14:47 , 04-Окт-23, (93) +1 Верю Но посмотри когда в ядре отказались от с99 напомню это был 2022 Просто п, фнон (?), 15:41 , 04-Окт-23, (98) В 2022 отказались от C89 C99 в ядре никогда не было , Аноним (21), 16:17 , 04-Окт-23, (101) сорян, опечаталсяда, речь про C89оно еще довольно долго обсуждалось тут lore ker, фнон (?), 16:33 , 04-Окт-23, (104) У раста новая версия как часто выходит Стоит ли такое тянуть, если проблемы с п, Вы забыли заполнить поле Name (?), 23:31 , 04-Окт-23, (123) У раста кроме версий, которые выходят раз в 6 недель и являются просто процессом, Анонн (?), 09:41 , 05-Окт-23, (126) +2 Какая-то подмена понятий У современного С выходят новые версии стандарта, кот, Вы забыли заполнить поле Name (?), 19:31 , 05-Окт-23, (139) Нет, это не подмена понятий У плюсов стандарты тоже выходят примерно раз в 3 год, Анонн (?), 20:15 , 05-Окт-23, (140) +1 Ядро по факту монорепозиторий Во всех номральных монорепозиториях жесткая привя, Вы забыли заполнить поле Name (?), 20:18 , 05-Окт-23, (141) Тебе не нужно по компилятору на каждый edition Это ж тебе не сишка Ты можешь з, Анонн (?), 20:30 , 05-Окт-23, (142) Нормальным компилятором С можно собрать код любого стандарта, даже древнейшего, Вы забыли заполнить поле Name (?), 00:49 , 06-Окт-23, (144) Но ты не можешь часть сорцов ядра собрать одним стандартом, а часть - другим А т, Анонн (?), 17:58 , 06-Окт-23, (151) Пока что нет ответа на главный вопрос - зачем , Вы забыли заполнить поле Name (?), 23:25 , 06-Окт-23, (153) +1 Когда-то в отдаленном будущем у editions тоже будет end of life Пока что в докум, Анонн (?), 09:56 , 05-Окт-23, (127) В плюсах тащится совместимость с Си, стало быть, все сишные грабли по-прежнему д, vdb (?), 14:54 , 04-Окт-23, (96) // Ну так в названии что зря поставили С это С старые ошибки новые ошибки, фнон (?), 15:43 , 04-Окт-23, (99) А теперь предлагается вместо хорошо оттестированной реализации библиотек тащить , Аноним (82), 13:43 , 04-Окт-23, (82) –2 // Хахаха, хорошо оттестированной реализации , прекрати человек-петроссян Посмотри, фнон (?), 13:58 , 04-Окт-23, (87) +1 // Матчасть учи, Dirty COW не вв либе был , uis (??), 12:44 , 06-Окт-23, (147) Кто тебе мешает из карго-мусора отобрать нужные тебе в проекте оттестированные к, Аноним (132), 15:53 , 05-Окт-23, (132) Надеюсь, речь не о Расте, который изменяемые в будущем объекты пытается отловить, DildoZilla (?), 17:43 , 04-Окт-23, (106) // Не, речь именно о нем А что вам таки не нравится , Анонин (?), 18:06 , 04-Окт-23, (109) И где все эти кексперты по экономии места посредством отказа от статического свя, Аноним (77), 11:07 , 04-Окт-23, (74) Почитал диффы Ошибка настолько тупейшая, что её никак нельзя назвать ошибкой , ИмяХ (?), 13:50 , 04-Окт-23, (84) –1 // Ты что обвиняешь святое Сообщество в саботаже Оно же непогрешимо и все остальны, Аноним (72), 14:06 , 04-Окт-23, (90) +1 Ну что ты будешь делать Опять каких-то анскильных лалок вместо Настоящих Програ, Аноним (92), 14:30 , 04-Окт-23, (92) У сишников хотя бы есть софт, в котором можно делать уязвимости , Вы забыли заполнить поле Name (?), 14:52 , 04-Окт-23, (95) // у растовиков тоже есть - уже немало кода в последних версиях андроида на декабр, Аноним (132), 16:03 , 05-Окт-23, (133) // Это наглая манипуляция статистикой немало и 21 на С С Сколько из этого ко, Вы забыли заполнить поле Name (?), 16:48 , 05-Окт-23, (134) а почему ни кто не думает что это было сделано специально кто внес изменения и, Tester (??), 17:31 , 04-Окт-23, (105) // А если бы ее нашли лет через 10 кто и зачем вносил изменения в CVE-2021-22555 , Аноним (72), 17:46 , 04-Окт-23, (107) // у тебя может и традиция, у меня это скорей всего сделано специально, и скорей вс, Tester (??), 16:43 , 22-Дек-23, (163) Не очень понял почему ошибка именно в ld so ld so задействован же при запуске т, Аноним (124), 02:54 , 05-Окт-23, (124) А как там российские Астра , Роса и прочие сбер-линуксы, много лет простоят д, Аноним (125), 09:25 , 05-Окт-23, (125) +1 // а разве аудита в RedHat небыло Там и людей протирающих щтаны поболее будет , Tester (??), 16:45 , 22-Дек-23, (164) У меня ничего не произошло, просто выдало --help, Werenter (ok), 11:48 , 02-Фев-24, (166) 1,3,4,5,8,10,14,15,17,21,27,39,44,47,71,74,84,92,95,105,124,125,166

