Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Уязвимость в Glibc ld.so, позволяющая получить права root в системе, opennews (??), 04-Окт-23, (0) [смотреть все] сишники не осилили str split sep , maxsplit 1 , Аноним (1), 00:18 , 04-Окт-23, (1) +11 // https docs gtk org glib func strsplit html, Вы забыли заполнить поле Name (?), 01:20 , 04-Окт-23, (7) –2 // glib это не glibc, Аноня (?), 02:29 , 04-Окт-23, (13) +11 Да не просто Сишники, а те самые деды Эксперты, монстры Отцы-основатели , Аноня (?), 02:27 , 04-Окт-23, (12) –11 // Деды хотя всё возможно - акселерацияА вам лишь бы , Аноним (18), 06:37 , 04-Окт-23, (18) +10 Это он Не сильно на отца-основателя похож https sessionize com siddhesh-poyar, Аноним (18), 06:39 , 04-Окт-23, (19) +7 // Волшебник б , Аноним (31), 07:55 , 04-Окт-23, (31) +18 все честно написано Siddhesh Poyarekar is a toolchain hackerхакер - вот и слома, Аноним (81), 12:20 , 04-Окт-23, (81) +7 А разве не хакер Сломал линухи всей планете и глазом не моргнул Индусский кот , Аноним (102), 16:20 , 04-Окт-23, (102) +4 Так он же индус , Аноним (-), 13:57 , 04-Окт-23, (85) Понаведут смуззеров в глибц , Аноним 80_уровня (ok), 08:09 , 04-Окт-23, (36) Он не смуззер, он индус , Аноним (-), 13:57 , 04-Окт-23, (86) Индус - это диагноз Каким выглядит мир, когда в голове одни танцы , 128557 (?), 16:14 , 31-Янв-24, (165) Это не деды, а понабежавшие пионеры-двоечнеки , Аноним (136), 18:52 , 05-Окт-23, (136) +2 А ты не осилил написать glibc , Аноним (22), 07:00 , 04-Окт-23, (22) +2 Кажется это Python, а в С такого нету вот и неосилили, АнонПапка (?), 08:00 , 04-Окт-23, (32) Действительно крайне нубская ошибка Было вроде в каких-то языках или парсерах, , Пряник (?), 09:50 , 04-Окт-23, (58) // а тут целое ядро и 2 года не могли заметить но ведь тысячи глаз , фнон (?), 10:02 , 04-Окт-23, (62) +1 // И статические анализаторы кода Должны были ещё при коммите заметить сразу , Пряник (?), 10:07 , 04-Окт-23, (64) +3 А разве в ядре есть обязательный стат анализатор Проверка которого была бы необ, Аноним (72), 10:53 , 04-Окт-23, (72) +1 Какое еще ядро, лол - Какого цвета наш учебник - Какой предмет мы сдаем - Во в, Аноним (102), 16:21 , 04-Окт-23, (103) +2 Как вариант - не заметили потому что отвернулись в сторону Я не фанат конспирол, Kuromi (ok), 17:12 , 06-Окт-23, (149) +1 Как часто вижу подобные комментарии Но почему никто не написал ничего на другом, Аноним (110), 18:27 , 04-Окт-23, (110) strstr, uis (??), 12:19 , 06-Окт-23, (145) Это же сколько раз они на одни и те же грабли наступили с переменными окружения , Аноним (3), 00:19 , 04-Окт-23, (3) +7   // Всё как завещали деды https web mit edu simsong www ugh pdfThe Unix concept c, Аноним (31), 08:04 , 04-Окт-23, (34) +2   // AT T - та ещё корпорация зла Позлее гугла в свои времена , InuYasha (??), 17:24 , 05-Окт-23, (135)   ты понимаешь, что если сделать один раз нормально - то больше код трогать не при, фнон (?), 09:27 , 04-Окт-23, (52) +1   Вообще концепция suid напрягает , Пряник (?), 09:51 , 04-Окт-23, (59) +1   // Ну отказаться от этой концепции видимо уже не получится Как вариант обмазать вс, Чи (?), 11:31 , 04-Окт-23, (78)   // SELinux - лишнее звено , Аноним (-), 13:58 , 04-Окт-23, (88)   Почему не отказаться Что из этого нельзя выкинуть А других гнилых бинарей у ме, Аноним (91), 14:29 , 04-Окт-23, (91) –1   Получится, если будет политическая воля Более 20 лет шло балабольство о невозмо, Аноним (111), 18:37 , 04-Окт-23, (111) +1   Эммм POSIX file capabilities , uis (??), 12:24 , 06-Окт-23, (146)   Причем каждый раз когда я пишу про SUID на этом форуме всегда найдется парочка д, Аноним (115), 19:42 , 04-Окт-23, (115) +4   // Просто интересно, а если ли хоть какая-то система где все перечисленное реализов, Анонин (?), 21:14 , 04-Окт-23, (117) +1   Осталось ответить на вопрос ну и вот нахрена это ХОТЬ КОМУ-НИБУДЬ чтоб это само, User (??), 22:21 , 04-Окт-23, (119)   // Вопросы по всем перечисленным пунктам многократно поднимались в списках рассылки, Аноним (115), 12:54 , 05-Окт-23, (129)   gt оверквотинг удален Ну, в общем я и говорю - примерно всем пох Или не пох , User (??), 19:07 , 05-Окт-23, (137)   Получается Windows Но ведь она давно уже есть, зачем изобретать велосипед , Аноним (120), 22:28 , 04-Окт-23, (120)   // Во-первых не просто Windows, а именно Windows NT Внутри Windows есть огромное ко, Аноним (115), 12:18 , 05-Окт-23, (128) +3   Suid не обходит selinux , Аноним (130), 13:05 , 05-Окт-23, (130)   Он не обходит его на этапе работы с контекстом вызываемой утилиты, в том и тольк, Аноним (115), 13:26 , 05-Окт-23, (131)   Жопslashes, case-нетерпимость, буквы устройств, ФС без DAC и стойкое желание всё, Аноним (157), 21:13 , 08-Окт-23, (157)   Нууу вы так говорите, будто в этом POSIX in our days есть хоть что-то хорошее, User (??), 09:44 , 10-Окт-23, (159)   Одна только унификация - на вес золота Много хорошего, за неимением лучшего , Аноним (160), 10:04 , 10-Окт-23, (160)   Ну вот кушайте posix acl, не обляпайтесь Ой, а он внезапно не часть POSIX У, User (??), 10:14 , 10-Окт-23, (161)   Я в реальной жизни встречал баранов, которые выключили SELinux, понаставили ch, Kuromi (ok), 17:21 , 06-Окт-23, (150)   кмк, необходимо и достаточно внимательно аудировать код утилит, требующих 4000 , крокодил мимо.. (?), 18:53 , 08-Окт-23, (156)   Васян решил добавить самописный парсер строк , Аноним (4), 00:49 , 04-Окт-23, (4) +1 // Зато без всяких cargo , morphe (?), 01:00 , 04-Окт-23, (6) +15 // И чего там в карго нету глибс на безопасТном , Аноним (22), 07:01 , 04-Окт-23, (24) –1 Но