forum.opennet.ru - "Уязвимости в AppArmor, позволяющие получить root-доступ в системе" (49)

"Уязвимости в AppArmor, позволяющие получить root-доступ в системе"

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Уязвимости в AppArmor, позволяющие получить root-доступ в системе"	+/–
Сообщение от opennews (ok), 13-Мрт-26, 13:37
Компания Qualys выявила 9 уязвимостей в системе мандатного управления доступом AppArmor, наиболее опасные из которых позволяют локальному непривилегированному пользователю получить права root в системе, выйти из изолированных контейнеров и обойти ограничения, заданные через AppArmor. Уязвимости получили кодовое имя CrackArmor. CVE-идентификаторы пока не назначены. Успешные примеры повышения привилегий продемонстрированы в Ubuntu 24.04 и Debian 13... Подробнее: https://www.opennet.dev/opennews/art.shtml?num=64984
Ответить \| Правка \| Cообщить модератору

Оглавление

Фикс для бубунты onano etc default grub update-grub, Аноним (4), 13:53 , 13-Мрт-26, (4) +1

Нет apparmor - нет проблем , openssh_user (ok), 14:13 , 13-Мрт-26, (5) +8

Ага, метод от девляпсов, судя по всему , АнонимЯ (?), 14:19 , 13-Мрт-26, (11) +2
И чертов SELinux туда же заберите, kravich (ok), 16:05 , 13-Мрт-26, (62)

Во, в нём архитектурно заложенных дверей куда больше будет, учитывая его родител, Аноним (73), 17:18 , 13-Мрт-26, (73)

Зачем отключать ещё и защиту от Meltdown и Spectre спекулятивных CPU уязвимосте, Аноним (25), 14:44 , 13-Мрт-26, (25) +3

затем что она примерно так же на р не нужна как и апармор , нах. (?), 14:59 , 13-Мрт-26, (34)
Он про домашние десктопы Там оно не нужно На серверах - дело твое уже я бы не, Аноним (49), 15:36 , 13-Мрт-26, (49) +2

И из вкладки с мемами javascript пробивает защиту ОС насквозь Хорошо, что для б, Аноним (25), 15:45 , 13-Мрт-26, (56)

А mitigations off как от этого защитит открыв другие ворота , Аноним (73), 17:00 , 13-Мрт-26, (67)

Не зря люди на 3 ядре сидят , Аноним (7), 14:15 , 13-Мрт-26, (7) –2

Скрыто модератором, Аноним (9), 14:17 , 13-Мрт-26, (9)
зря2 6 рулит, онанист (?), 14:42 , 13-Мрт-26, (24) +1
2017 Год - это не диды, это ты , Аноним (65), 16:33 , 13-Мрт-26, (65)

Никогда такого не было и вот опять Дебианцам же торопиться некуда Сегодня уже п, Аноним (14), 14:22 , 13-Мрт-26, (14)

Так на дебиане же по-умолчанию apparmor отключён , Аноним (16), 14:30 , 13-Мрт-26, (16)

Вы уверены Может вы совсем недавно из криокамеры вышли AppArmor is available in, Аноним (19), 14:34 , 13-Мрт-26, (19) +2

Я тоже из криокамеры, к синтаксису nftables так и не привыкла , Аноним (25), 15:00 , 13-Мрт-26, (36) –1

И к ip вместо ifconfig, Аноним (25), 15:01 , 13-Мрт-26, (38)

Господи, здесь прекрасно абсолютно все и sudo, шлющий эмейлы, и sendmail, запус, Аноним (17), 14:33 , 13-Мрт-26, (17) +3

Сколько не говорят, что поверхность атаки нужно УМЕНЬШАТЬ, а не наоборот - все б, онанист (?), 14:35 , 13-Мрт-26, (20) –1
Ты просто ничего не понимаешь Это же xy UNIХ-way Диды писали, диды старались, , Аноним (-), 14:42 , 13-Мрт-26, (23)
Советую почитать классику UNIX HATERS HANDBOOK Там и про sendmail есть , Аноним (25), 14:45 , 13-Мрт-26, (26)