Сообщения

[Сортировка по времени | RSS]

	120. "Уязвимость в Glibc ld.so, позволяющая получить права root в ..."	+/–
	Сообщение от Аноним (120), 04-Окт-23, 22:28
	> Решается эта проблема так: Получается Windows. Но ведь она давно уже есть, зачем изобретать велосипед?
	Ответить | Правка | К родителю #115 | Наверх | Cообщить модератору

	128. "Уязвимость в Glibc ld.so, позволяющая получить права root в ..."	+3 +/–
	Сообщение от Аноним (115), 05-Окт-23, 12:18
	Во-первых не просто Windows, а именно Windows NT. Внутри Windows есть огромное количество невменяемого наследия DOS/Windows9x даже в современных версиях, которое мешает ей жить и создаёт тонну дырок в безопасности. Понимаете ли в чем дело... Всё что я писал в своем предыдущем длинном посте не распространяется на legacy-компоненты, и это страшная дыра. Просто вдумайтесь (!!!), Spooler - это legacy-компонент из Win9x. Еще раз прочитайте медленно и ужаснитесь: "Вся подсистема печати Windows - наследие DOS/Windows 9x". И она дырявая, потому что предпечатный рендеринг шрифтов GDI-принтера делается модулем ядра GDI (тот самый win32k.sys с его синими экранами), а пользователи могут при подключении к сетевому принтеру по SMB загрузить и установить драйвер (драйвер, Карл!) с внешнего компьютера в обход проверок от лица пользователя с пониженными привилегиями. А я напоминаю, что всякий RICOH и Kyocera не стесняются в кастомизации рендеринга шрифтов и ставят WDM-драйвер уровня ядра, который подменяет стандартную логику работы GDI конкретно с их железками. А еще в Windows настолько страшный Virtual Filesystem (VFS-драйвер), что на нем стоит мораторий на любые изменения в коде. Оно еле-еле работает, потому что с одной стороны оно предполагает, что всё должно быть в UCS-2 (даже не в UTF-16), но при этом должна быть обратная совместимость с 8.3 именованием каталогов и файлов и не только в формате ANSI CP-****, а именно в тех самых IBM-кодировка типа CP866 или CP478. VFS Windows работает настолько плохо, что в общем случае для рекурсивного удаления каталога даже через современный PowerShell требуется целый скрипт учитывающий все legacy-штуки, особенно оформленные ReparsePoint-объекты и очень сбоку прикрученные туда ACE/ACL, потому что изначально-то в DOS всего этого не было. И я еще не начал про SMB1, NetBIOS и прочее наследие IBM, которое застряло в Windows NT ради обратной совместимости, не только с Win9x, но и с OS/2. И это лишь пара примеров... Короче, вам это всё не надо. Вдумайтесь, Microsoft десятилетиями медленно пытается херить эти подсистемы, но там реализация всей этой архитектуры мягко говоря слабоватая. Legacy Windows - это рак, она больна и её десятилетиями лечат вырезая метастазы: - Разделить службы (демоны) от пользовательских процессов (Windows Vista) - Администратор больше не равен по правам Системе. LOCAL SYSTEM = root в Windows. (Windows Vista) - Понизить в правах планировщик задач и сами задачи сделать подконтрольнее (Windows Vista) - Добавить возможность запускать процессы пользователя с пониженными привилегиями относительно прав самого пользователя (Windows 8) - Научить подсистему безопасности тому, что служба может быть запущена с привилегиями ниже пользовательских и не иметь возможности ни работать вне пользовательской сессии, ни к другим пользователям не лезть (Windows 10) Сейчас их безопасники на конференциях в очередной раз поднимают вопросы: 1) Как отобрать у всех админов, чтобы пользователи могли работать без страданий, но при этом в ограниченных сессиях. 