Несколько недавно обнаруженных уязвимостей:
- В утилите cURL (http://curl.haxx.se/) и связанной с ней библиотеке libcurl, которые часто используются в скриптах для автоматизации выполнения операций с Web, найдена критическая уязвимость (http://curl.haxx.se/docs/adv_20130206.html) (CVE-2013-0249), позволяющая организовать выполнение кода при отправке запроса на подконтрольный злоумышленником сервер. Проблема присутствует в коде осуществления SASL DIGEST-MD5 аутентификации и может быть эксплуатирована при возврате определённого ответа сервером POP3, SMTP или IMAP. Важно отметить, что несмотря на то, что непосредственно эксплуатация возможна при обращении к почтовым серверам, совершение атаки возможно (http://blog.volema.com/curl-rce.html) и при обращении к Web, путём возврата редиректа на почтовый сервер злоумышленника (через "Location: pop3://x:x@evilserver.com"). Уязвимость проявляется только в версиях с 7.26.0 по 7.28.1 включительно, при сборке с поддержкой SASL. В версии 7.29 уязвимость устранена. Концептуальный прототип эксплоита для проверки наличия уязвимости в своих системах можно загрузить здесь (http://i.volema.com/pop3d.py).- В Adobe Flash Player выявлены две уязвимости (http://www.adobe.com/support/security/bulletins/apsb13-04.html) (CVE-2013-0633, CVE-2013-0634), позволяющие организовать выполнение кода в системе пользователя при открытии специально оформленного SWF-контента. В настоящее время проблемы уже активно эксплуатируются для распространения вредоносного ПО. Проблемы устранены в выпусках 11.5.502.149, 11.2.202.262 и 10.3.183.51;
- В беспроводных маршрутизаторах D-Link DIR-300 и DIR-600 найдена уязвимость (http://www.s3cur1ty.de/m1adv2013-003), позволяющая выполнить любую shell-команду в системе без предварительной аутентификации (в устройствах используется окружение на базе Linux). Проблема может быть эксплуатирована через отправку специально оформленного HTTP POST запроса к скрипту command.php.
Обновление прошивки с устранением проблемы пока недоступно, в качестве обходного метода защиты рекомендуется закрыть доступ к 80 порту маршрутизатора.
<center><img src="http://www.opennet.me/opennews/pics_base/0_1360569874.png" style="border-style: solid; border-color: #e9ead6; border-width: 15px;" title="" border=0></center>
URL:
Новость: http://www.opennet.me/opennews/art.shtml?num=36078
Как раз забыл пароль от одного роутера. Спасибо тебе D-LINK!
> в качестве обходного метода защиты рекомендуется закрыть доступ к 80 порту маршрутизатораА может, проще выкинуть DIR-300 и купить нормальный, современный маршрутизатор? Заодно решится куча других проблем.
нормальный (не MIPS), маршрутизатор стоит больше 140уе
а может и не проще, потому что отдавать 2к за девайс взамен такого же работающего как-то не айси да, неужели кто-то держит открытым 80 порт вовне на роутере?
да, я!
Разные у нас взгляды на современный роутер.
Вот мой Cisco Linksys WRT160NL стоит 5к.
А че так дешево то? И без позолоты наверное...
... и linksys уже не cisco
че так дорого?? у меня дома тож стоит покупал за 3500 ?
> че так дорого?? у меня дома тож стоит покупал за 3500 ?Ну, я давно покупал. Может быть, они уже дешевле стали.
Элементная база у dir300 на уровне конкурентов в soho. Но вот прошивки, это просто пидзец. Особенно устройства на ralink 5350f. Раньше (времена adsl) и так довольно скептически относился к их продукции (касяки с мультикастом, из-за чего народ шил акорпоские проши), но теперь после 300NRU B7 даже в их сторону глядеть не буду. Тривиальнейшие баги в веб морде, которые не фиксятся месяцами, такие же непонятные касяки с мультикастои и неуловимый отваливающийся wifi. Радует, что маршрутизатор достался бесплатно по акции. Но целенаправленно приобретать продукцию длинка за свои деньги - ни-ни
Элементная база у этой конторы может меняться в одном устройстве от ревизии к ревизии. Причем иногда по принципу "Дешевое г-но > Нормальные чипы > Снова дешевое г-но"
(Это я на DIR-615 намекаю)Просто раньше, когда девайс от Zyxel или 3Com стоил 5000 рублей, аналогичный от DLink можно было приобрести за 2500. В большинстве случаев за эту цену можно было получить вполне работоспособное устройство. Сейчас ихние роутеры или DSL-модемы стоят рублей 500-700. Ну и качетсво -- в лучшем случае это можно назвать муляжом роутера. Масштаб 1:1
Кстати, не подскажете соответствие ревизий качеству г-на? А то сталкиваюсь с таким время от времени, но четкой картины нет
http://wiki.openwrt.org/toh/d-link/dir-615#hardware.highlights
>Ну и качетсво -- в лучшем случае это можно назвать муляжом роутера. Масштаб 1:1Они хотя бы выбивали бы у китайцев спеки/фёрварь/модули для ядра. Умельцы бы допили, если они такие у мамы дурачки. Но их похеризм не знает границ.
> Радует, что маршрутизатор достался бесплатно по акции.
> Но целенаправленно приобретать продукцию длинка за свои деньги - ни-ниПодтверждаю, D-Link — глючное косячное ушлёпище, периодически впадающее в ступор. Wi-Fi любит падать не просто часто, а часто до неприличия. Там и взламывать нечего, оно всё искаропки кривое.
Что я делаю не так? dir300 A1 стоит не первый месяц, никаких проблем.> косяки на веб-морде
Вы dd-wrt видели? Там веб-морда не менее косячная (по крайней мере, для dir400 A1), но всё фиксится командой про автостарте. Кажется, то же самое можно проделать в новых длинках.
> оно всё искаропки кривое
Кривизна Линукса повторяет кривизну рук владельца :)
320 стоял у родственников и перегружали его по причине отваливающего вайфая по 20 раз на день. Прошил дд-врт и уже месяца два аптайма
> 320 стоял у родственников и перегружали его по причине отваливающего вайфая по
> 20 раз на день. Прошил дд-врт и уже месяца два аптаймадык. родные прошивки и 300, и 320 — это такой тихий ужас. иногда очень тихий, до полного радиомолчания. я свой старый 300-й тоже при помощи dd-wrt «починил». выключается он только тогда, когда шишиги всё электричество в проводах съедают; в остальное время работает и не жужжит.
У меня DIR-655 стоит с аптаймом 4 месяца.... Скажите, что я делаю не так?
Элементная база у Dir-300 на уровне конкурентов 3х-5 летней давности.
Посмотрите хотя бы на то что Asus сейчас делает и сравните или NetGear.
Асус сегодня делает неплохое железо и совершенно неюзабельные прошивки. Форумы затоплены кровавыми слезами осчастливленных пользователей. Только сторонние прошивки и спасают.
Вы ими пользовались сами чтобы так утверждать?
Я сам в прошлом пользователь сторонних прошивок на оборудовании асус.
Года два назад то что вы сказали было правдой, сейчас асус делает замечательные прошивки на основе DD WRT со своей "мордой". Бед уже года полтора-два с ними не знаю.
Перевел все домашние сети в семье на Асус, сейчас на RT-N66U (2 штуки в разных домах) и RT-AC66U, у себя RT-N16U. Все с родными прошивками.
За всё время один 66U сдох меньше чем через неделю после покупки - заводской брак, поменяли, сейчас всё отлично, RT-N16U один раз во время перепрошивки сбросил настройки.
Всё. Далее, ни зависаний, ни глюков, скорости отличные (у 16U немного ниже, но всё же), все устройства по WiFi сети видят и цепляют, прошивки периодически обновляются (в том числе и на 16U).
с промышленными устройствами та же история
Можно всегда жить на экзотическом оборудование и параноить.
> Можно всегда жить на экзотическом оборудование и параноить.Mikrotik ?
А что, в других нормальных уязвимостей быть не может?
Ага, в "нормальных" Linksys-ах тоже нашли уязвимость. Еще несколько месяцев назад. Циска так и не отреагировала.
Ага, нормальных Линксисах.
Поржал даже с кавычками.
> А может, проще выкинуть DIR-300 и купить нормальный, современный маршрутизатор?Проще и дешевле влить в него опенврт какой-нибудь. Ну из ж@пы у тайваньцев и прочих китаезов руки в плане программирования, увы. Это медицинский факт. Поэтому толку то заменять шило на мыло?
> А может, проще выкинуть DIR-300 и купить нормальный, современный маршрутизатор? Заодно
> решится куча других проблем.а можно узнать, какие у меня проблемы с DIR-300? ну, кроме того, что несколько лет уже работает круглосуточно и каши не просит. занимается раздачей вайфи да коммутированием домашней сетки.
так из-за каких проблем и принципов мне его надо выкинуть «и купить нормальный, современный маршрутизатор?»
Ты что, ретроград? Не любишь все новое и современное? Может тебе даже гном 3 не нравится?
да, я не люблю пролетариата.
Браво! Аплодирую стоя.ЗЫ: И да, мне не нравится третий гном... ну и длинк само собой.
"А может, проще выкинуть DIR-300"Если вы не в состоянии, немного подумать, подсказываю: ошибка в базовой прошивке. Нормальные люди давно поставили dd-wrt или open-wrt.
p.s. Текст новости корявый. Ошибки в железе нет :)
ftp://ftp.dd-wrt.com/others/eko/BrainSlayer-V24-preSP2/
> ftp://ftp.dd-wrt.com/others/eko/BrainSlayer-V24-preSP2/Если это намек на dir300-revb, то спешу Вас огорчить, это только для аппаратных ревизий с B1 по B4. Для ревизий B5, B6 и B7 альтернативных прошивок (dd-wrt, Openwrt) нету, у этих ревизий SoC другой (RT3350f), так что если даже каким-то чудом Вам удастся запихать эту прошивку в новые роутеры - получите кирпич.
лично прошил 300-ку на Ralink с год назад DD-WRT - работает год и ни разу мне пользователи не жаловались (правда WiFi они не пользуют)
ЧЯДНТ?(см. http://www.dd-wrt.com/wiki/index.php/Ralink_%28unbrande...)
потом ещё нашёл какой-то поц делает прошивки для Ralink ради продажи их OEM-производителям, так он вообще выложил прошивки с родными дровами для WiFi и др. плюшками
лично прошил 300-ку на Ralink с год назад DD-WRT - работает год. ЧЯДНТ?Dlink dir300 rev B - ralink.
Ну почему вы такие упрямые? Вам уже написали, ревизии b5, b6, b7 на ralink 5350*F*, а не ralink 5350. *wrt их не умеют. Длинки 300 на этом SoC шьются модифицированной прошивкой от zyxel keenetic lite b и самое печальное, в этом есть смысл
Добрый человек а против DIR-615 B2 (прошу прощения что вслух!) - есть метода? Или просто выкинуть?
Вряд ли могу подсказать, чтобы наверняка
http://www.dd-wrt.com/wiki/index.php/Known_incompatible_devices
http://wiki.openwrt.org/toh/d-link/dir-615
Судя по всему там Ubicom IP5090U CPU, с которым опять-таки никто не имел дела. Да ещё флэш на 2 мегабайта.
Конечно остаётся надежда на чудо, вроде нормально работающей прошивки от другого вендора. Но что-то мне подсказывает, что чудес не бывает. Остаётся либо выкинуть, либо терпеть касяки вот таких устройств
>Остаётся либо выкинуть,Ну умерла - так умерла. В принципе - оно ничего работало ... пока не пявились "n" девайсы, с ними оно просто куча мусора. Решено - на свалку!
ПРИМЕЧАНИЕ. Adobe Flash Player 11.2 будет последней версией, поддерживающей Linux в качестве платформы. Adobe будет продолжать обеспечивать ретроподдержку безопасности Flash Player 11.2 для Linux.С сайта adobe.com. Вынужден констатировать, что оно таки издохло.
yaourt -Ss chromium-pepper-flash-stable
aur/chromium-pepper-flash-stable 11.5.31.139-1
Подключите его к не-хромиум-based браузеру, а мы поглядим.
Для меня все эти ваши хромы-хромиумы и прочие оперы суть недобраузеры. Пусть сперва научатся с системной темой дружить и аналогом вимператора обзаведутся.
> Для меня все эти ваши хромы-хромиумы и прочие оперы суть недобраузеры. Пусть
> сперва научатся с системной темой дружить и аналогом вимператора обзаведутся.Опера таки дружит. С Cinnamon выглядит вообще как родная.
А флэш ей не нужен.
Вообще не нужен.
Это морально и технически устаревшая технология, позволяющая запихивать в закрытый код ActionScript любую пакость.
Просто уйти не может достойно, зачем-то цепляется за жизнь. А Гугл зачем-то поддерживает.
Живительная эвтаназия помогла бы.
>Опера таки дружит. С Cinnamon выглядит вообще как родная.Последний раз когда видел — ещё не дружила толком.
>А флэш ей не нужен.
Кому «ей»? Flash мне нужен, для меня этого достаточно.
>Это морально и технически устаревшая технология
Пустые слова.
>позволяющая запихивать в закрытый код ActionScript любую пакость
Как и в любой компилируемый код. Только флэшка исполняется в песочнице flash-плагина в отличие от.
>Просто уйти не может достойно, зачем-то цепляется за жизнь. А Гугл зачем-то поддерживает.
>Живительная эвтаназия помогла бы.Альтернатив нет. Даже близко.
Да все нормально: flash-plugin-11.2.202.262-release.i386
Сказано же:> Проблемы устранены в выпусках 11.5.502.149, 11.2.202.262 и 10.3.183.51;
Так что, к сожалению, оно ещё шевелится.
> В утилите cURL и связанной с ней библиотеке libcurl, которые часто используются в скриптах для автоматизации выполнения операций с Web, найдена критическая уязвимость (CVE-2013-0249), позволяющая организовать выполнение кода при отправке запроса на подконтрольный злоумышленником сервер.pacman использует curl. эдак что, можно любой арч-сервер превратить в рассадник опасности?
только вчера думал, что будет, если появится уязвимость в openssh, позволяющая зайти без авторизации...
> арч-серверМесье знает толк. Вам там шибко давно подписанные репозитории сделали, уже можно на сервер ставить?
Чо?Вот у меня есть сервер, на нём зеркало с арчем (а оно у меня есть), куда постоянно по курлу ходят юзеры. Вроде бы, всё нормально - я не могу ничего подделать, всё защищено подписями, юзеры ходят на моё зеркало, не боясь и не опасаясь подделок - их хранит великий ключ.
Но пришла беда, откуда не ждали - в том самом моменте, где юзеры ежедневно долбятся своими курлами на мой http, требуя списки пакетов и сами пакеты, я им выдаю отдельный редирект, они, как честные курлы, идут по этому редиректу, и ПРИВЕТ, они попались.
Вот мне и интересно, насколько практически любое зеркало арч может стать приветом для компьютеров пользователей. И для меня это сравнимо с критической уязвимостью с ssh - всё настолько завязано на то, что требуются пароли и ключи авторизации, что если будет возможность сделать что-то страшное ДО этапа авторизации, наступит хаос, и ничего нельзя будет сделать.
Избранное из /etc/pacman.conf:
#XferCommand = /usr/bin/curl -C - -f %u > %o
XferCommand = /usr/bin/wget --passive-ftp -c -O %o %uХотя да, по дефолту будет использоваться libcurl.so.
Если у кого-то дар пророчества, и он знает, где объявится критическая уязвимость, так пусть не молчит!
Много раз был свидетелем, когда хомячков сайта разносили на куски с помощью флеш вставок.
И как тогда настраивать роутер,если отключим 80 порт? А?
telnet? или его в этой модели нет?
ну не во вне же его открывать, и потом есть же ssh, есть telnet
> И как тогда настраивать роутер,если отключим 80 порт? А?Это они хорошо придумали, да.
Порт для администрирования через http у DIR по-умолчанию закрыт из внешней сети.
Не обязательно это порт 80, а не 8080.
Последние ревизии D-Link-ов объективно ужасны (и прошивки и железо).
Беру клиентам только голландские Sitecom-ы (к сожалению в россии малоизвестны). Все работают стабильно без подвисаний и т.п проблем, а прошивка уже изкоропки полностью рабочая + стильный внешний вид и компактный размер;)
p.s: не реклама, а просто радость, т.к буквально пару недель назад взял и себе домой SITECOM N300 X3 WLR-3100. d-link dir 300 rev.c1 забыт как страшный сон!
>Обновление прошивки с устранением проблемы пока недоступноДа, возможно, если использовать официальную прошивку. Я пользую вот эту http://www.dd-wrt.com/wiki/index.php/%D0%9F%D...
> Да, возможно, если использовать официальную прошивку.Наверное вы хотели сказать НЕофициальную :). Там таких эпикфэйлов обычно себе не позволяют :)
все мы помним дыру в DD-wrt которая позволяла без авторизации выполнить любую команду....
И никакой тебе opensource не помог.. И даже хваленый GPL...
> все мы помним дыру в DD-wrt которая позволяла без авторизации выполнить любую
> команду....
> И никакой тебе opensource не помог.. И даже хваленый GPL...Людям свойственно делать ошибки, только упоротые школьники могут это не понимать. Суть в том что при желании и наличии времени/средств ошибки в опенсорц коде может поправить _кто угодно_, и нет необходимости ждать по полгода пока Микрософт или Оракал соизволит выпустить апдейт.
ничо страшного, настраивайте через вебморду D-Link DIR-300, а 80й порт отключите для внешних соединений
> command.php
> без предварительной аутентификации
> Команда в параметре cmd POST-запросаЭто не уязвимость, а явный бэкдор.
> В беспроводных маршрутизаторах D-Link DIR-300 и DIR-600 найдена уязвимость, позволяющая выполнить любую shell-команду в системе без предварительной аутентификации (в устройствах используется окружение на базе Linux).А как же свободное и открытое програмное обеспечение? почему оно не защитило от такой ошибки?
От опенсорца там, в общем-то, только ядро с бизибоксом. Оболочка их -- тот еще блоб.
специально чтобы тебе было о чём писать на опеннете.
Потому и свободное, что позволяет делать глупости. Если всё прибито бинарниками к единственно верному пути, тогда это уже несвободное. И если в этом несвободном возникла ошибка - её самостоятельно не исправишь.
> Потому и свободное, что позволяет делать глупости. Если всё прибито бинарниками к
> единственно верному пути, тогда это уже несвободное. И если в этом
> несвободном возникла ошибка - её самостоятельно не исправишь.да нет. тут кричали что в открытом софте ошибок не бывает.. дескать opensource защищает от всего..
Но ведь не защищает сволочь он такая.. Дыры и там есть.. Как теперь жить то ?
> да нет. тут кричали что в открытом софте ошибок не бывает.. дескать opensource защищает от всего..Если открыть доступ к root и всем остальным без пароля и выставить в сеть, то ваши данные в опасности. Не потому, что opensource плохой, а потому что вы дурак. Всё.
Opensource безопасен не потому, что в нём ошибок не делают, а потому, что в нём их быстро исправляют (все заинтересованные стороны).
Opensource это очень мощная сила. А что бывает, когда дураку дать такую мощь и силу, можно наблюдать ежедневно.
>> да нет. тут кричали что в открытом софте ошибок не бывает.. дескать opensource защищает от всего..
> Если открыть доступ к root и всем остальным без пароля и выставить
> в сеть, то ваши данные в опасности. Не потому, что opensource
> плохой, а потому что вы дурак. Всё."Буратино был тупой" (С)
(Лениво) Буратино, даже я, с моим максимализмом для сорокалетнего не характерен. А в сравнении с тобой я просто образец либерализма. И ты по-прежнему считаешь себя взрослым дядькой?
> Opensource безопасен не потому, что в нём ошибок не делают, а потому,
> что в нём их быстро исправляют (все заинтересованные стороны).(лениво) Не ты ли читаешь сорцы и исправляешь баги? Вслух мне исходники ядра линя почитай-ка. На сон грядущий.
> Opensource это очень мощная сила. А что бывает, когда дураку дать такую
> мощь и силу, можно наблюдать ежедневно.Это когда ты мочишься по утрам что-ли? :) Да, получаются дети буратин. :)))))
