В X.Org найдена (http://seclists.org/fulldisclosure/2011/Oct/918) опасная уязвимость (http://vladz.devzero.fr/Xorg-CVE-2011-4029.txt), позволяющая путем манипуляции на этапе создания lock-файла поменять права доступа к любому файлу в системе на 444 (полный доступ на чтение для всех). Например, локальный злоумышленник на этапе запуска X.Org-сервера может поменять права на файл /etc/shadow и получить доступ к хэшам паролей всех пользователей в системе, или поменять права на блочное устройство и прочитать полное содержимое дисковых разделов. Для успешной эксплуатации у атакующего должна быть возможность запуска X-сервера.Техника эксплуатации уязвимости достаточно простая (готовый эксплоит приводится в тексте уведомления (http://vladz.devzero.fr/Xorg-CVE-2011-4029.txt) о наличии проблемы):
- Создаётся фиктивная символическая ссылка "/tmp/.X1-lock" -> "/dontexist";
- Запускается X-сервер;
- Останавливается X-сервер через отправку процессу сигнала SIGSTOP сразу после созда...URL: http://seclists.org/fulldisclosure/2011/Oct/918
Новость: http://www.opennet.me/opennews/art.shtml?num=32152
Обалдеть... Это что теперь за компом в водолазном костюме сидеть ?
Или комп одевать в водолазный костюм ?
А дырки пробками затыкать , по мере их возникновения ....
Радуйтесь лучше. Народ стал больше проявлять интереса к open source, чему свидетельство появление многих эксплойтов, готовых порвать ОС
радость мазохиста какая-то. полезному надо радоваться, а не злодеяниям.
> радость мазохиста какая-то. полезному надо радоваться, а не злодеяниям.Каждое выявление очередной уязвимости делает юзаемый нами софт еще безопаснее. Разве не полезно?
Го в виноусы? там всегда что нибудь находят =]
А если исходное сообщение прочитать? :)"Радуйтесь лучше. Народ стал больше проявлять интереса к open source, чему свидетельство появление многих эксплойтов, готовых порвать ОС".
Человек радуется тому, что появились свидетельства в виде эксплоитов, готовых порвать ОС. Заметьте, порвать. Такой итог интереса к открытому ПО вас радует? Меня нет. Меня радует, когда люди делают добро, а не зло, о чем я и написал ;)
Добро должно быть с кулаками
> радость мазохиста какая-то. полезному надо радоваться, а не злодеяниям.Исправление бага злодеянием не считается.
>> радость мазохиста какая-то. полезному надо радоваться, а не злодеяниям.
> Исправление бага злодеянием не считается.Да, злодеянием является его использование, готовое порвать вашу ОС, чему радуется - опосредованно или напрямую - написавший пост, на который я ответил ;)
Как и говорилось "надежность" linux-производных связана по большей части с её малой распространенностью. Взлом kernel.org - это только начало.
Абсолютная надежность - это выключенный рубильник.
А _относительная_ надежность любых дистрибутивов Linux по-прежнему чрезвычайно высока.
А взлом kernel.org имел сравнительно небольшие технические результаты, но, конечно, был очень удачной пиар-акцией.
> А взлом kernel.org имел сравнительно небольшие технические результаты, но, конечно, был
> очень удачной пиар-акцией.Черный пиар - тоже пиар ;)
Ну да. Утверждающему остаётся только продемонстрировать ботнет на линуксовых серверах — разве мало их в сети?Мешки просто ворочать не всем хочется, остаётся только языком ля-ля.
> Ну да. Утверждающему остаётся только продемонстрировать ботнет на линуксовых серверах
> — разве мало их в сети?3,5 декстопа вирусописателям даром не сдались. При желании в сети можно разобраться с руткитами. Надо будет хакнут пакет и засадят туда твоего ботнета. А пока не нужен.
> 3,5 декстопаОткуда такая цифра? Можно ссылку на источник?
>> Ну да. Утверждающему остаётся только продемонстрировать ботнет на линуксовых серверах
>> — разве мало их в сети?
> 3,5 декстопа вирусописателям даром не сдались.Вас про серверы спрашивали, вообще-то.
> При желании в сети можно разобраться с руткитами.
А вы знаете, что такое руткит, и чем он отличается от червя?
> Надо будет хакнут пакет и засадят туда твоего ботнета. А пока не нyжен.
Ага, вот оно что. Ну что ж, вот вам трое суток. По истечении их опубликуйте ссылку на затрояненный вами пакет, который загружен в официальные (подчеркиваю: официальные) репозитарии любого из популярных дистрибутивов.
В противном случае, со всей исторической неизбежностью, пользователь letsmac будет объявлен врyнишкой.
> пользователь letsmac будет объявлен врyнишкой.секрет Полишинеля, право.
Вот поржём когда МакОСь хот чуть-чуть на хостингах появится.X.org не только в дистрах GNU/Linux используется, но и в BSD всех мастей.
> Обалдеть... Это что теперь за компом в водолазном костюме сидеть ?
> Или комп одевать в водолазный костюм ?Зачем такие сложности? Достаточно тюбика вазелина :)
Ключевая фраза>As a reminder, chmod() operates on filenames rather than on file handles.
>>As a reminder, chmod() operates on filenames rather than on file handles.Для того и существует fchmod().
Да уж. Как в source-based дистрибутивах переключить иксы на работу от польлзователя? Можно ли это сделать в openSuSE? Заработают ли такие иксы с проприетарным видеодрайвером?
А что не так с source-based дистрибутивами?И вообще, Xorg запускается из целого вороха скриптов, неужто нельзя в скрипте проверку сделать, впрочем, проблема с *lock файлами, а точнее с привязкой к реально существующим процессам, как и аналогичная с pid файлами, существует давно и каждая команда разработчиков решает ее как придется, а дистрибутивостроители потом исправляют это инициализационными скриптами, очевидно же необходим механизм унифицирующий решение, что-то типа дополнительной папки /proc/services, чтобы там и локи и пиды хранились, может пару тулсов чтобы объявить процесс демоном для совместимости со старым софтом или особо ленивых разрабов; и пусть ядро зная, что с чем синхронизировать за это отвечает; насколько бы легче стало писать скрипты срабатывающе по факту падения демона...эх.
> И вообще, Xorg запускается из целого вороха скриптов, неужто нельзя в скрипте
> проверку сделатьБез толку, если можно пускать не xinit, а X.
>Как в source-based дистрибутивах переключить иксы на работу от польлзователя?Иксы уже умеют это то ли с 9 то ли с 10 версии если драйвер через KMS работает. Правда мануалов никто не пишет ибо особо не надо пока никому.
В моей gentoo они только так и работают сейчас. Хрензнаетсколько полет нормальный.Драйвер проприетарный nvidia.
> Да уж. Как в source-based дистрибутивахlol , в каких в каких ???? ))))))))))))))
Фигасе!>Some distros released new Xorg packages (Ubuntu, Gentoo) since others (like
Debian) judge this as a non-critical issue:
http://security-tracker.debian.org/tracker/CVE-2011-4029
Что-то я засомневался в своем любимом дебьяне. =\
А помнишь как они энтропию в OpenSSH ослабили, что подобрать след.ключ можно было чуть ли не в уме?
> А помнишь как они энтропию в OpenSSH ослабили, что подобрать след.ключ можно
> было чуть ли не в уме?Вот специально сидели и ослабляли. Просто дурилки картонные пустили свои лапы в криптографию, а она такого не прощает. Соваться в алгоритмы с "типа оптимизацией" можно только если понимаешь что делаешь и к чему это ведет. А этого не было. Самое веселое что авторы openssl не заподозрили подвох и заапрувили патч.
Учитывая последовательность операций с двойным перезапуском Х-ов, думаю, мало вероятно что подобное станет незаметным (особенно, учитывая, что, если правильно понимаю, експлойту при этом еще нужно и права рута получить). Видимо, поэтому и не посчитали критичной
> Учитывая последовательность операций с двойным перезапуском Х-ов, думаю, мало вероятно
> что подобное станет незаметным (особенно, учитывая, что, если правильно понимаю, експлойту
> при этом еще нужно и права рута получить).Вы бредите. На X-ах уже стоит suid бит, никаких рутовых прав не нужно. И запускается новый процесс X не на дефолтовом экране незаметно для работающего основного пользователя.
В openSUSE ещё в 11.4 отключили.
http://www.novell.com/linux/releasenotes/i386/openSUSE/11.4/...
>И запускается новый процесс X не на дефолтовом экране незаметно для работающего основного пользователя.при запуске новой икс сессии на другой консоли, по-умолчанию происходит переключение на неё, ключей отключаюших данное поведение в man'e что-то не находится.
> И запускается новый процесс X не на дефолтовом экране незаметно
> для работающего основного пользователя.Незаметно, говорите?
вообще-то дебианом не рекомендуется использовать суид-бит, потому и уязвимость не считается особо опасной.
те кто плюёт на безопасность сами дураки.
Я ничего не трогал.>-rwsr-sr-x 1 root root 7312 Сен 24 13:39 /usr/bin/X
странно, что новость только сейчас разместили, исправление для Gentoo вышло ещё 19 октября, если верить указанной ссылке : http://www.gentoo.org/security/en/glsa/glsa-201110-19.xmlхотя и не для версии 1.11.2, а для 1.10.4
тото у меня два ня подряд устанавливались иксы
> тото у меня два ня подряд устанавливались иксыКакие няшные у вас иксы :)
в арчике исправлено
И все же. Кто ответит до того, как удалят мой коммент?) Почему иксы правят права к чужим файлам?
> Почему иксы правят права к чужим файлам?Они думают, что это их файл.
BTW от такой ситуации давным-давно существует защита (hardening создания симлинков на чужие файлы). Жаль, мало где встречается "из коробки".
> BTW от такой ситуации давным-давно существует защита (hardening создания симлинков на чужие файлы). Жаль, мало где встречается "из коробки".Между прочим, был такой проект - Yama LSM. Там реализовывалась защита от нескольких популярных видов атак, в том числе и от этой (даже новость тут была об этом). Его даже собирались в 2.6.38 включить. Но, к сожалению, его делали ребята из Canonical (в частности, Джеймс Моррис и печально известный Kees Cook), так что качество сильно подкачало, и в мейнстрим оно не попало. А жаль.
>> BTW от такой ситуации давным-давно существует защита (hardening создания симлинков на чужие файлы). Жаль, мало где встречается "из коробки".
> так что качество сильно подкачало,потом
> и в мейнстрим оно не попало. А жаль.Хотели чтоб код дерьмового качества попал в апстрим?
>BTW от такой ситуации давным-давно существует защита (hardening создания симлинков на чужие файлы).Так оно вроде только для хардлинков (security.bsd.hardlink_check_uid и security.bsd.hardlink_check_gid, в линуксе доступно через патчи ядра). А для симлинков было бы правильнее, если бы сами симлинки имели бы свой набор прав, который бы правил chmod, а не права целевого фала.
>А для симлинков было бы правильнее, если бы сами симлинки имели бы свой набор прав, который бы правил chmod, а не права целевого фала.Во FreeBSD, кстати, есть системный вызов lchmod, который поступает таким образом.
> Во FreeBSD, кстати, есть системный вызов lchmod, который поступает таким образом.И что, права симлинков после этого на что-то влияют?
> И что, права симлинков после этого на что-то влияют?Нет, но это и не важно.
>>BTW от такой ситуации давным-давно существует защита (hardening создания
>>симлинков на чужие файлы).
> Так оно вроде только для хардлинковОно исходно было только для симлинков как раз, solardiz расширял на случай хардлинков: http://www.openwall.com/linux/README.shtml
(в альте для 2.6.x портировал lakostis@, но AFAIR уже с пару лет как оставлено)
> А для симлинков было бы правильнее, если бы сами симлинки имели бы свой набор прав, который бы правил chmod, а не права целевого фала.Это как? Типа, создал от простого юзера симлинк на shadow, сделал этому симлинку u+r, и читай shadow на здоровье?
Либо обрабатывать по принципу побитового "И", либо игнорировать и использовать при обращении права целевого файла.
> И все же. Кто ответит до того, как удалят мой коммент?) Почему
> иксы правят права к чужим файлам?-rwsr-xr-x 1 root root 1753696 Мар 31 2011 /usr/bin/Xorg*
Suid программы оччень опасны.