советую поставить наконец любимую винду и отвалить от юнисов Это не ваше И не ч, нах. (?), 15:00 , 13-Мрт-26, (37) +1

А можно вы со своими юниксами уже отвалите от линукса Ведь он ГНУ, что расшифро, Аноним (47), 15:31 , 13-Мрт-26, (47)

Not Unix, but Unix-like , Аноним (25), 15:36 , 13-Мрт-26, (50)
А когда это линукс стал ГНУ Торвальдс сам говорил, что ни к ГНУ, ни к ФСФ, ни к , Аноним (53), 15:42 , 13-Мрт-26, (53) +1

Когда под линуксом стали понимать не только ядро, но и ОС с gnu coreutils , Аноним (25), 15:43 , 13-Мрт-26, (55) –1

Кто стал Что busybox уже пропал Linux это не GNU lkml org lkml 2006 9 25 161 t, Аноним (59), 15:52 , 13-Мрт-26, (59) +1

Да тот же Debian GNU Linux , Аноним (25), 16:00 , 13-Мрт-26, (61)

Торвальдс пишет Linux не GNU А наpkоманы из деба - пишут что GNU Кому же вер, Аноним (63), 16:06 , 13-Мрт-26, (63)

Обоим - квантовая суперпозиция Guix ещё , Аноним (25), 16:12 , 13-Мрт-26, (64)
Вот когда сделаешь свой дистр со всеми эnими uutils, заменишь GLibc на RsLibc В, Аноним (73), 17:14 , 13-Мрт-26, (72)

Скрыто модератором, нах. (?), 14:55 , 13-Мрт-26, (31) +3
Он использует механизмы ядра и тут причем , Сладкая булочка (?), 17:04 , 13-Мрт-26, (68)

Тут не причём, но использует SUID и является возможной целью уязвимости повышени, Аноним (25), 17:22 , 13-Мрт-26, (74)

Если sudo на дебиане нет - получается уязвимость не сработает , Аноним (16), 14:40 , 13-Мрт-26, (22)

Попутно в Ubuntu выпущены обновления пакетов sudo, sudo-ldap и util-linux в с, Аноним (25), 14:46 , 13-Мрт-26, (27) +1
А новость вы не пробовали читать Успешные примеры повышения привилегий продемон, Аноним (30), 14:52 , 13-Мрт-26, (30)

AppArmor используется в snap Вот и думайте , Сладкая булочка (?), 15:18 , 13-Мрт-26, (42)

Думаю и использую flatpak , Аноним (25), 15:22 , 13-Мрт-26, (44)
Но используется и отдельно Какой вывод может быть сделан 1 аппармор оказался ов, Аноним (45), 15:25 , 13-Мрт-26, (45)

если использовать язык программирования, с которым не надо тщательно обдумывать, Аноним (-), 15:19 , 13-Мрт-26, (43)
Разве профили app_armor в ядро не от рута загружаются , Аноним (58), 15:49 , 13-Мрт-26, (58)
apparmor давно превратился в сгнившее дерьмо В смысле что дока на него неполная, Аноним (58), 15:57 , 13-Мрт-26, (60)
уязвимость эскалации привилегий требующая ввода пароля рута очень боюсь сейчас , Аноним (66), 16:59 , 13-Мрт-26, (66)

Хакир очень удивится когда поймет, что на 11 нет такой проблемы D, Аноним (70), 17:11 , 13-Мрт-26, (70)

Запретить непривилегированным пользователям это делать и все В чем проблема , Сладкая булочка (?), 17:05 , 13-Мрт-26, (69)

Поздно пить Боржоми Тыщеглаз снова не оправдал ожидания , Аноним (70), 17:13 , 13-Мрт-26, (71) –2

Сообщения [Сортировка по ответам | RSS]