2) Пересмотреть реализацию Capabilities в ядре так, чтобы пользователь мог контролировать к каким устройствам запущенное им приложение имеет доступ, а к каким он запретил 3) Как сделать так, чтобы это было не сильно заоверинженирнуто и разработчики этим пользовались, а не пытались обойти. Поймите, там проблем столько, что иногда проще переписать с нуля. Они же так уже делали, когда переходили на WinNT. Во-вторых Windows NT это не 100% оригинальная разработка, а вольная интерпретация архитектуры VMS для x86-чипов. И вот поверх этого всего в сочетании с Win32 народилось много всего. Просто людям (я живьем таких встречал) почему-то кажется, будто есть только UNIX и ему подобные ОС, а Windows она такая единственная протестная, которая из принципа не следует стандартам POSIX и не любит "UNIX way". На самом же деле она написана архитекторами VMS и продолжает развитие другой линейки ОС. Ну возьмите лучшие практики оттуда и примените себе... Microsoft же всегда так делал. Сетевой стек у них сначала писала IBM, потом Cisco, потом они его у BSD взяли, параллельно доробатывая свой NDIS и WFP. Протокол RDP они лицензировали у Citrix, а Hyper-V это порт Xen на Windows причем опять самими же авторами. Не вижу никакой проблемы. > Но ведь она давно уже есть, зачем изобретать велосипед? Windows очень старый трехколесный велосипед с отваливающимся рулём, но третье колесо вроде бы не нужно, но без него никуда не едет, поэтому мы приделаем еще 1 колесо, для плавности, главное чтобы сидеть было комфортно. При этом Linux, это велосипед без руля с квадратными колесами и дилдаком вместо седушки, чтобы при каждом прокручивании педалей пользователь получал специфическое удовольствие. А если ему нужно повернуть, то нужно соскочить, переставить велосипед и только потом ехать в другом направлении (это я про маразм вокруг конфигурирование SELinux и ему подобных решений). На минуточку, SELinux и его контексты это именно то, что реализуется вместо дескрипторов SDDL. А еще он имеет свою собственную эксклюзивную для него реализацию ACE/ACL на уровне ядра. Но всё это бесполезно, потому что по всей ОС раскиданы SUID-утилиты (модель прав из 70-х годов), которые всё это обходят. Что возвращает нас обратно к теме новости. Ну не хотите как в Windows, ну не надо, но сделайте лучше и закопайте чертов SUID, иначе это никогда не кончится. Это тот самый пример уязвимости by design.
	Ответить | Правка | Наверх | Cообщить модератору

	130. "Уязвимость в Glibc ld.so, позволяющая получить права root в ..."	+/–
	Сообщение от Аноним (130), 05-Окт-23, 13:05
	Suid не обходит selinux.
	Ответить | Правка | Наверх | Cообщить модератору

