URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 70630
[ Назад ]

Исходное сообщение
"Критические уязвимости в Samba и Adobe Flash Player"

Отправлено opennews , 14-Сен-10 23:28 
В результате аудита кода проекта Samba, проведенного одним из инженеров компании Cisco, во всех поддерживаемых ветках  Samba 3.x обнаружена (http://news.samba.org/) критическая уязвимость (http://www.samba.org/samba/security/CVE-2010-3069), теоретически позволяющая удаленному неаутентифицированному злоумышленнику выполнить свой код на сервере. Проблема вызвана некорректной проверкой в функции sid_parse()  параметра, указывающего на размер буфера, отводимого для чтения бинарного представления Windows SID (Security ID). Ошибка позволяет клиенту инициировать переполнение буфера через отправку специально оформленного пакета с некорректно выставленным SID-значением.


Для успешной эксплуатации уязвимости, злоумышленник должен иметь аутентифицируемый или неаутентифицируемый (гостевое соединение) доступ к Samba-серверу. Проблема устранена в выпущенных сегодня корректирующих выпусках Samba 3.5.5, 3.4.9 и 3.3.14, исправления для более старых веток можно загрузить в виде патча (http://samba.or...

URL: http://news.samba.org/
Новость: http://www.opennet.me/opennews/art.shtml?num=27960


Содержание

Сообщения в этом обсуждении
"Критические уязвимости в Samba и Adobe Flash Player"
Отправлено Tuxoid , 14-Сен-10 23:28 
>Linux, Solaris, Android, MacOS X и Windows

А Андроид у нас теперь не линукс?


"Критические уязвимости в Samba и Adobe Flash Player"
Отправлено Аноним , 14-Сен-10 23:30 
>>Linux, Solaris, Android, MacOS X и Windows
>
>А Андроид у нас теперь не линукс?

По мнению Adobe - это отдельная мобильная платформа для которой выпускается своя сборка Flash Player.


"Критические уязвимости в Samba и Adobe Flash Player"
Отправлено Аноним , 14-Сен-10 23:43 
Просто в Adobe работают такие дилетанты, что называют ОС GNU — Linux'ом :)

"Критические уязвимости в Samba и Adobe Flash Player"
Отправлено Д , 15-Сен-10 00:35 
А что, на Андроиде интерфейс через X Window System сделан?

"Критические уязвимости в Samba и Adobe Flash Player"
Отправлено Tav , 15-Сен-10 01:43 
А что, Линуксом можно называть только систему с иксами?

"Критические уязвимости в Samba и Adobe Flash Player"
Отправлено dimqua , 15-Сен-10 02:03 
Линукс - это вообще не система. Поэтому называть систему Линуксом - глупо. ОС, о которой вы говорите, называется GNU/Linux (возможны вариации, например, GNU+Linux).

"Критические уязвимости в Samba и Adobe Flash Player"
Отправлено Tav , 15-Сен-10 02:58 
>Линукс - это вообще не система.

Как это не система? Линукс — операционная система. GNU/Linux — Linux+окружение, Android — тоже Linux+окружение, но другое окружение. Иногда под понятием "операционная система" понимается только ядро, иногда ядро и окружение вместе, иногда пишут Linux, подразумевая Linux+окружение (т. е. ОС во втором смысле на основе ядра Linux).


"Критические уязвимости в Samba и Adobe Flash Player"
Отправлено dimqua , 15-Сен-10 07:49 
>Линукс — ядро. GNU/Linux — Linux+окружение, Android — тоже Linux+окружение, но другое окружение.

fixed

> Иногда под понятием "операционная система" понимается только ядро

Linux - это ядро, а не целостная ОС, как то FreeBSD.

> (т. е. ОС во втором смысле на основе ядра Linux).

В первом точно так же - ОС GNU на основе ядра Linux.


"Критические уязвимости в Samba и Adobe Flash Player"
Отправлено filosofem , 15-Сен-10 09:13 
Linux (commonly pronounced /ˈlɪnəks/ LIN-əks in American English,[4][5] also pronounced /ˈlɪnʊks/ LIN-ooks[6] in Europe and Canada) refers to the family of Unix-like computer operating systems using the Linux kernel.

"Критические уязвимости в Samba и Adobe Flash Player"
Отправлено dimqua , 15-Сен-10 11:40 
Это формулировка неверна.

"Критические уязвимости в Samba и Adobe Flash Player"
Отправлено User294 , 15-Сен-10 12:02 
В любом случае андроид не вывешивает напрямую интерфейс системных вызовов ядра своим программам, как то POSIXовские системные вызовы и прочая. Ну и какой он после этого линукс, а?

"Критические уязвимости в Samba и Adobe Flash Player"
Отправлено dimqua , 15-Сен-10 16:25 
Поделие Google, о котором идет речь, лично я предпочитаю называть просто Android. Да, вроде и сам Google так же называет.

"Критические уязвимости в Samba и Adobe Flash Player"
Отправлено filosofem , 15-Сен-10 12:07 
>Linux - это ядро

А 'Linux kernel' это ядро ядра? =)


"Критические уязвимости в Samba и Adobe Flash Player"
Отправлено RedRat , 15-Сен-10 14:38 
Нет, это "ядро под названием Линукс". Так как есть ещё, например, "ядро под названием Мак" (Mach kernel).

"Критические уязвимости в Samba и Adobe Flash Player"
Отправлено filosofem , 15-Сен-10 16:33 
>Нет, это "ядро под названием Линукс". Так как есть ещё, например, "ядро под названием Мак" (Mach kernel).

Еще например есть семейство операционок под названием Линукс. И что вы доказали?

Специально для KO перефразирую вопрос. Если Линукс - это ядро и только ядро, то откуда взялось словосочетание Linux kernel?
Если малина - это ягода, то куст малиной нельзя называть? =)


"Критические уязвимости в Samba и Adobe Flash Player"
Отправлено RedRat , 15-Сен-10 16:50 
О-хо-хо-нюшки... Ладно, показываю на пальцах:

>Еще например есть семейство операционок под названием Линукс.

Типичная ошибка. НЕТ семейства операционок под названием Линукс, ЕСТЬ семейство операционок, использующих ядро под названием Линукс (почуствуй разницу!). И некоторые из этих операционок могут использовать и другие ядра, помимо Линукс (например, ОС Debian с ядром от FreeBSD).

> И что вы доказали?

Что кое-кто путает название ЯДРА и название операционной системы.

>Специально для KO перефразирую вопрос. Если Линукс - это ядро и только
>ядро, то откуда взялось словосочетание Linux kernel?

Блин, оттуда, что кроме Линукс есть ещё куча ДРУГИХ ядер с другими названиями.


"Критические уязвимости в Samba и Adobe Flash Player"
Отправлено filosofem , 15-Сен-10 17:36 
>Типичная ошибка. НЕТ семейства операционок под названием Линукс, ЕСТЬ семейство операционок, использующих ядро под названием Линукс (почуствуй разницу!).

Гы, клиника. С тем же успехом можно выдать, что нет семейства операционок под названием GNU/Linux, а есть семейство операционок использующих ядро под названием Linux и окружение под названием GNU утили. Гы еще раз.


"Критические уязвимости в Samba и Adobe Flash Player"
Отправлено dimqua , 16-Сен-10 00:31 
>а есть семейство операционок использующих ядро под названием Linux и окружение под названием GNU утили.

А что можно и так сказать. Есть ОС использующие утилиты GNU - GNU/Linux, GNU/Hurd, GNU/kFreeBSD, GNU/NetBSD (Debian, например) GNU/OpenSolaris (Nexenta OS, например). А ядро Linux можно тоже не только с GNU утилитами использовать. Так что и то и другое, вещи взаимозаменяемые, в принципе.


"Критические уязвимости в Samba и Adobe Flash Player"
Отправлено Зилибоба , 15-Сен-10 12:03 
В вики прочитали? =)

Спросите у Столмана, он вам все пояснит... Линукс - это ядро, и все... Ядро без окружения конечно вещь почти бесполезная, и именно по этому ядро называется линукс, окружение гну, а ось гну\линукс... И даже линуксцентр в свое время переименовали в гну\линуксцентр именно по этой причине...


"Критические уязвимости в Samba и Adobe Flash Player"
Отправлено filosofem , 15-Сен-10 12:19 
А почему бы не C/GNU/Linux/X11
Согласен со Столманом, что местами не справедливо называть Линукс Линуксом, а не Гнулинуксом, так же как не справедливо назвать копир фирмы Бразер ксероксом, но такова жизнь. Семейство операционок называют Линуксом, какое бы окружение у них не было.

"Критические уязвимости в Samba и Adobe Flash Player"
Отправлено Зилибоба , 15-Сен-10 14:39 
>А почему бы не C/GNU/Linux/X11
>Согласен со Столманом, что местами не справедливо называть Линукс Линуксом, а не
>Гнулинуксом, так же как не справедливо назвать копир фирмы Бразер ксероксом,
>но такова жизнь. Семейство операционок называют Линуксом, какое бы окружение у
>них не было.

Ну, скажем так, копир называть ксероксом могут дилетанты, но мы-то... Мы же не называем системник процессором, не смотря на то что большинство так и делает...


"Критические уязвимости в Samba и Adobe Flash Player"
Отправлено filosofem , 15-Сен-10 16:23 
> копир называть ксероксом могут дилетанты

Профессионалы называют лесовоз с краном фискарсом и спотовый цвет пантоном. "Линукс" используют и профессионалы и нубы.
Если вы хотите проГНУться ^Wподчеркнуть вклад Столмана, называйте GNU/Linux, никто же не возражает. Только не надо утверждать, что Линуксом можно называть только ядро.


"Критические уязвимости в Samba и Adobe Flash Player"
Отправлено Пр0х0жий , 15-Сен-10 19:00 
>А почему бы не C/GNU/Linux/X11
>Согласен со Столманом, что местами не справедливо называть Линукс Линуксом, а не
>Гнулинуксом,

Не местами, а полностью. По этой же причине Gentoo c BSD ядром и GNU окружением, глупо называть Линуксом. Как и Debian GNU/Hurd уж точно не Линукс.

>Семейство операционок называют Линуксом, какое бы окружение у
>них не было.

Семейство операционок называют Линуксом акцентируя, что оно основано на Linux-ядре, а не каком-либо другом.

Поэтому из всех проектов именно Debian имеет наиболее правильное название:
Debian project использующий Linux-ядро c GNU-окружением. Debian GNU/Linux.



"Критические уязвимости в Samba и Adobe Flash Player"
Отправлено filosofem , 15-Сен-10 19:56 
>Семейство операционок называют Линуксом акцентируя, что оно основано на Linux-ядре, а не каком-либо другом.

Так ведь называют же, да. Я бы даже подчеркнул _основано_на_ядре_, а не где-то вокруг ядра как Андроид.
Прочитайте внимательнее, я не против названия GNU/Linux, я против когда кто-то запрещает называть Линукс Линуксом. Даже если дистрибутив называется Debian GNU/Linux, это не значит, что его неверно называть Линуксом.

>Поэтому из всех проектов именно Debian имеет наиболее правильное название:
>Debian project использующий Linux-ядро c GNU-окружением. Debian GNU/Linux.

#very_fat_mode on
Вообще не правильно и не справедливо. Скажите мне, что Дебра неписала для этого проекта? Если она фигурирует в названии, то должны там быть и другие подружки Яна и остальные разработчики со своими герлфрендами, а заодно и Керниган с Ричи со своими семьями и правнуками. =). И не просто GNU/Linux какой-то, а С/GNU/Apache/Xorg/iptables/OOo/apt/PERL/Python/Ruby/PHP/GNOME/su/Postgres/MySQL/SorryIfNotMentionedYourFavoriteTool/Linux.


"Критические уязвимости в Samba и Adobe Flash Player"
Отправлено Sergey722 , 16-Сен-10 10:06 
Сколько можно уже флудить на эту тему? Все, кому не насрать, понимают о чём идёт речь, когда слышат "Linux", в зависимости от контекста. Остальным насрать.

"Критические уязвимости в Samba и Adobe Flash Player"
Отправлено dimqua , 16-Сен-10 00:33 
> Поэтому из всех проектов именно Debian имеет наиболее правильное название:

А что мешает сказать Gentoo GNU/Linux? Просто проект Debian это подчеркивает, а Gentoo - нет.


"Критические уязвимости в Samba и Adobe Flash Player"
Отправлено Пр0х0жий , 16-Сен-10 01:48 
>> Поэтому из всех проектов именно Debian имеет наиболее правильное название:
>
>А что мешает сказать Gentoo GNU/Linux? Просто проект Debian это подчеркивает, а
>Gentoo - нет.

Gentoo не знаю поэтому только как допущение:
лицензионная чистота ветки main?

Если в состав основной ветки репозитория включаются несвободные компоненты или условно-свободные, его нельзя назвать GNU/Linux.
С таким же успехом GNU-программа может не попасть в main, поскольку использует несвободные или условно-свободные компоненты.

Можно также посмотреть на эту тему еще раз Revolution OS. И Линус и RMS говорят там об одном и том же.
Но как сказал сам Линус, ему всё равно как вы это называете. Главное что вы эту систему используете.


"Критические уязвимости в Samba и Adobe Flash Player"
Отправлено dimqua , 16-Сен-10 02:35 
>Gentoo не знаю поэтому только как допущение:
>лицензионная чистота ветки main?

В Gentoo нет ветки main. Там есть stage3 (базовый набор программ без ядра), если это считается, то там всё чисто (свободно). Ядро же можно использовать и то, что на kernel.org и полностью свободное, т.е. Linux-libre. Что касается лицензий, то можно маскировать программы с неугодными лицензиями. Например, можно разрешить только свободные.


"Критические уязвимости в Samba и Adobe Flash Player"
Отправлено косп , 15-Сен-10 06:31 
А есть окружение для линукса помимо GNU?

"Критические уязвимости в Samba и Adobe Flash Player"
Отправлено dimqua , 15-Сен-10 07:50 
Вроде, нет.

"Критические уязвимости в Samba и Adobe Flash Player"
Отправлено User294 , 15-Сен-10 12:03 
>Вроде, нет.

Бизибокс например бывает. Он конечно тоже GPLный но не является скажем GNU Core Utils-ами и заменяет их. Если вы об этом...


"Критические уязвимости в Samba и Adobe Flash Player"
Отправлено dimqua , 15-Сен-10 16:16 
Да, верно.

"Критические уязвимости в Samba и Adobe Flash Player"
Отправлено Д , 15-Сен-10 02:46 
В данном случае это удобней. Или как вы предлагаете различать программу (например, тот же flash player) для Линукса, которая требует иксы, и поэтому не работает на андроиде, от аналогичной программы для андроида?

"Критические уязвимости в Samba и Adobe Flash Player"
Отправлено Tav , 15-Сен-10 02:53 
Я ничего не предлагаю и прекрасно понимаю, почему Adobe именно так обозначил сборки.

"Критические уязвимости в Samba и Adobe Flash Player"
Отправлено User294 , 15-Сен-10 12:00 
>А что, Линуксом можно называть только систему с иксами?

Нет, но андроид и системных вызовов линуха и среды для запуска линуксных программ по умолчанию без извратов не предоставляет. И стандартных либ типа GTK или Qt - тоже. Поэтому там наверняка требуются кастомные изгаления специально под эту кривизну. А раз так - его вполне логично рассматривать как отдельную платформу. Просто потому что нормальные линухи обходятся без такого прона - там программа на сях/сях++ может без извратов выдать картинку или окно на экран. А вот в андроиде для этого придется поизгаляться...