Раст базируется на libc , мяя (?), 18:42 , 04-Окт-23, (112) // Но только в грезах и фантазиях Военов Супротив Раста man syscalls, Аноним (118), 21:52 , 04-Окт-23, (118) +1 И почему я не удивлён А разве переменные окружения не должны очищаться при запу, Аноним (91), 00:58 , 04-Окт-23, (5) // Очевидно нет, если переменная предполагается для чтения , bergentroll (ok), 07:47 , 04-Окт-23, (29) +2 // А есть какие-то иные переменные окружения , Аноним (113), 18:50 , 04-Окт-23, (113) +1 Debian 11 тоже подвержен уязвимости из-за того, что патч из glibc-2 34 был бэкпо, Аноним (8), 01:20 , 04-Окт-23, (8) +1 // Ubuntu 22 04 - тоже была уязвима, апдейт выпущен, marten (ok), 01:42 , 04-Окт-23, (11) Пушто всякие дебунты это недодистрибутивы, багованые школоподелки В мире остало, СисадминА (?), 07:00 , 04-Окт-23, (23) –3 // Alt очень хорош Ядро без нареканий собирают Завидую У меня норм только 4 19 , еизвестный (?), 15:55 , 04-Окт-23, (100) Slackware отличный , Аноним (130), 19:23 , 05-Окт-23, (138) Скрыто модератором, cheburnator9000 (ok), 01:36 , 04-Окт-23, (9) +4 // Скрыто модератором, ДаНуНафиг (?), 06:42 , 04-Окт-23, (20) –1 Скрыто модератором, Аноним (22), 07:02 , 04-Окт-23, (25) Такого класса дыры нельзя публиковать до устранения , Tron is Whistling (?), 01:40 , 04-Окт-23, (10) +1 // Всё импортозамещение уже взломано , Аноним (22), 07:04 , 04-Окт-23, (26) –3 // Зачем партнёры будут ломать своих агентов, внедрившиз бэкдур в госструктуры , Аноним (77), 11:26 , 04-Окт-23, (77) Американские сервера тоже , Neon (??), 14:51 , 04-Окт-23, (94) Я вчера обнову на дебиан 12 поставил около 10-ти вечера, а новость опубликована , eugener (ok), 08:55 , 04-Окт-23, (43) Сказать, что я в бешенстве - ничего не сказать За один месяц Remote webp, vpxLo, birdie (ok), 03:27 , 04-Окт-23, (14) –3 // Зачем пользователям федоры секюр апдейты подождал неделю и новый релиз , WE (?), 06:21 , 04-Окт-23, (16) +8 make a sign, mos87 (ok), 08:05 , 04-Окт-23, (35) Геройствования работы до 4 утра, мало того что это покрытие чьего-то про кола, э, Аноним (22), 08:22 , 04-Окт-23, (40) +6 // В том-то и дело, что нет у него никакого лайфа , Аноним (116), 19:42 , 04-Окт-23, (116) А зачем тебе возмущаться Это же лучшая ось написанная на божественном языке А н, Анонин (?), 09:31 , 04-Окт-23, (53) +2 Как же это было предсказуемо если знаешь на каком языке библиотека написана , Аноним (120), 05:36 , 04-Окт-23, (15) –1 // Т е если в новости не написать на каком, то это автоматом станет для тебя непре, Аноним (28), 07:39 , 04-Окт-23, (28) +2 // Да низкий уровень образования создаёт причудливые логические связи , Аноним (22), 08:23 , 04-Окт-23, (41) +2 Дружище, если что-то писать на делфи, то с высокой степенью вероятности в коде б, Аноним (120), 22:34 , 04-Окт-23, (121) // Не совсем так Сам питон в минорных версиях ничего не ломает, это скорее из мира, inferrna (ok), 16:13 , 12-Окт-23, (162) trollmode Включи IPv6 и спи спокойно , Аноним (17), 06:33 , 04-Окт-23, (17) +1 Весь, ВЕСЬ код в dl-tunables c написан в стиле дедовское сишное буллшит-бинго ,, Аноним (21), 06:50 , 04-Окт-23, (21) +2 // Так ты это молодой, давай переписывай Критиковать каждый умеет , Аноним (22), 08:12 , 04-Окт-23, (37) // а что лучше критиковать или писать вот такой код , фнон (?), 09:25 , 04-Окт-23, (49) // В твой случае лучше молчать, Аноним (76), 11:12 , 04-Окт-23, (76) +1 Одно другому не мешает , Пряник (?), 09:57 , 04-Окт-23, (61) Деды на пенсии давно А в леггинсы дали молодые опеннет-балаболы, сами-то они бе, Аноним (157), 21:26 , 08-Окт-23, (158) Да что ж это такое, а Этому безобразию настанет когда-нибудь конец или нет , Аноним (27), 07:18 , 04-Окт-23, (27) На Эльбрусах не срабатывает , Аноним (39), 08:13 , 04-Окт-23, (39) +2 // А эти Эльбрусы сейчас с тобой в одной комнате, покажи где ты их трогал , Аноним (45), 09:13 , 04-Окт-23, (45) +1 // и на столе есть и МЦСТ даёт доступ по ssh, погуглите, Аноним (68), 10:42 , 04-Окт-23, (68) +3 // Сначала нужно, чтобы он появился в продаже по сравнимым с интелом и амд ценам По, An (??), 18:00 , 04-Окт-23, (108) Зачем Ты не нужен, сиди и жди халяву дальше , Аноним (152), 18:03 , 06-Окт-23, (152) Ну ок Тогда смотрим на альтернативы x86_64, ARM, RISC-V А вы и дальше сидите в, An (??), 16:36 , 08-Окт-23, (155) А какая версия Glibc там Небось, ещё 2 2x какая-то , Аноним (56), 09:40 , 04-Окт-23, (56) // yukari ls -l lib libc -rwxr-xr-x 1 root root 5265800 июн 7 21 24 lib libc, Аноним (68), 10:43 , 04-Окт-23, (69) // yukari lcc -vlcc 1 26 20 Jun--6-2023 e2k-v4-linuxThread model posixgcc vers, Аноним (68), 10:44 , 04-Окт-23, (70) Емайл автора патча внедрившего ошибку Email siddhesh AT redhat DOT com or , ыы (?), 08:56 , 04-Окт-23, (44) +4 // Засланый казачок , Вы забыли заполнить поле Name (?), 11:52 , 04-Окт-23, (80) Ахаха, ой не могу Это уже которая по счету за этот месяц Просто какой-то месяц , Анонин (?), 09:19 , 04-Окт-23, (47) +5 // Все они умеют вот как бы вы внедряли бэкдур так чтобы его не заметили , ыы (?), 09:23 , 04-Окт-23, (48) +2 Тоесть с апреля 2021 по октябрь 2023 все радетели за обновляемся скорее свежий , ыы (?), 09:25 , 04-Окт-23, (50) // ты конечно был бы прав, если бы не такие от подарки Например CVE-2021-22555 ht, фнон (?), 09:44 , 04-Окт-23, (57) +4 // Тем временем Made public today was CVE-2023-43785 as an out-of-bounds memory acc, Аноним (60), 09:57 , 04-Окт-23, (60) Ого, впечатляет С другой стороны х11 это особый кусок кода Создатели котор, Анонин (?), 10:08 , 04-Окт-23, (65) Дарю для комплекта CVE-2021-3999 Она старше Windows 95 , Аноним (120), 22:40 , 04-Окт-23, (122) Нахождения старых уязвимостей - это хорошо Но вот повторное наступление на граб, Пряник (?), 10:06 , 04-Окт-23, (63) Не, ну я конечно понимаю, что намного приятнее думать что это бекдор, а не обычн, Анонин (?), 09:35 , 04-Окт-23, (54) +1 // - мужики, а спорим я бэкдур внедрю и мне за это ниче не будет - Как - сделаю ви, ыы (?), 09:39 , 04-Окт-23, (55) +1 // Таак, тут какая-то фигня Надо правильно считать размеры буфера Сделаю-ка я это, fuji (?), 10:27 , 04-Окт-23, (66) Закономерный итог Сам язык си и практики, сложившиеся вокруг него, подталкивают, Шарп (ok), 10:52 , 04-Окт-23, (71) +3 // я бы еще добавил стандартная библиотека мало того что написана ногами, так еще, Аноним (72), 11:02 , 04-Окт-23, (73) +2 // Стандартные библиотеки С и С еще и написаны больным на голову Более уродского, Neon (??), 14:55 , 04-Окт-23, (97) +1 Фиг с ней с библиотекой Это что, единственное место в ядре где сплит нужно делат, Анонимусс (?), 11:09 , 04-Окт-23, (75) Жалко только Торвальдс не поменял своего мнения о C , который мог бы ему значит, Аноним (79), 11:46 , 04-Окт-23, (79) // и чем плюсы лучше посмотри сколько cve шек на плюсах и главное какиха там то же , фнон (?), 13:49 , 04-Окт-23, (83) +2 // Только если писать в сишном стиле Современный c 11 обладает множеством сре, Шарп (ok), 14:47 , 04-Окт-23, (93) +1 Верю Но посмотри когда в ядре отказались от с99 напомню это был 2022 Просто п, фнон (?), 15:41 , 04-Окт-23, (98) В 2022 отказались от C89 C99 в ядре никогда не было , Аноним (21), 16:17 , 04-Окт-23, (101) сорян, опечаталсяда, речь про C89оно еще довольно долго обсуждалось тут lore ker, фнон (?), 16:33 , 04-Окт-23, (104) У раста новая версия как часто выходит Стоит ли такое тянуть, если проблемы с п, Вы забыли заполнить поле Name (?), 23:31 , 04-Окт-23, (123) У раста кроме версий, которые выходят раз в 6 недель и являются просто процессом, Анонн (?), 09:41 , 05-Окт-23, (126) +2 Какая-то подмена понятий У современного С выходят новые версии стандарта, кот, Вы забыли заполнить поле Name (?), 19:31 , 05-Окт-23, (139) Нет, это не подмена понятий У плюсов стандарты тоже выходят примерно раз в 3 год, Анонн (?), 20:15 , 05-Окт-23, (140) +1 Ядро по факту монорепозиторий Во всех номральных монорепозиториях жесткая привя, Вы забыли заполнить поле Name (?), 20:18 , 05-Окт-23, (141) Тебе не нужно по компилятору на каждый edition Это ж тебе не сишка Ты можешь з, Анонн (?), 20:30 , 05-Окт-23, (142) Нормальным компилятором С можно собрать код любого стандарта, даже древнейшего, Вы забыли заполнить поле Name (?), 00:49 , 06-Окт-23, (144) Но ты не можешь часть сорцов ядра собрать одним стандартом, а часть - другим А т, Анонн (?), 17:58 , 06-Окт-23, (151) Пока что нет ответа на главный вопрос - зачем , Вы забыли заполнить поле Name (?), 23:25 , 06-Окт-23, (153) +1 Когда-то в отдаленном будущем у editions тоже будет end of life Пока что в докум, Анонн (?), 09:56 , 05-Окт-23, (127) В плюсах тащится совместимость с Си, стало быть, все сишные грабли по-прежнему д, vdb (?), 14:54 , 04-Окт-23, (96) // Ну так в названии что зря поставили С это С старые ошибки новые ошибки, фнон (?), 15:43 , 04-Окт-23, (99) А теперь предлагается вместо хорошо оттестированной реализации библиотек тащить , Аноним (82), 13:43 , 04-Окт-23, (82) –2 // Хахаха, хорошо оттестированной реализации , прекрати человек-петроссян Посмотри, фнон (?), 13:58 , 04-Окт-23, (87) +1 // Матчасть учи, Dirty COW не вв либе был , uis (??), 12:44 , 06-Окт-23, (147) Кто тебе мешает из карго-мусора отобрать нужные тебе в проекте оттестированные к, Аноним (132), 15:53 , 05-Окт-23, (132) Надеюсь, речь не о Расте, который изменяемые в будущем объекты пытается отловить, DildoZilla (?), 17:43 , 04-Окт-23, (106) // Не, речь именно о нем А что вам таки не нравится , Анонин (?), 18:06 , 04-Окт-23, (109) И где все эти кексперты по экономии места посредством отказа от статического свя, Аноним (77), 11:07 , 04-Окт-23, (74) Почитал диффы Ошибка настолько тупейшая, что её никак нельзя назвать ошибкой , ИмяХ (?), 13:50 , 04-Окт-23, (84) –1 // Ты что обвиняешь святое Сообщество в саботаже Оно же непогрешимо и все остальны, Аноним (72), 14:06 , 04-Окт-23, (90) +1 Ну что ты будешь делать Опять каких-то анскильных лалок вместо Настоящих Програ, Аноним (92), 14:30 , 04-Окт-23, (92) У сишников хотя бы есть софт, в котором можно делать уязвимости , Вы забыли заполнить поле Name (?), 14:52 , 04-Окт-23, (95) // у растовиков тоже есть - уже немало кода в последних версиях андроида на декабр, Аноним (132), 16:03 , 05-Окт-23, (133) // Это наглая манипуляция статистикой немало и 21 на С С Сколько из этого ко, Вы забыли заполнить поле Name (?), 16:48 , 05-Окт-23, (134) а почему ни кто не думает что это было сделано специально кто внес изменения и, Tester (??), 17:31 , 04-Окт-23, (105) // А если бы ее нашли лет через 10 кто и зачем вносил изменения в CVE-2021-22555 , Аноним (72), 17:46 , 04-Окт-23, (107) // у тебя может и традиция, у меня это скорей всего сделано специально, и скорей вс, Tester (??), 16:43 , 22-Дек-23, (163) Не очень понял почему ошибка именно в ld so ld so задействован же при запуске т, Аноним (124), 02:54 , 05-Окт-23, (124) А как там российские Астра , Роса и прочие сбер-линуксы, много лет простоят д, Аноним (125), 09:25 , 05-Окт-23, (125) +1 // а разве аудита в RedHat небыло Там и людей протирающих щтаны поболее будет , Tester (??), 16:45 , 22-Дек-23, (164) У меня ничего не произошло, просто выдало --help, Werenter (ok), 11:48 , 02-Фев-24, (166) 1,3,4,5,8,10,14,15,17,21,27,39,44,47,71,74,84,92,95,105,124,125,166