	131. "Уязвимость в Glibc ld.so, позволяющая получить права root в ..."	+/–
	Сообщение от Аноним (115), 05-Окт-23, 13:26
	Он не обходит его на этапе работы с контекстом вызываемой утилиты, в том и только в том случае если есть специально оформленное правило в рамках Targeted Policy. Политика мандатного контроля по умолчанию всегда является таргетированной, она не распространяется на ВСЁ, за исключением единичных случаев, когда в рамках корпоративного использования её вменяют на шаблонизированные рабочие станции и сервера. Он обходит его на этапе запуска. SELinux позволяет существовать возможности неподконтрольного ему поднятия привилегий даже в объявленном и подконтрольном ему контексте. Ну то есть у вас дыра в заборе и двери в доме нарастапашку. Грабители вынесли абсолютно всё из дома, но в сарай не попали, сарай закрыт на ключ. Как-то так... Вот есть отличное видео о том как сейчас работает SELinux: https://www.youtube.com/watch?v=fB2b-lTjCQA
	Ответить | Правка | Наверх | Cообщить модератору

	157. "Уязвимость в Glibc ld.so, позволяющая получить права root в ..."	+/–
	Сообщение от Аноним (157), 08-Окт-23, 21:13
	> из принципа не следует стандартам POSIX Жопslashes, case-нетерпимость, буквы устройств, ФС без DAC и стойкое желание всё это насадить всем другим, POSIX-совместимым ОС, а хоть бы и через железных вендоров (см. UEFI), -- не дадут соврать. Из принципа. Чтобы всё, что напишут "Developers, Developers", работало только в Пинде и нигде больше - без переписывания. > по всей ОС раскиданы SUID-утилиты systemd монтирует все разделы (включая автоматические) с nosuid, кроме явно определенных админом в /etc/fstab. См. выхлоп findmnt. Выносим /usr/{bin,lib} в отдельный раздел (или subvolume на Btrfs). Всё остальное монтируем с nosuid. И всё работает. Ничего не сломалось - невероятно! А в /usr/ файлы попадают только из пакетного менеджера, не минуя пары глаз сопроводителя. Утилиты, использующие SUID, в современных системах можно по пальцам двух рук пересчитать. Большинство не нужно пользователю в повседневной работе на предварительно настроенной системе. Для всего остального (обычно пускаемого из-под root) давно используют man 7 capabilities. Находим все SUID-файлы: `# find /usr -type f -perm /u=s,g=s -printf '%M\t%H/%P\n' 2>/dev/null` Блокируем их вызов в программах через AppaArmor/SELinux: "audit deny rwklmx /usr/bin/sudo," Или запускаем программы изолированно через bwrap/flatpak, где получаем "no new privs" при попытке вызвать SUID-программу. Linux capabilities также явно разрешаются через MAC и user namespaces.
	Ответить | Правка | К родителю #128 | Наверх | Cообщить модератору

	159. "Уязвимость в Glibc ld.so, позволяющая получить права root в ..."	+/–
	Сообщение от User (??), 10-Окт-23, 09:44
	>> из принципа не следует стандартам POSIX > Жопslashes, case-нетерпимость, буквы устройств, ФС без DAC и стойкое желание всё это > насадить всем другим, POSIX-совместимым ОС, а хоть бы и через железных > вендоров (см. UEFI), -- не дадут соврать. Из принципа. Чтобы всё, > что напишут "Developers, Developers", работало только в Пинде и нигде больше > - без переписывания. Нууу... вы так говорите, будто в этом POSIX in our days есть хоть что-то хорошее - это даже не говоря о том, что на "posix compilance" linux "in general" никогда и не закладывался )
	Ответить | Правка | Наверх | Cообщить модератору

	160. "Уязвимость в Glibc ld.so, позволяющая получить права root в ..."	+/–
	Сообщение от Аноним (160), 10-Окт-23, 10:04
	Одна только унификация - на вес золота. Много хорошего, за неимением лучшего.
	Ответить | Правка | Наверх | Cообщить модератору

	161. "Уязвимость в Glibc ld.so, позволяющая получить права root в ..."	+/–
	Сообщение от User (??), 10-Окт-23, 10:14
	> Одна только унификация - на вес золота. Много хорошего, за неимением лучшего. Ну вот кушайте posix acl, не обляпайтесь. Ой, а он !внезапно! не часть POSIX. "У" - унификация! "Г"... каквсигда.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема