Несколько новых уязвимостей:- В открытом пакете 3D-моделирования Blender найдена уязвимость (http://www.coresecurity.com/content/blender-scripting-injection), позволяющая злоумышленнику организовать выполнение произвольного Python скрипта, при открытии файла проекта ".blend". Уязвимость подтверждена в версии Blender 2.49b и более ранних, обновление с исправлением пока не выпущено;
- Вышла новая версия сисетемы печати CUPS 1.4.2 (http://www.cups.org/articles.php?L590), в которой устранены две уязвимости (http://www.vupen.com/english/advisories/2009/3177). Web-интерфейс CUPS подвержен (http://www.cups.org/str.php?L3367) межсайтовому скриптингу (пример: http://127.0.0.1:631/admin/?kerberos=onmouseover=alert(1)&kerberos) и возможности (http://www.cups.org/str.php?L3367) подстановки злоумышленником HTTP заголовков;
- В корректирующем выпуске (http://lists.gnu.org/archive/html/grub-devel/2009-11/msg0007...) менеджера загрузки GRUB 1.97.1 (http://www.gnu.org/software/grub/g...
URL: http://www.coresecurity.com/content/blender-scripting-injection
Новость: http://www.opennet.me/opennews/art.shtml?num=24190
>системы аутентификации по паролюПросто раньше неправильно называлось. Было "запуск по настраиваемой угадай-кнопке", а теперь оно аутентификация по паролю )
да кому она вообще нафиг нужна?
итак этих паролей для параноиков понаставили - закачаешься!
биос, граб, монтирование по паролю/ключу,..... толку то.
А за этот GRUB и руки оторвать мало, был полтора, чем мешал?
Из граба почти систему сделали.
Дык, родной, старая версия до сих пор доступна - пользуйся сколько душе угодна.
Можешь не бояться - тебя за это даже никто не побьёт :-DПо теме: я видел этот код!
Make me unseen it!!!
Автору надо в судебном порядке запретить использовать что-либо сложне калькулятора на следующие пять лет - во имя общественно безопасности!
На компе стоят 2 системы FreeBSD 8.0RC2 и Ubuntu 9.10
только что обновил Ubuntu, попросила перезагрузиться и ....
Граб отказался грузить Ubuntu, грузится только FreeBSD,
Так я давно не смеялся.
С какой версии обновлял? У меня тоже так было. GRUB, установленный в Ubuntu 7.10, спокойно загружает Ubuntu 8.04 и не хочет загружать Ubuntu 8.10, 9.04 и 9.10! Любые другие дистрибутивы загружаются им. А для этиж трёх я создал второй GRUB. Гемморой неимоверный, старый переустанавливать лень. Создал раздел NTFS в 15 гигабайт и установил Ubuntu 8.10 туда из Windows, а в уже его GRUB вписал остальные неработавшие.
У меня стояла 9.10 с нуля с грабом и FreeBSD была прописана в загрузку.
Я не систему обновлял, а пакеты, ядро обновилось и вроде граб, около 30 метров.
При загрузке появляется надпись GRUB и сразу FreeBSD грузится,
пытался прервать загрузку, что-бы GRUB в меню вывалился, не хочет и всё.
>У меня стояла 9.10 с нуля с грабом и FreeBSD была прописана
>в загрузку.
>Я не систему обновлял, а пакеты, ядро обновилось и вроде граб, около
>30 метров.
>При загрузке появляется надпись GRUB и сразу FreeBSD грузится,
>пытался прервать загрузку, что-бы GRUB в меню вывалился, не хочет и всё.
>загрузись с livecd , поправь конфиг груба относительно таймаута
Уже восстановил, не в этом проблема, а в поведении Граба.
>Создал раздел NTFS в 15 гигабайт и установил Ubuntu 8.10 туда
>из Windows, а в уже его GRUB вписал остальные неработавшие.Есть соблазн запостить это в какие-нибудь цитатники, ибо вы нереально жжоте.
>На компе стоят 2 системы FreeBSD 8.0RC2 и Ubuntu 9.10А что, boot0, установленный в MBR из FreeBSD, не сможет загрузить какую-то Ubuntu? Ведь WindowsXP им грузится.
>Ubuntu? Ведь WindowsXP им грузится.Вы, кстати тоже отжигаете вполне достойно цитатников :)
>>На компе стоят 2 системы FreeBSD 8.0RC2 и Ubuntu 9.10
>
>А что, boot0, установленный в MBR из FreeBSD, не сможет загрузить какую-то
>Ubuntu? Ведь WindowsXP им грузится.Можно, но нельзя!! Проще Граб использовать.
> итак этих паролей для параноиков понаставили - закачаешься!Дык это... насильно же не заставляют юзать? А если кому хочется - почему это надо запретить? Иногда может быть полезно. А вот дыра в проверке пароля - смешная :D
Странный идиотизм о Blender
То что Blend файлы можно сделать с автоматически исполняемым кодом давно не секрет
и даже используется как фича
Нафига ее исправлять?????
Просто запускать блендер надо из под отдельного юзера, тогда он не сможет напортачить.Я про это тоже давно знаю, но думал что это фича...
>Я про это тоже давно знаю, но думал что это фича...Безусловно, это фича, позволяющая например стереть вам все файло во всех каталогах куда вы можете писать. А также запустить прикольного спамбота, ддосер или что там еще :).Вот только с моей точки зрения это скорее называется "security problem" т.к. позволяет некисло поиметь обладателя оной фичи любому кто ему пришлет "анимацию в блендере". По факту - хуже запускать только неизвестно чей бинарник. Хотя не хуже, однохренственно.
>Странный идиотизм о Blender
>То что Blend файлы можно сделать с автоматически исполняемым кодом давно не
>секретДа, давайте я вам автоматически rm -rf запущу для прикола?Также неплохая идея запустить небольшой проксик, спамер и ддосер на радость хакерам и умыкнуть пароли до которых дотянулись :).Совсем никаих проблем :D.
Накой чйорд тебе впились захэшированные пароли? Что, будешь устраивать на них брут-форс-атаку?
>Накой чйорд тебе впились захэшированные пароли?Это не лечится. Скажите, а в всяких там браузерах, IM и прочая - у вас пароли тоже хешированные? И, конечно, пачка свистнутых чатов, писем, фото, документов, ... и прочая вас тоже не напряжет? А то ведь их тоже можно для профилактики braindead-ства умыкнуть. Или у вас ничего ценнее порно в вашем хомяке - нет? Ну тогда можно хотя-бы поспамить хардкорненько, с паршивого бота хоть какой-то да толк. Спамерье хотя-бы наварится, ну а заспамленые ессно будут рвать на куски вашего ISP, который в принципе может и отключить проблемного клиента. Особенно приятно будет если отключат в аккурат когда вам что-то позарез надо было.
Вообще - если вы такой храбрый, заинстальте ssh и скажите нам всем айпишник, логин и пасс вашего юзверя под которым вы сидите. Уровень доступа к вашей системе - совершенно эквивалентный, только чуть менее через задницу :).
Аминь с вами, любитель запускать на своем компе всякую хрень!
Или может теперь любой исполняемый файл считается уязвимостью ОС?
Опять дебиан, и безопастность. ....
сто пудов там функция типа strcmp() вместо strncmp()
не, там все круче. у них же свое все, чтоб libc не тащить:int
grub_auth_strcmp (const char *user_input, const char *template)
{
int ok = 1;
const char *ptr1, *ptr2;
for (ptr1 = user_input, ptr2 = template; *ptr1; ptr1++)
if (*ptr1 == (ptr2 ? *ptr2 : ptr1[1]) && ok && ptr2 != NULL)
ptr2++;
else
ok = 0;return !ok;
}Ы!