4. Сообщение от Аноним (4), 13-Мрт-26, 13:53 +1 +/–

Фикс для бубунты:
$ onano /etc/default/grub
> GRUB_CMDLINE_LINUX_DEFAULT="quiet splash loglevel=0 apparmor=0 mitigations=off"
$ update-grub

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #5, #25, #67

5. Сообщение от openssh_user (ok), 13-Мрт-26, 14:13 +8 +/–

Нет apparmor - нет проблем?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4 Ответы: #11, #62

7. Сообщение от Аноним (7), 13-Мрт-26, 14:15 –2 +/–

> Проблемы присутствуют в LSM-модуле AppArmor начиная с ядра Linux 4.11
Не зря люди на 3.* ядре сидят.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #9, #24, #65

9. Сообщение от Аноним (9), 13-Мрт-26, 14:17 Скрыто ботом-модератором +/–

А в нем дыреней нет? Ты точно проверил?
Может там СИшка другая?
Или диды в те времена не овнокодили?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7

11. Сообщение от АнонимЯ (?), 13-Мрт-26, 14:19 +2 +/–

Ага, метод от девляпсов, судя по всему.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5

14. Сообщение от Аноним (14), 13-Мрт-26, 14:22 +/–

> Исправление также включено в сегодняшние обновления пакетов с ядром для Ubuntu.
> В Debian обновление в процессе подготовки
Никогда такого не было и вот опять.
Дебианцам же торопиться некуда. Сегодня уже пятница, потом выходные, кто же на выходных патчи будет принимать.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #16

16. Сообщение от Аноним (16), 13-Мрт-26, 14:30 +/–

Так на дебиане же по-умолчанию apparmor отключён )

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #14 Ответы: #19

17. Сообщение от Аноним (17), 13-Мрт-26, 14:33 +3 +/–

> Суть метода в том, что при возникновении проблем утилита sudo отправляет администратору письмо, запуская /usr/sbin/sendmail. Блокировав сброс привилегий можно добиться запуска данного процесса с правами root, а выставив перед запуском sudo переменную окружения MAIL_CONFIG можно передать утилите sendmail другие настройки, в том числе указать свой обработчик postdrop, запускаемый при отправке почты.
Господи, здесь прекрасно абсолютно все: и sudo, шлющий эмейлы, и sendmail, запускающий черт знает что по указанию внешних переменных окружения.
Очередное бинго из гениального диловского дизайна. В этот раз еще приправленное приблудой AppArmor (естественно, написанной на топовых технологиях 70х с double free), которая вместо защиты наоборот дает рут. 😂
Сколько не говорят, что поверхность атаки нужно УМЕНЬШАТЬ, а не наоборот - все бестолку. Продолжаем наворачиват новые слои дырявых аппарморов и прочих файрджейлов - и потом делать удивленные глаза. 😧

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #20, #23, #26, #31, #68

19. Сообщение от Аноним (19), 13-Мрт-26, 14:34 +2 +/–

> Так на дебиане же по-умолчанию apparmor отключён )
Вы уверены? Может вы совсем недавно из криокамеры вышли?
AppArmor is available in Debian since Debian 7 "Wheezy".
If you are using Debian 10 "Buster" or newer, AppArmor is enabled by default
wiki.debian.org/AppArmor/HowToUse

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #16 Ответы: #36

20. Сообщение от онанист (?), 13-Мрт-26, 14:35 –1 +/–

Сколько не говорят, что поверхность атаки нужно УМЕНЬШАТЬ, а не наоборот - все бестолку
кто говорит? наоброт обязательно антивирус и тп

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17

22. Сообщение от Аноним (16), 13-Мрт-26, 14:40 +/–

Если sudo на дебиане нет - получается уязвимость не сработает ?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #27, #30

23. Сообщение от Аноним (-), 13-Мрт-26, 14:42 +/–

Ты просто ничего не понимаешь! Это же (xy)UNIХ-way!
Диды писали, диды старались, ты такой неблагодарный на них бочку гонишь...
А ну быстра извынысь!

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17

24. Сообщение от онанист (?), 13-Мрт-26, 14:42 +1 +/–

зря
2.6 рулит

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7

25. Сообщение от Аноним (25), 13-Мрт-26, 14:44 +3 +/–

> mitigations=off
Зачем отключать ещё и защиту от Meltdown и Spectre (спекулятивных CPU уязвимостей)?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4 Ответы: #34, #49

26. Сообщение от Аноним (25), 13-Мрт-26, 14:45 +/–

Советую почитать классику UNIX HATERS HANDBOOK. Там и про sendmail есть!

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17 Ответы: #37

27. Сообщение от Аноним (25), 13-Мрт-26, 14:46 +1 +/–

Попутно в Ubuntu выпущены обновления пакетов sudo, sudo-ldap и **util-linux (в состав входит утилита su)**

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #22

30. Сообщение от Аноним (30), 13-Мрт-26, 14:52 +/–

> Если sudo на дебиане нет - получается уязвимость не сработает ?
А новость вы не пробовали читать?
"Успешные примеры повышения привилегий продемонстрированы в Ubuntu 24.04 и Debian 13"
Значит и без sudo работает.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #22

31. Сообщение от нах. (?), 13-Мрт-26, 14:55 Скрыто ботом-модератором +3 +/–

не хотел бы тебя огорчать, но этот сендмэйл - кого нада сендмэйл.
Безопастный (!) drop-in replacement придуманный кекспертом по безопастносте чтоб вот привиллегии не сбрасывать.
А настоящий - никаких MAIL_CONFIG не умеет.
> В этот раз еще приправленное приблудой AppArmor (естественно, написанной на топовых
> технологиях 70х с double free),
ну ты-то щас напишешь получше? На технологиях 2030х? А, не, не напишешь. Ты ж не умеешь кодить.
(и да, проблема apparmor - что он дерьмо. И by design, и, как видим, by implementation. И это не проблема технологий, а проблема индусов нанятых убунтой за три копейки, вместо того чтобы выпороть как следует американцев, не сумевших переписать работающие профили selinux)

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17

34. Сообщение от нах. (?), 13-Мрт-26, 14:59 +/–

затем что она примерно так же на#р не нужна как и апармор.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #25

36. Сообщение от Аноним (25), 13-Мрт-26, 15:00 –1 +/–

Я тоже из криокамеры, к синтаксису nftables так и не привыкла.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #19 Ответы: #38

37. Сообщение от нах. (?), 13-Мрт-26, 15:00 +1 +/–

советую поставить наконец любимую винду и отвалить от юнисов.
Это не ваше. И не читайте всякое враньше неосиляторов.
Кстати, в ТОМ sendmail - этой уязвимости нет.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #26 Ответы: #47

38. Сообщение от Аноним (25), 13-Мрт-26, 15:01 +/–

И к ip вместо ifconfig

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #36

42. Сообщение от Сладкая булочка (?), 13-Мрт-26, 15:18 +/–

AppArmor используется в snap. Вот и думайте.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #44, #45

43. Сообщение от Аноним (-), 13-Мрт-26, 15:19 +/–

> Показано как получить права root при помощи уязвимостей, вызванных двойным выполнением функции free() и обращением к уже освобождённой области памяти (use‑after‑free)
"если использовать язык программирования, с которым не надо тщательно обдумывать каждую строку, то можно знатно нафакапить" (c)
Они использовали.
И нафаkапили.

Ответить | Правка | Наверх | Cообщить модератору

44. Сообщение от Аноним (25), 13-Мрт-26, 15:22 +/–

Думаю и использую flatpak.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #42

45. Сообщение от Аноним (45), 13-Мрт-26, 15:25 +/–

Но используется и отдельно.
Какой вывод может быть сделан?
1. аппармор оказался овнокодом
2. дырени типичные
3. создателю snapʼа нужно тщательнее выбирать, что использовать в проекте

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #42

47. Сообщение от Аноним (47), 13-Мрт-26, 15:31 +/–

А можно вы со своими юниксами уже отвалите от линукса. Ведь он ГНУ, что расшифровывается как ГНУ НОТ! Юникс.
У вас есть ваши либимые юниксы в виде макоси и бсд. Вот там и городите свои костыли.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #37 Ответы: #50, #53

49. Сообщение от Аноним (49), 13-Мрт-26, 15:36 +2 +/–

Он про домашние десктопы. Там оно не нужно. На серверах - дело твое уже (я бы не отключал).

