Раскрыта (http://seclists.org/oss-sec/2015/q4/410) информация о серии уязвимостей (CVE-2015-5273 (https://access.redhat.com/security/cve/CVE-2015-5273), CVE-2015-5287 (https://access.redhat.com/security/cve/CVE-2015-5287)) в подсистеме ABRT (https://github.com/abrt/abrt/wiki/), применяемой в дистрибутивах Red Hat Enterprise Linux, CentOS и Fedora для организации автоматического выявления проблем и отправки уведомлений о крахах приложений. Уязвимости позволяют непривилегированному пользователю получить доступ к выполнению команд от имени пользователя root.Проблемы проявляются в конфигурации по умолчанию в CentOS 7.1, Fedora 22 и RHEL 7.0/7.1 (в RHEL/CentOS 6.x требуются специфичные настройки). Уязвимости вызваны некорректной обработкой символических ссылок при создании временных файлов. Исправления с устранением уязвимостей уже выпущены для пользователей дистрибутивов в свежих обновлениях пакетов abrt и libreport. Для каждой из уязвимостей опубликован (http://seclists.org/oss-sec/2015/q4/410) рабочий эксплоит.
URL: http://seclists.org/oss-sec/2015/q4/410
Новость: http://www.opennet.me/opennews/art.shtml?num=43423
золотое правило "не тащи в систему ненужного хлама" в очередной раз подтвердило свою значимость
Действительно, зачем разработчикам знать о проблемах в своих продуктах. Автоматизированные отчёты какие-то.. ишь, навыдумывали!
> Действительно, зачем разработчикам знать о проблемах в своих продуктах. Автоматизированные
> отчёты какие-то.. ишь, навыдумывали!http://www.rusdoc.ru/material/os/win/clock/01.jpg
твоя мечта, и мечта таких как ты вантузятников, с svchost.exe вместо линукса
> золотое правило "не тащи в систему ненужного хлама" в очередной раз подтвердило
> свою значимостьABRT вместе с SELinux очень полезная и удобная штука, для выявления и последующего решения проблем. Так я выяснил, что Chrome зачем-то хочет получить доступ к /etc/passwd и получил от abrt варианты действий по этому событию. Так что не надо нагнетать, уязвимость обнаружена и исправлена. Думаю, что тут обсуждать больше нечего.
selinux — полезная, а без сабжа редхет и так репорты принимает без проблем, и даже фиксит, не спросив про этот абрт. А именно ты, если бы был линуксоидом, а не вантузотерпилой, то обошёлся бы strace
В серьёзную организацию на полный рабочий день требуется запускатель strace.
Ага, а еще касперский антивирус, нахрен ваще баги фиксить тут и там, надо забить, а антивирус пусть защищает систему. А то, что такие "защитники" сами являются источниками половины проблем мы вспоминать не станем, и про то как они ломают привычные и простые вещи, типа - закинуть ключ .ssh, или скопипастить конфиг, или перенести папку с бд, теперь еще надо мудохаться с экстендед атрибутами, - страусиная политика - прятаться от багов за табличками с разрешениями, вместо исправления багов.
> ABRT вместе с SELinux очень полезная и удобная штука, для выявления и последующего решения проблем. Так я выяснил, что Chrome зачем-то хочет получить доступ к /etc/passwd и получил от abrt варианты действий по этому событию. Так что не надо нагнетать, уязвимость обнаружена и исправлена. Думаю, что тут обсуждать больше нечего.+1. Юзаю в генту. Очень полезная штука - получать данные о проблеме в виде полного отчета по состоянию системы.
> Chrome зачем-то хочет получить доступ к /etc/passwdваша паранойя поражает, почитайте уже про NSS (Name Service Switch)...
> зачем-то хочет получить доступ к /etc/passwdесть еще один популярный вирус - `ls -l`, он собака каждый раз лезет к /etc/passwd :)))
А чем вас не устраивает setroubleshoot-server, который генерирует вменяемые уведомления в /var/log/messages? Зачем вам ABRT-то?..
не удивился этому, если брать в расчет брать тикеты в github репозитарии, а что творилось в fedorahosted.org/abrt просто помойка...
На базе чего делают суперзащищенную национальную ОС? Кто там выбирал и продвигал? Ну смех же! Брать детище коммерческой компании, для "суперзащиты", когда есть вполне годные свободные альтернативы. Лень допиливать или другие интересы. А скорее всего пыль в глаза, и пысесос отмымочный.
> Лень допиливать или другие интересы.Известно такое: http://m.cnews.ru/news/top/minkomsvyazi_zasekretilo_russkuyu...
>> Лень допиливать или другие интересы.
> Известно такое: http://m.cnews.ru/news/top/minkomsvyazi_zasekretilo_russkuyu...Это пять!:
> Владимир Путин, отмечает, что закрытие своих разработок присуще корпорациям, которые «стремятся не допускать потребителей этих технологий к тому, что можно назвать технологическим ядром. А это не только опытные разработки — это и полный цикл обслуживания технологий. Покупатель, таким образом, попадает не только в технологическую, но и в экономическую зависимость от поставщика».
Я сполз по стул :)))))
Н-да... работа со временными каталогами и симлинками -- классы проблем, которым в альте уделялось особое внимание ещё в начале века. До сих пор помогает.Среди прочего: http://altlinux.org/pam_mktemp
Уже не раз сталкивался, и вот опять повод. Вот в альте есть некая системная управлялка, типа etcnet или вот этот pam_mktemp. И в других дистрибутивах есть или аналоги или другие системные управлялки по разным вопросам.Этот разброд немного напрягает. Из серии: как по телефону объяснить человеку, как поднять второй eth интерфейс со статикой: тут тебе и "устаревший" ifconfig и ip, которые только в runtime. И дебиановский /etc/network/interfaces и шапочный /etc/sysconfig/network-scripts, networkmanager и еще куча всего разношерстного.
Оффтоп конечно, звиняйте.
Всегда остается универсальный костыль /etc/rc.local
Надо было его и оставлять, а всяких нехороших личностей, захламляющих /etc - убивать. Перечислить в нем (и в rc.d/*) все возможные параметры и закомментить, как в конфиге ядра. Кажись, в BSD так.
Не всегда: для SUSE придётся объяснять, как сделать rc.local ;)
иронично:)
Не работает CentOS Linux release 7.1.1503 (Core)-bash-4.2$ ./abrt-centos-fedora.py
....
executing crashing process..
could not modify /proc/sys/kernel/modprobe
-bash-4.2$