Сообщения

[Сортировка по времени | RSS]

3. "Уязвимость в Glibc ld.so, позволяющая получить права root в ..."	+7 +/–
Сообщение от Аноним (3), 04-Окт-23, 00:19
Это же сколько раз они на одни и те же грабли наступили с переменными окружения в suid-программах? https://www.opennet.dev/28338 https://www.opennet.dev/28390 https://www.opennet.dev/40667 https://www.opennet.dev/46724 https://www.opennet.dev/47722 https://www.opennet.dev/52012
Ответить | Правка | Наверх | Cообщить модератору

	34. "Уязвимость в Glibc ld.so, позволяющая получить права root в ..."	+2 +/–
	Сообщение от Аноним (31), 04-Окт-23, 08:04
	Всё как завещали деды! https://web.mit.edu/~simsong/www/ugh.pdf The Unix concept called SUID, or setuid, raises as many security problems as the superuser concept does. SUID is a built-in security hole that provides a way for regular users to run commands that require special privileges to operate. <...> AT&T was so pleased with the SUID concept that it patented it. The intent was that SUID would simplify operating system design by obviating the need for a monolithic subsystem responsible for all aspects of system secu- rity. Experience has shown that most of Unix's security flaws come from SUID programs.
	Ответить | Правка | Наверх | Cообщить модератору

	135. "Уязвимость в Glibc ld.so, позволяющая получить права root в ..."	+/–
	Сообщение от InuYasha (??), 05-Окт-23, 17:24
	AT&T - та ещё корпорация зла. Позлее гугла в свои времена.
	Ответить | Правка | Наверх | Cообщить модератору

	52. "Уязвимость в Glibc ld.so, позволяющая получить права root в ..."	+1 +/–
	Сообщение от фнон (?), 04-Окт-23, 09:27
	ты понимаешь, что если сделать один раз нормально - то больше код трогать не придется а так еще поколения шышников будут кормиться на исправлении ошибок (вспоминается анекдот про молодого адвоката, который выиграл семейное дело на первом же заседании)
	Ответить | Правка | К родителю #3 | Наверх | Cообщить модератору

	59. "Уязвимость в Glibc ld.so, позволяющая получить права root в ..."	+1 +/–
	Сообщение от Пряник (?), 04-Окт-23, 09:51
	Вообще концепция suid напрягает.
	Ответить | Правка | К родителю #3 | Наверх | Cообщить модератору

	78. "Уязвимость в Glibc ld.so, позволяющая получить права root в ..."	+/–
	Сообщение от Чи (?), 04-Окт-23, 11:31
	Ну отказаться от этой концепции видимо уже не получится. Как вариант обмазать все эти суид бинари правилами selinux в обязательно порядке.
	Ответить | Правка | Наверх | Cообщить модератору

	88. "Уязвимость в Glibc ld.so, позволяющая получить права root в ..."	+/–
	Сообщение от Аноним (-), 04-Окт-23, 13:58
	SELinux - лишнее звено.
	Ответить | Правка | Наверх | Cообщить модератору

	91. "Уязвимость в Glibc ld.so, позволяющая получить права root в ..."	–1 +/–
	Сообщение от Аноним (91), 04-Окт-23, 14:29
	Почему не отказаться? Что из этого нельзя выкинуть? А других гнилых бинарей у меня и нет. /bin/su /bin/passwd /usr/bin/crontab /usr/bin/cgexec /usr/bin/newuidmap /usr/bin/chsh /usr/bin/pkexec /usr/bin/newgrp /usr/bin/gpasswd /usr/bin/nvidia-modprobe /usr/bin/ping /usr/bin/expiry /usr/bin/chage /usr/bin/newgidmap /usr/bin/chfn
	Ответить | Правка | К родителю #78 | Наверх | Cообщить модератору

	111. "Уязвимость в Glibc ld.so, позволяющая получить права root в ..."	+1 +/–
	Сообщение от Аноним (111), 04-Окт-23, 18:37
	Получится, если будет политическая воля. Более 20 лет шло балабольство о невозможности отказа от GIL. Потом пришёл Micro$oft, нанял ключевых разрабов, и в течение года проблема будет решена, а несогласным придётся утереться. Если найдётся корпорация, которая смажет всё деньгами - проблема мигом будет решена. И suid уберут, и программы, которые нужно будет править, либо поправят, либо на свалку истории отправят.
	Ответить | Правка | К родителю #78 | Наверх | Cообщить модератору

	146. "Уязвимость в Glibc ld.so, позволяющая получить права root в ..."	+/–
	Сообщение от uis (??), 06-Окт-23, 12:24
	Эммм... POSIX file capabilities.
	Ответить | Правка | К родителю #78 | Наверх | Cообщить модератору

	115. "Уязвимость в Glibc ld.so, позволяющая получить права root в ..."	+4 +/–
	Сообщение от Аноним (115), 04-Окт-23, 19:42
	Причем каждый раз когда я пишу про SUID на этом форуме всегда найдется парочка долбоящеров, которые будут оборонять эту дрянь и пищать про какой-то там UNIX way!!! Решается эта проблема так: 1) Реализовать полноценные ACL на уровне ядра, а не тот позорный мусор, который опциональный и не работает как надо. 2) Начинайте принудительно и неотключаемо применять ACL ко всем объектам: - файлам - каталогам - сокетам - процессам - потокам - каналам (pipes) 3) Принудительно включить мандатный контроль, работающий поверх тех же ACL, но позволяющий создавать виртуальные объекты доверия, которые могут стать субъектом политики. 4) Вменять Targeted Policy для всего софта, который дистрибутив считает частью базовой системы пространства пользователя, а остальные 9000 пакетов из репозиториев/PPA, ставить в помойку^W /opt 5) Дать утилиты для работы с этим со всем Вместо того, чтобы в прямом смысле слова КАЖДАЯ программа работающая с SUID могла поломать вам систему, просто украдите уже в Windows. Или сделайте лучше, только хватит защищать SUID-бэкдоры, которые раскиданы по всяким линуксам. Причем там ведь даже и патенты все 100 лет как кончились и есть открытые описания стандартов. Microsoft даже пытался это стандартизировать... но  нет. 1) Решается через NT ACL. С натяжкой можно NFSv4 ACL, но лучше сразу взять полнофункциональный вариант 2) Это решает SDDL, который привносит понятие дескриптора безопасности и вменяет DACL и SACL 3) Сделать нужно одну обязательную систему мандатного контроля, а не 2,5 опциональных 4) И политику нужно писать на системы мандатного контроля, а не как в Debian 5) Это самое сложное, потому что нужны не только утилиты настройки, на и пересмотреть целый ряд системных утилит Просто подумайте о том, какие права нужны утилите ping и что произойдет если не дать её работать через ядро. (вы не увидите ни latency ни jitter не посчитаете в юзерспейсе, там цифры будут на порядок отличаться от реальности) Если кто-то спросит, скажите Аноним разрешил скоммуниздить у MS. Прекратите верить в радужных единорогов, фей, барабашек и безопасность Unix с SUID-битами и выключенным мандатным контролем при полном отсутствии ACL, вместо которых в ОС модель прав из 70-х. Я в реальной жизни встречал баранов, которые выключили SELinux, понаставили "chmod 777" и пренебрежительно рассказывают мне о высочайшей безопасности Linux  и про то что Windows на железо им страшно ставить. P.S. И вот только не надо рассказывать мне сказки про безопасность Windows. У нее все проблемы исторически из-за того что почти все пользователи сидят из-под админских учеток и качают из интернета бекдоры, не понимая что они запускают. Если вы дадите любую Ubuntu на такую же целевую аудиторию с ней будет  еще хуже.
	Ответить | Правка | К родителю #3 | Наверх | Cообщить модератору