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #25 Ответы: #56

50. Сообщение от Аноним (25), 13-Мрт-26, 15:36 +/–

Not Unix, but Unix-like.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #47

53. Сообщение от Аноним (53), 13-Мрт-26, 15:42 +1 +/–

> А можно вы со своими юниксами уже отвалите от линукса. Ведь он ГНУ, что расшифровывается как ГНУ НОТ! Юникс.
А когда это линукс стал ГНУ?
Торвальдс сам говорил, что ни к ГНУ, ни к ФСФ, ни к бороде его проект отношения не имеет.
> У вас есть ваши либимые юниксы в виде макоси и бсд. Вот там и городите свои костыли.
Погоди.
Если в линуксе не нужно, то зачем пuнгвинятники тащат чужие изобретения к себе?
Часом не по причине скудоyмия и кpивых pук?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #47 Ответы: #55

55. Сообщение от Аноним (25), 13-Мрт-26, 15:43 –1 +/–

Когда под линуксом стали понимать не только ядро, но и ОС с gnu coreutils.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #53 Ответы: #59

56. Сообщение от Аноним (25), 13-Мрт-26, 15:45 +/–

И из вкладки с мемами javascript пробивает защиту ОС насквозь. Хорошо, что для браузеров нету mitigations=off.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #49

58. Сообщение от Аноним (58), 13-Мрт-26, 15:49 +/–

Разве профили app_armor в ядро не от рута загружаются?

Ответить | Правка | Наверх | Cообщить модератору

59. Сообщение от Аноним (59), 13-Мрт-26, 15:52 +1 +/–

> Когда под линуксом стали понимать не только ядро, но и ОС с gnu coreutils.
Кто стал))?
Что busybox уже пропал?
Linux это не GNU.
lkml.org/lkml/2006/9/25/161
"the fact that rms and the FSF has tried to paint Linux as a GNU project (going as far as trying to rename it "GNU/Linux" at every opportunity they get) is their confusion, not ours."

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #55 Ответы: #61

60. Сообщение от Аноним (58), 13-Мрт-26, 15:57 +/–

apparmor давно превратился в сгнившее дерьмо. В смысле что дока на него неполная. К тому же дока не поспевает за изменениями в самом apparmor, а её репозиторий (вики на гитлабе) представляет из себя какое-то месиво, которое читать невозможно. Этот apparmor давно пора выкинуть и на landlock заменить. У Салауна хотя-бы ума хватило допереть, что профили аппармора не могут сандбоксить приложения, ибо к чему доступ разрешать - это зависит от обрабатываемых приложением данных. Напр если приложению передан аргумент командной строки, указывающий на файл, то к этому файлу нужно доступ разрешить, что совсем не значит, что к другим файлам с тем же расширением надо разрешать доступ хотя-бы на чтение, потому что кто его знает, может в том файле эксплоит, который инфу из других файлов стырит, в себя запишет, а юзер его перешлёт коллеге, от которого получил, вместе с контейнером, в котором по другим контрагентам инфа.

Ответить | Правка | Наверх | Cообщить модератору

61. Сообщение от Аноним (25), 13-Мрт-26, 16:00 +/–

Да тот же Debian GNU/Linux.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #59 Ответы: #63

62. Сообщение от kravich (ok), 13-Мрт-26, 16:05 +/–

И чертов SELinux туда же заберите

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5 Ответы: #73

63. Сообщение от Аноним (63), 13-Мрт-26, 16:06 +/–

> Да тот же Debian GNU/Linux.
Торвальдс пишет "Linux не GNU". А наpkоманы из деба - пишут что GNU.
Кому же верить?!
Покажите еще какие-то дистры, которые GNU/Linux.
Я знаю только совсем отбитые, вроде Dragora, Hyperbola, Parabola.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #61 Ответы: #64, #72

64. Сообщение от Аноним (25), 13-Мрт-26, 16:12 +/–

Обоим - квантовая суперпозиция!
Guix ещё.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #63

65. Сообщение от Аноним (65), 13-Мрт-26, 16:33 +/–

>Может там СИшка другая?
>Или диды в те времена не овнокодили?
2017 Год - это не диды, это ты!