"Критические уязвимости в Samba и Adobe Flash Player"
Отправлено User294 , 15-Сен-10 11:57 
>А Андроид у нас теперь не линукс?

Строго говоря - он не предоставляет своим программам интерфейс системных вызовов Linux (POSIX, etc). Следует ли это считать линуксом - большой вопрос. Содержит линукс? Да. Предоставляет его интерфейсы? Нет. Кто оно после этого? Андроид. Нечто, совместимое только с самим собой. Программы андроида не могут работать на иных платформах без жутких костылей.


"Критические уязвимости в Samba и Adobe Flash Player"
Отправлено UP , 14-Сен-10 23:52 
Ubuntu патчат быстрее RHEL...

"Критические уязвимости в Samba и Adobe Flash Player"
Отправлено Filosof , 15-Сен-10 10:55 
Рхел долше тестят свои патчи / ждут как уже выпущенный скажется на убунтовых хомяках -:)

"Критические уязвимости в Samba и Adobe Flash Player"
Отправлено аноним , 15-Сен-10 12:21 
>Ubuntu патчат быстрее RHEL...

Кто не юзает rhel, тот не знает, когда его на самом деле патчат.


"Критические уязвимости в Samba и Adobe Flash Player"
Отправлено God , 15-Сен-10 00:20 
Кто там говорил про флеш-альтернативы? Сейчас они как никогда к месту!

"Критические уязвимости в Samba и Adobe Flash Player"
Отправлено dmitry.kuzmenko , 15-Сен-10 14:37 
Поставил на попробовать Gnash. Ни в одном из 3-х браузеров он не заработал. Ось gentoo x64...

Не заработал в смысле совсем не заработал. Некоторые флешки начинает грузить, может успеть отрисовать картинку и падает.


"Критические уязвимости в Samba и Adobe Flash Player"
Отправлено Ононим , 15-Сен-10 01:02 
А редхат наверное как всегда переждёт панику с каменным лицом, а потом таки соизволит сообщить, что на их дистрах из-за суперзащитных патчей и флагов сборки эта дыра не работает.

Достаточно вспомнить панику с рутовой дырой в dhclient-е, когда дебианщики и убунтушники бегали как ошпаренные, а федоровцы спокойно плевали в потолок.

Или недавняя дыра с манипуляцией памятью X-сервера. Помнится, дилетанты тогда честно копипастили, что редхат обновил ядро. Никто так и не заметил, что ядро было не от RHEL-а.

Вообще, наверное больше половины дыр сейчас проходит мимо редхата. Вот что значит - ребята всерьёз занимаются безопасностью.


"Критические уязвимости в Samba и Adobe Flash Player"
Отправлено Аноним , 15-Сен-10 01:18 
Кстати, а почему их в недавнее исследование защищённости дистрибутивов не включили?
Из каментов я так понял - побоялись, что на фоне красношапки, HardenedGentoo и компания просто потеряются =D

"Критические уязвимости в Samba и Adobe Flash Player"
Отправлено Аноним , 15-Сен-10 01:39 
Ты умеешь читать на русском, написано недоступны на момент написания новости для RHEL, а доступно, только для убунты.

недоступны на момент написания новости для Slackware, FreeBSD, Gentoo, Mandriva, openSUSE, CentOS, Fedora, RHEL и Debian.


"Критические уязвимости в Samba и Adobe Flash Player"
Отправлено аноним , 15-Сен-10 12:20 
>Ты умеешь читать на русском, написано недоступны на момент написания новости для RHEL, а доступно, только для убунты.

Врут-с. Обновления для RHEL вчера днем пришли, а новость написана вчера вечером.


"Критические уязвимости в Samba и Adobe Flash Player"
Отправлено Аноним , 15-Сен-10 13:05 
>>Ты умеешь читать на русском, написано недоступны на момент написания новости для RHEL, а доступно, только для убунты.
>
>Врут-с. Обновления для RHEL вчера днем пришли, а новость написана вчера вечером.

Не знаю  в каком часовом поясе вы живете, но в MSK обновление для RHEL и анонс RHSA-2010-0697 пришли только сегодня утром.



"Критические уязвимости в Samba и Adobe Flash Player"
Отправлено аноним , 15-Сен-10 13:28 
Обновления пришли вчера где-то после трех часов для по MSD, письмо по рассылке пришло около полтретьего ночи сегодня.

Специально посмотрел дату SRPM с апдейтом на официальном FTP - 14.09.2010 13:21:00.


"Критические уязвимости в Samba и Adobe Flash Player"
Отправлено Аноним , 15-Сен-10 14:23 
>Обновления пришли вчера где-то после трех часов для по MSD, письмо по
>рассылке пришло около полтретьего ночи сегодня.
>
>Специально посмотрел дату SRPM с апдейтом на официальном FTP - 14.09.2010 13:21:00.

Это по тихоокеанскому времени, прибавьте 11-часовое смещение.



"Критические уязвимости в Samba и Adobe Flash Player"
Отправлено Аноним , 15-Сен-10 14:33 
Специально проверил:
Дата отправки анонса в рассылку Tue Sep 14 15:10:30 PDT 2010

15 PDT - это 22 GMT или 2 ночи MSK.


"Критические уязвимости в Samba и Adobe Flash Player"
Отправлено non anon , 15-Сен-10 21:04 
Дык все правильно. Написано же, что письмо пришло в полтретьего ночи, а апдейт - на 12 часов раньше.

"Критические уязвимости в Samba и Adobe Flash Player"
Отправлено ЭМъ , 15-Сен-10 04:08 
RHEL тоже закрыл дыру самбы (RHSA-2010:0697 и RHSA-2010:0698) кстати датировано 14 числом

"Критические уязвимости в Samba и Adobe Flash Player"
Отправлено ЭМъ , 15-Сен-10 04:15 
Что интересно в новости упоминаеться Acrobat Reader, и при этом Gentoo ее упоминають у себя похожую уязвимость http://www.gentoo.org/security/en/glsa/glsa-201009-05.xml или это что-то другое?

"Критические уязвимости в Samba и Adobe Flash Player"
Отправлено Аноним , 15-Сен-10 06:38 
FlashBlock спасет человечество!

"Критические уязвимости в Samba и Adobe Flash Player"
Отправлено User294 , 15-Сен-10 12:06 
NoScript его спасет даже лучше :)

"Критические уязвимости в Samba и Adobe Flash Player"
Отправлено Аноним , 15-Сен-10 09:55 
У меня просто галка вынесена в Опере: Отключить плагины. А по надобности и включить можно (утюба там, вконтактик...:))

"Критические уязвимости в Samba и Adobe Flash Player"
Отправлено Аноним , 15-Сен-10 09:55 
Опять флеш... :(

"Критические уязвимости в Samba и Adobe Flash Player"
Отправлено Харон , 15-Сен-10 11:59 
> Обновления пока не выпущено и ожидается для Adobe Flash Player только 27 сентября

ЭТО ДОЛГО %#@& !!!


"Критические уязвимости в Samba и Adobe Flash Player"
Отправлено User294 , 15-Сен-10 12:05 
Это же адоба. Они заманали - лично я вынес флеш плеер нафиг. Мувики я как-нибудь и без него скачаю, а реклама мне не нужна. Сколько можно то, а? Сидеть 12 дней с дырой? Они укурились! :E

"Критические уязвимости в Samba и Adobe Flash Player"
Отправлено Пр0х0жий , 15-Сен-10 16:10 
В ALT Linux samba с апдейтами уже влетела в branch'и p5 (Сен 14 17:45) и 5.1 (Сен 14 14:25).
Проблема с samba ликвидирована.