	117. "Уязвимость в Glibc ld.so, позволяющая получить права root в ..."	+1 +/–
	Сообщение от Анонин (?), 04-Окт-23, 21:14
	Просто интересно, а если ли хоть какая-то система где все перечисленное реализовано, причем правильно, или хотя бы близко к нему? И насколько оно юзерфрендли? Потому что за линуксом сидят не только пользователи с отдельным отделом ИБ, но и обычное юзверье, которому все ваши ACL и политики - китайская грамота.
	Ответить | Правка | Наверх | Cообщить модератору

	119. "Уязвимость в Glibc ld.so, позволяющая получить права root в ..."	+/–
	Сообщение от User (??), 04-Окт-23, 22:21
	Осталось ответить на вопрос "ну и вот нахрена это ХОТЬ КОМУ-НИБУДЬ чтоб это самому делать или хотя бы денег за это заплатить"? И можно в путь.
	Ответить | Правка | К родителю #115 | Наверх | Cообщить модератору

	129. "Уязвимость в Glibc ld.so, позволяющая получить права root в ..."	+/–
	Сообщение от Аноним (115), 05-Окт-23, 12:54
	Вопросы по всем перечисленным пунктам многократно поднимались в списках рассылки ядра, были неоднократные попытки реализовать и Rich ACLs и дескрипторы. Практика показывает, что это не вопрос денег, это вопрос принятия патчей. - Бешенные бараны упираются рогами в землю и не хотят ни применять патчи, ни пользоваться этим, потому что это "как в Windows". Если они узнали бы что разработчики Windows едят еду и пьёт воду, они бы объявили сухую голодовку и сдохли бы в знак протеста. - Тупые овцы не понимают, зачем вообще всё это нужно, потому что не видели задач вне локалкоста. Они прекрасно живут и так, и УМВР и "ви врёти всё". - Религиозные ослы верят в единорогов, гномов и в контейнерную изоляцию, через докер от рута, которая что-то от чего-то защищает через пространства имён. Проблема прежде всего в компетенции...
	Ответить | Правка | Наверх | Cообщить модератору

	137. "Уязвимость в Glibc ld.so, позволяющая получить права root в ..."	+/–
	Сообщение от User (??), 05-Окт-23, 19:07
	>[оверквотинг удален] > - Бешенные бараны упираются рогами в землю и не хотят ни применять > патчи, ни пользоваться этим, потому что это "как в Windows". Если > они узнали бы что разработчики Windows едят еду и пьёт воду, > они бы объявили сухую голодовку и сдохли бы в знак протеста. > - Тупые овцы не понимают, зачем вообще всё это нужно, потому что > не видели задач вне локалкоста. Они прекрасно живут и так, и > УМВР и "ви врёти всё". > - Религиозные ослы верят в единорогов, гномов и в контейнерную изоляцию, через > докер от рута, которая что-то от чего-то защищает через пространства имён. > Проблема прежде всего в компетенции... Ну, в общем я и говорю - примерно всем пох. Или "не пох" в степени недостаточной чтоб хоть что-то в этом направлении сделать. ЕМНИП, NFSv4 acl слабали санки для солярки - и уже оттуда оно оно кои-8-как доползло и до linux'ов - и то не так, чтобы полностью - самбе было надо, они накостылили поверх чего умели и как могли, остальным как было пох - так и осталось.
	Ответить | Правка | Наверх | Cообщить модератору

	120. "Уязвимость в Glibc ld.so, позволяющая получить права root в ..."	+/–
	Сообщение от Аноним (120), 04-Окт-23, 22:28
	> Решается эта проблема так: Получается Windows. Но ведь она давно уже есть, зачем изобретать велосипед?
	Ответить | Правка | К родителю #115 | Наверх | Cообщить модератору

	128. "Уязвимость в Glibc ld.so, позволяющая получить права root в ..."	+3 +/–
	Сообщение от Аноним (115), 05-Окт-23, 12:18
	Во-первых не просто Windows, а именно Windows NT. Внутри Windows есть огромное количество невменяемого наследия DOS/Windows9x даже в современных версиях, которое мешает ей жить и создаёт тонну дырок в безопасности. Понимаете ли в чем дело... Всё что я писал в своем предыдущем длинном посте не распространяется на legacy-компоненты, и это страшная дыра. Просто вдумайтесь (!!!), Spooler - это legacy-компонент из Win9x. Еще раз прочитайте медленно и ужаснитесь: "Вся подсистема печати Windows - наследие DOS/Windows 9x". И она дырявая, потому что предпечатный рендеринг шрифтов GDI-принтера делается модулем ядра GDI (тот самый win32k.sys с его синими экранами), а пользователи могут при подключении к сетевому принтеру по SMB загрузить и установить драйвер (драйвер, Карл!) с внешнего компьютера в обход проверок от лица пользователя с пониженными привилегиями. А я напоминаю, что всякий RICOH и Kyocera не стесняются в кастомизации рендеринга шрифтов и ставят WDM-драйвер уровня ядра, который подменяет стандартную логику работы GDI конкретно с их железками. А еще в Windows настолько страшный Virtual Filesystem (VFS-драйвер), что на нем стоит мораторий на любые изменения в коде. Оно еле-еле работает, потому что с одной стороны оно предполагает, что всё должно быть в UCS-2 (даже не в UTF-16), но при этом должна быть обратная совместимость с 8.3 именованием каталогов и файлов и не только в формате ANSI CP-****, а именно в тех самых IBM-кодировка типа CP866 или CP478. VFS Windows работает настолько плохо, что в общем случае для рекурсивного удаления каталога даже через современный PowerShell требуется целый скрипт учитывающий все legacy-штуки, особенно оформленные ReparsePoint-объекты и очень сбоку прикрученные туда ACE/ACL, потому что изначально-то в DOS всего этого не было. И я еще не начал про SMB1, NetBIOS и прочее наследие IBM, которое застряло в Windows NT ради обратной совместимости, не только с Win9x, но и с OS/2. И это лишь пара примеров... Короче, вам это всё не надо. Вдумайтесь, Microsoft десятилетиями медленно пытается херить эти подсистемы, но там реализация всей этой архитектуры мягко говоря слабоватая. Legacy Windows - это рак, она больна и её десятилетиями лечат вырезая метастазы: - Разделить службы (демоны) от пользовательских процессов (Windows Vista) - Администратор больше не равен по правам Системе. LOCAL SYSTEM = root в Windows. (Windows Vista) - Понизить в правах планировщик задач и сами задачи сделать подконтрольнее (Windows Vista) - Добавить возможность запускать процессы пользователя с пониженными привилегиями относительно прав самого пользователя (Windows 8) - Научить подсистему безопасности тому, что служба может быть запущена с привилегиями ниже пользовательских и не иметь возможности ни работать вне пользовательской сессии, ни к другим пользователям не лезть (Windows 10) Сейчас их безопасники на конференциях в очередной раз поднимают вопросы: 1) Как отобрать у всех админов, чтобы пользователи могли работать без страданий, но при этом в ограниченных сессиях. 2) Пересмотреть реализацию Capabilities в ядре так, чтобы пользователь мог контролировать к каким устройствам запущенное им приложение имеет доступ, а к каким он запретил 3) Как сделать так, чтобы это было не сильно заоверинженирнуто и разработчики этим пользовались, а не пытались обойти. Поймите, там проблем столько, что иногда проще переписать с нуля. Они же так уже делали, когда переходили на WinNT. Во-вторых Windows NT это не 100% оригинальная разработка, а вольная интерпретация архитектуры VMS для x86-чипов. И вот поверх этого всего в сочетании с Win32 народилось много всего. Просто людям (я живьем таких встречал) почему-то кажется, будто есть только UNIX и ему подобные ОС, а Windows она такая единственная протестная, которая из принципа не следует стандартам POSIX и не любит "UNIX way". На самом же деле она написана архитекторами VMS и продолжает развитие другой линейки ОС. Ну возьмите лучшие практики оттуда и примените себе... Microsoft же всегда так делал. Сетевой стек у них сначала писала IBM, потом Cisco, потом они его у BSD взяли, параллельно доробатывая свой NDIS и WFP. Протокол RDP они лицензировали у Citrix, а Hyper-V это порт Xen на Windows причем опять самими же авторами. Не вижу никакой проблемы. > Но ведь она давно уже есть, зачем изобретать велосипед? Windows очень старый трехколесный велосипед с отваливающимся рулём, но третье колесо вроде бы не нужно, но без него никуда не едет, поэтому мы приделаем еще 1 колесо, для плавности, главное чтобы сидеть было комфортно. При этом Linux, это велосипед без руля с квадратными колесами и дилдаком вместо седушки, чтобы при каждом прокручивании педалей пользователь получал специфическое удовольствие. А если ему нужно повернуть, то нужно соскочить, переставить велосипед и только потом ехать в другом направлении (это я про маразм вокруг конфигурирование SELinux и ему подобных решений). На минуточку, SELinux и его контексты это именно то, что реализуется вместо дескрипторов SDDL. А еще он имеет свою собственную эксклюзивную для него реализацию ACE/ACL на уровне ядра. Но всё это бесполезно, потому что по всей ОС раскиданы SUID-утилиты (модель прав из 70-х годов), которые всё это обходят. Что возвращает нас обратно к теме новости. Ну не хотите как в Windows, ну не надо, но сделайте лучше и закопайте чертов SUID, иначе это никогда не кончится. Это тот самый пример уязвимости by design.
	Ответить | Правка | Наверх | Cообщить модератору

	130. "Уязвимость в Glibc ld.so, позволяющая получить права root в ..."	+/–
	Сообщение от Аноним (130), 05-Окт-23, 13:05
	Suid не обходит selinux.
	Ответить | Правка | Наверх | Cообщить модератору

	131. "Уязвимость в Glibc ld.so, позволяющая получить права root в ..."	+/–
	Сообщение от Аноним (115), 05-Окт-23, 13:26
	Он не обходит его на этапе работы с контекстом вызываемой утилиты, в том и только в том случае если есть специально оформленное правило в рамках Targeted Policy. Политика мандатного контроля по умолчанию всегда является таргетированной, она не распространяется на ВСЁ, за исключением единичных случаев, когда в рамках корпоративного использования её вменяют на шаблонизированные рабочие станции и сервера. Он обходит его на этапе запуска. SELinux позволяет существовать возможности неподконтрольного ему поднятия привилегий даже в объявленном и подконтрольном ему контексте. Ну то есть у вас дыра в заборе и двери в доме нарастапашку. Грабители вынесли абсолютно всё из дома, но в сарай не попали, сарай закрыт на ключ. Как-то так... Вот есть отличное видео о том как сейчас работает SELinux: https://www.youtube.com/watch?v=fB2b-lTjCQA
	Ответить | Правка | Наверх | Cообщить модератору