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7

66. Сообщение от Аноним (66), 13-Мрт-26, 16:59 +/–

"уязвимость эскалации привилегий требующая ввода пароля рута"
очень боюсь сейчас взломают

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #70

67. Сообщение от Аноним (73), 13-Мрт-26, 17:00 +/–

А mitigations=off как от этого защитит (открыв другие ворота)?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4

68. Сообщение от Сладкая булочка (?), 13-Мрт-26, 17:04 +/–

> прочих файрджейлов
Он использует механизмы ядра и тут причем?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17 Ответы: #74

69. Сообщение от Сладкая булочка (?), 13-Мрт-26, 17:05 +/–

> Проблемы вызваны наличием в AppArmor фундаментальной уязвимости класса "обманутый посредник" ("confused-deputy"), позволяющей непривилегированным пользователям загружать, заменять и удалять произвольные профили AppArmor.
Запретить непривилегированным пользователям это делать и все? В чем проблема?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #71

70. Сообщение от Аноним (70), 13-Мрт-26, 17:11 +/–

Хакир очень удивится когда поймет, что на 11 нет такой проблемы. D

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #66

71. Сообщение от Аноним (70), 13-Мрт-26, 17:13 –2 +/–

Поздно пить Боржоми. Тыщеглаз снова не оправдал ожидания.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #69

72. Сообщение от Аноним (73), 13-Мрт-26, 17:14 +/–

Вот когда сделаешь свой дистр со всеми эnими uutils, заменишь GLibc на RsLibc. Вот тогда твой дистр будет не GNU. А Musl не полная замена, попробуй проприетарные блобы под не позапускать, некоторые скажут, что у тебя несовместимая версия glibc.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #63

73. Сообщение от Аноним (73), 13-Мрт-26, 17:18 +/–

Во, в нём архитектурно заложенных дверей куда больше будет, учитывая его родителя.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #62

74. Сообщение от Аноним (25), 13-Мрт-26, 17:22 +/–

Тут не причём, но использует SUID и является возможной целью уязвимости повышения привилегий в будущем (или уже).

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #68

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2026 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

4. Сообщение от Аноним (4), 13-Мрт-26, 13:53	+1 +/–
Фикс для бубунты: $ onano /etc/default/grub > GRUB_CMDLINE_LINUX_DEFAULT="quiet splash loglevel=0 apparmor=0 mitigations=off" $ update-grub
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #5, #25, #67

5. Сообщение от openssh_user (ok), 13-Мрт-26, 14:13	+8 +/–
Нет apparmor - нет проблем?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #4 Ответы: #11, #62

7. Сообщение от Аноним (7), 13-Мрт-26, 14:15	–2 +/–
> Проблемы присутствуют в LSM-модуле AppArmor начиная с ядра Linux 4.11 Не зря люди на 3.* ядре сидят.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #9, #24, #65

9. Сообщение от Аноним (9), 13-Мрт-26, 14:17 Скрыто ботом-модератором	+/–
А в нем дыреней нет? Ты точно проверил? Может там СИшка другая? Или диды в те времена не овнокодили?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #7

11. Сообщение от АнонимЯ (?), 13-Мрт-26, 14:19	+2 +/–
Ага, метод от девляпсов, судя по всему.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #5

14. Сообщение от Аноним (14), 13-Мрт-26, 14:22	+/–
> Исправление также включено в сегодняшние обновления пакетов с ядром для Ubuntu. > В Debian обновление в процессе подготовки Никогда такого не было и вот опять. Дебианцам же торопиться некуда. Сегодня уже пятница, потом выходные, кто же на выходных патчи будет принимать.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #16

16. Сообщение от Аноним (16), 13-Мрт-26, 14:30	+/–
Так на дебиане же по-умолчанию apparmor отключён )
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #14 Ответы: #19

17. Сообщение от Аноним (17), 13-Мрт-26, 14:33	+3 +/–
> Суть метода в том, что при возникновении проблем утилита sudo отправляет администратору письмо, запуская /usr/sbin/sendmail. Блокировав сброс привилегий можно добиться запуска данного процесса с правами root, а выставив перед запуском sudo переменную окружения MAIL_CONFIG можно передать утилите sendmail другие настройки, в том числе указать свой обработчик postdrop, запускаемый при отправке почты. Господи, здесь прекрасно абсолютно все: и sudo, шлющий эмейлы, и sendmail, запускающий черт знает что по указанию внешних переменных окружения. Очередное бинго из гениального диловского дизайна. В этот раз еще приправленное приблудой AppArmor (естественно, написанной на топовых технологиях 70х с double free), которая вместо защиты наоборот дает рут. 😂 Сколько не говорят, что поверхность атаки нужно УМЕНЬШАТЬ, а не наоборот - все бестолку. Продолжаем наворачиват новые слои дырявых аппарморов и прочих файрджейлов - и потом делать удивленные глаза. 😧
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #20, #23, #26, #31, #68

19. Сообщение от Аноним (19), 13-Мрт-26, 14:34	+2 +/–
> Так на дебиане же по-умолчанию apparmor отключён ) Вы уверены? Может вы совсем недавно из криокамеры вышли? AppArmor is available in Debian since Debian 7 "Wheezy". If you are using Debian 10 "Buster" or newer, AppArmor is enabled by default wiki.debian.org/AppArmor/HowToUse
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #16 Ответы: #36

20. Сообщение от онанист (?), 13-Мрт-26, 14:35	–1 +/–
Сколько не говорят, что поверхность атаки нужно УМЕНЬШАТЬ, а не наоборот - все бестолку кто говорит? наоброт обязательно антивирус и тп
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #17

22. Сообщение от Аноним (16), 13-Мрт-26, 14:40	+/–
Если sudo на дебиане нет - получается уязвимость не сработает ?
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #27, #30

23. Сообщение от Аноним (-), 13-Мрт-26, 14:42	+/–
Ты просто ничего не понимаешь! Это же (xy)UNIХ-way! Диды писали, диды старались, ты такой неблагодарный на них бочку гонишь... А ну быстра извынысь!
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #17

24. Сообщение от онанист (?), 13-Мрт-26, 14:42	+1 +/–
зря 2.6 рулит
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #7

25. Сообщение от Аноним (25), 13-Мрт-26, 14:44	+3 +/–
> mitigations=off Зачем отключать ещё и защиту от Meltdown и Spectre (спекулятивных CPU уязвимостей)?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #4 Ответы: #34, #49

26. Сообщение от Аноним (25), 13-Мрт-26, 14:45	+/–
Советую почитать классику UNIX HATERS HANDBOOK. Там и про sendmail есть!
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #17 Ответы: #37

27. Сообщение от Аноним (25), 13-Мрт-26, 14:46	+1 +/–
Попутно в Ubuntu выпущены обновления пакетов sudo, sudo-ldap и util-linux (в состав входит утилита su)
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #22

30. Сообщение от Аноним (30), 13-Мрт-26, 14:52	+/–
> Если sudo на дебиане нет - получается уязвимость не сработает ? А новость вы не пробовали читать? "Успешные примеры повышения привилегий продемонстрированы в Ubuntu 24.04 и Debian 13" Значит и без sudo работает.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #22

31. Сообщение от нах. (?), 13-Мрт-26, 14:55 Скрыто ботом-модератором	+3 +/–
не хотел бы тебя огорчать, но этот сендмэйл - кого нада сендмэйл. Безопастный (!) drop-in replacement придуманный кекспертом по безопастносте чтоб вот привиллегии не сбрасывать. А настоящий - никаких MAIL_CONFIG не умеет. > В этот раз еще приправленное приблудой AppArmor (естественно, написанной на топовых > технологиях 70х с double free), ну ты-то щас напишешь получше? На технологиях 2030х? А, не, не напишешь. Ты ж не умеешь кодить. (и да, проблема apparmor - что он дерьмо. И by design, и, как видим, by implementation. И это не проблема технологий, а проблема индусов нанятых убунтой за три копейки, вместо того чтобы выпороть как следует американцев, не сумевших переписать работающие профили selinux)
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #17

34. Сообщение от нах. (?), 13-Мрт-26, 14:59	+/–
затем что она примерно так же на#р не нужна как и апармор.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #25

36. Сообщение от Аноним (25), 13-Мрт-26, 15:00	–1 +/–
Я тоже из криокамеры, к синтаксису nftables так и не привыкла.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #19 Ответы: #38

37. Сообщение от нах. (?), 13-Мрт-26, 15:00	+1 +/–
советую поставить наконец любимую винду и отвалить от юнисов. Это не ваше. И не читайте всякое враньше неосиляторов. Кстати, в ТОМ sendmail - этой уязвимости нет.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #26 Ответы: #47

38. Сообщение от Аноним (25), 13-Мрт-26, 15:01	+/–
И к ip вместо ifconfig
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #36

42. Сообщение от Сладкая булочка (?), 13-Мрт-26, 15:18	+/–
AppArmor используется в snap. Вот и думайте.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #44, #45

43. Сообщение от Аноним (-), 13-Мрт-26, 15:19	+/–
> Показано как получить права root при помощи уязвимостей, вызванных двойным выполнением функции free() и обращением к уже освобождённой области памяти (use‑after‑free) "если использовать язык программирования, с которым не надо тщательно обдумывать каждую строку, то можно знатно нафакапить" (c) Они использовали. И нафаkапили.
Ответить \| Правка \| Наверх \| Cообщить модератору

44. Сообщение от Аноним (25), 13-Мрт-26, 15:22	+/–
Думаю и использую flatpak.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #42

45. Сообщение от Аноним (45), 13-Мрт-26, 15:25	+/–
Но используется и отдельно. Какой вывод может быть сделан? 1. аппармор оказался овнокодом 2. дырени типичные 3. создателю snapʼа нужно тщательнее выбирать, что использовать в проекте
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #42

47. Сообщение от Аноним (47), 13-Мрт-26, 15:31	+/–
А можно вы со своими юниксами уже отвалите от линукса. Ведь он ГНУ, что расшифровывается как ГНУ НОТ! Юникс. У вас есть ваши либимые юниксы в виде макоси и бсд. Вот там и городите свои костыли.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #37 Ответы: #50, #53

49. Сообщение от Аноним (49), 13-Мрт-26, 15:36	+2 +/–
Он про домашние десктопы. Там оно не нужно. На серверах - дело твое уже (я бы не отключал).
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #25 Ответы: #56

50. Сообщение от Аноним (25), 13-Мрт-26, 15:36	+/–
Not Unix, but Unix-like.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #47

53. Сообщение от Аноним (53), 13-Мрт-26, 15:42	+1 +/–
> А можно вы со своими юниксами уже отвалите от линукса. Ведь он ГНУ, что расшифровывается как ГНУ НОТ! Юникс. А когда это линукс стал ГНУ? Торвальдс сам говорил, что ни к ГНУ, ни к ФСФ, ни к бороде его проект отношения не имеет. > У вас есть ваши либимые юниксы в виде макоси и бсд. Вот там и городите свои костыли. Погоди. Если в линуксе не нужно, то зачем пuнгвинятники тащат чужие изобретения к себе? Часом не по причине скудоyмия и кpивых pук?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #47 Ответы: #55