	157. "Уязвимость в Glibc ld.so, позволяющая получить права root в ..."	+/–
	Сообщение от Аноним (157), 08-Окт-23, 21:13
	> из принципа не следует стандартам POSIX Жопslashes, case-нетерпимость, буквы устройств, ФС без DAC и стойкое желание всё это насадить всем другим, POSIX-совместимым ОС, а хоть бы и через железных вендоров (см. UEFI), -- не дадут соврать. Из принципа. Чтобы всё, что напишут "Developers, Developers", работало только в Пинде и нигде больше - без переписывания. > по всей ОС раскиданы SUID-утилиты systemd монтирует все разделы (включая автоматические) с nosuid, кроме явно определенных админом в /etc/fstab. См. выхлоп findmnt. Выносим /usr/{bin,lib} в отдельный раздел (или subvolume на Btrfs). Всё остальное монтируем с nosuid. И всё работает. Ничего не сломалось - невероятно! А в /usr/ файлы попадают только из пакетного менеджера, не минуя пары глаз сопроводителя. Утилиты, использующие SUID, в современных системах можно по пальцам двух рук пересчитать. Большинство не нужно пользователю в повседневной работе на предварительно настроенной системе. Для всего остального (обычно пускаемого из-под root) давно используют man 7 capabilities. Находим все SUID-файлы: `# find /usr -type f -perm /u=s,g=s -printf '%M\t%H/%P\n' 2>/dev/null` Блокируем их вызов в программах через AppaArmor/SELinux: "audit deny rwklmx /usr/bin/sudo," Или запускаем программы изолированно через bwrap/flatpak, где получаем "no new privs" при попытке вызвать SUID-программу. Linux capabilities также явно разрешаются через MAC и user namespaces.
	Ответить | Правка | К родителю #128 | Наверх | Cообщить модератору

	159. "Уязвимость в Glibc ld.so, позволяющая получить права root в ..."	+/–
	Сообщение от User (??), 10-Окт-23, 09:44
	>> из принципа не следует стандартам POSIX > Жопslashes, case-нетерпимость, буквы устройств, ФС без DAC и стойкое желание всё это > насадить всем другим, POSIX-совместимым ОС, а хоть бы и через железных > вендоров (см. UEFI), -- не дадут соврать. Из принципа. Чтобы всё, > что напишут "Developers, Developers", работало только в Пинде и нигде больше > - без переписывания. Нууу... вы так говорите, будто в этом POSIX in our days есть хоть что-то хорошее - это даже не говоря о том, что на "posix compilance" linux "in general" никогда и не закладывался )
	Ответить | Правка | Наверх | Cообщить модератору

	160. "Уязвимость в Glibc ld.so, позволяющая получить права root в ..."	+/–
	Сообщение от Аноним (160), 10-Окт-23, 10:04
	Одна только унификация - на вес золота. Много хорошего, за неимением лучшего.
	Ответить | Правка | Наверх | Cообщить модератору

	161. "Уязвимость в Glibc ld.so, позволяющая получить права root в ..."	+/–
	Сообщение от User (??), 10-Окт-23, 10:14
	> Одна только унификация - на вес золота. Много хорошего, за неимением лучшего. Ну вот кушайте posix acl, не обляпайтесь. Ой, а он !внезапно! не часть POSIX. "У" - унификация! "Г"... каквсигда.
	Ответить | Правка | Наверх | Cообщить модератору

	150. "Уязвимость в Glibc ld.so, позволяющая получить права root в ..."	+/–
	Сообщение от Kuromi (ok), 06-Окт-23, 17:21
	"Я в реальной жизни встречал баранов, которые выключили SELinux, понаставили "chmod 777" и пренебрежительно рассказывают мне о высочайшей безопасности Linux  и про то что Windows на железо им страшно ставить. " Ну разумеется. Потому что безопасность и удобство очень редко идут рука об руку и в какой-то момент любой человек может сказать "да к черту, залолбало разбираться почему Х не запускается или Y валится с ошибкой потому что что-то где-то права не такие как надо (по умолчанию или наоборот)." И тогда в ход идут "три топора" (извините, не удержался). Это чаще всего не баранство, а просто "усталось". По той же самой причине народ прется через рельсы (и попадает регулярно под поезд) когда обходной безопасный путь "всего на килотметр-два длиннее".
	Ответить | Правка | К родителю #115 | Наверх | Cообщить модератору

	156. "Уязвимость в Glibc ld.so, позволяющая получить права root в ..."	+/–
	Сообщение от крокодил мимо.. (?), 08-Окт-23, 18:53
	> Решается эта проблема так: кмк, необходимо и достаточно внимательно аудировать код утилит, требующих 4000.. например, в базе OpenBSD имеем (с инодами в первом столбце): 2125487 -r-sr-xr-x 2 root bin /sbin/ping* 2125487 -r-sr-xr-x 2 root bin /sbin/ping6* 1762855 -r-sr-xr-x 3 root bin /usr/bin/chfn* 1762855 -r-sr-xr-x 3 root bin /usr/bin/chpass* 1762855 -r-sr-xr-x 3 root bin /usr/bin/chsh* 1762610 -r-sr-xr-x 1 root bin /usr/bin/doas* 1762699 -r-sr-xr-x 1 root bin /usr/bin/passwd* 1762769 -r-sr-xr-x 1 root bin /usr/bin/su* 1814401 -r-sr-xr-x 1 root auth /usr/libexec/auth/login_chpass* 1814402 -r-sr-xr-x 1 root auth /usr/libexec/auth/login_lchpass* 1814404 -r-sr-xr-x 1 root auth /usr/libexec/auth/login_passwd* 1814433 -r-sr-xr-x 1 root bin /usr/libexec/lockspool* 1814455 -r-sr-xr-x 1 root bin /usr/libexec/ssh-keysign* 1840372 -r-sr-xr-x 2 root bin /usr/sbin/traceroute* 1840372 -r-sr-xr-x 2 root bin /usr/sbin/traceroute6* итого 11 программ, acl не реализован (за ненадобностью.. хех..), пользуем bsdgroups (то самое, лохматое, конца 70-ых).. ещё один пример - утилита doas, которая появилась "от безысходности", если можно так сказать :)).. другими словами, можно вспомнить профессора Преображенского, объясняющего Борменталю, что порядок должен быть прежде всего в голове..
	Ответить | Правка | К родителю #115 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема