URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 90163
[ Назад ]
Исходное сообщение
"Образы Fedora Linux для облачных систем создавались c пустым..."
Отправлено opennews , 25-Май-13 00:21 
Разработчики проекта Fedora сообщили (http://lists.fedoraproject.org/pipermail/announce/2013-May/0...) о выявлении уязвимости (CVE-2013-2069 (https://access.redhat.com/security/cve/CVE-2013-2069)) в инструментарии livecd-tools, которая приводила к созданию образов облачных окружений с пустым паролем пользователя root, без установки признака блокировки данного аккаунта. Локальный пользователь окружения, в том числе создаваемый по умолчанию, мог получить права пользователя root, выполнив su без ввода пароля. Удалённый вход под пользователем с пустым паролей по умолчанию заблокирован в OpenSSH.  Проблема усугубляется тем, что она затронула официальные AMI-образы Fedora 15, 16, 17 и 18 , подготовленные для облачного сервиса Amazon.

URL: http://lists.fedoraproject.org/pipermail/announce/2013-May/0...
Новость: http://www.opennet.me/opennews/art.shtml?num=37016

Содержание
Сообщения в этом обсуждении
"Образы Fedora Linux для облачных систем создавались c пустым..."
Отправлено Аноним , 25-Май-13 00:21 
Эх, не тот дистрибутив название сменил, ой не тот.
"Образы Fedora Linux для облачных систем создавались c пустым..."
Отправлено хрюкотающий зелюк , 25-Май-13 00:54 
Шел сюда писать коммент с аналогичной мыслью :)
"Образы Fedora Linux для облачных систем создавались c пустым..."
Отправлено Miha , 25-Май-13 09:04 
> Шел сюда писать коммент с аналогичной мыслью :)

Блин, последнее время читать тут камменты с утра стало полезно для здоровья. Несколько минут хорошего смеха заряжают на весь день :)

"Образы Fedora Linux для облачных систем создавались c пустым..."
Отправлено anonimous , 25-Май-13 09:10 
Пояните шутку убогим вроде меня, пожалуйста.
"Образы Fedora Linux для облачных систем создавались c пустым..."
Отправлено Аноним , 25-Май-13 09:58 
http://habrahabr.ru/post/180663/
"Образы Fedora Linux для облачных систем создавались c пустым..."
Отправлено Дядя_Федор , 25-Май-13 18:48 
Они уже осознали. :) http://zenit.senecac.on.ca/wiki/index.php/Pidora_Russian
"Образы Fedora Linux для облачных систем создавались c пустым..."
Отправлено AlexAT , 25-Май-13 19:47 
> Они уже осознали. :) http://zenit.senecac.on.ca/wiki/index.php/Pidora_Russian

Мб для прикола предложить им переименоваться в Fedorasp?

"Образы Fedora Linux для облачных систем создавались c пустым..."
Отправлено Аноним , 25-Май-13 00:30 
Пидорасы, сэр
"Образы Fedora Linux для облачных систем создавались c пустым..."
Отправлено anonymous , 25-Май-13 01:05 
точно, должны были втихаря молчать и не исправлять - никто бы на форумах не ругал.
"Образы Fedora Linux для облачных систем создавались c пустым..."
Отправлено anonymous , 25-Май-13 05:45 
В хорошем смысле. http://pidora.ca .
"Образы Fedora Linux для облачных систем создавались c пустым..."
Отправлено Четланин , 25-Май-13 21:08 
Западло на такой сайт заходить, "законтаченым" станешь!!! :)
"Образы Fedora Linux для облачных систем создавались c пустым..."
Отправлено Легион , 26-Май-13 00:23 
вы про vk.ком?
"Образы Fedora Linux для облачных систем создавались c пустым..."
Отправлено anonymous , 26-Май-13 16:31 
> Западло на такой сайт заходить, "законтаченым" станешь!!! :)

Ты e-mail хоть раз в жизни отправлял/получал?

"Образы Fedora Linux для облачных систем создавались c пустым..."
Отправлено Аноним , 25-Май-13 17:36 
Фидорасы

"Образы Fedora Linux для облачных систем создавались c пустым..."
Отправлено Анонище , 25-Май-13 01:10 
Облака, Федора, рут без пароля. Очень высокотехнологично и современно.
"Образы Fedora Linux для облачных систем создавались c пустым..."
Отправлено pavlinux , 25-Май-13 01:21 
Выросло поколение поттерингов - амбиций, понтов и газификации луж больше, чем мозгов.  
"Образы Fedora Linux для облачных систем создавались c пустым..."
Отправлено anonymous , 25-Май-13 05:46 
Павлин обычно фигню пишет, но в этот раз я с ним согласен.
"Образы Fedora Linux для облачных систем создавались c пустым..."
Отправлено Пр0х0жий , 25-Май-13 06:42 
В десятку. Коротко, точно и ясно озвучено.
"Образы Fedora Linux для облачных систем создавались c пустым..."
Отправлено Аноним , 25-Май-13 07:02 
Ну так что, удобно же. Вбабахал su - и тебе все можно. Все для удобства пользователя, мля :).
"Образы Fedora Linux для облачных систем создавались c пустым..."
Отправлено Карбофос , 25-Май-13 01:33 
Стильно, модно, молодёжно
"Образы Fedora Linux для облачных систем создавались c пустым..."
Отправлено Аноним , 25-Май-13 02:21 
Современно, удобно, юзер-ориентированно
"Образы Fedora Linux для облачных систем создавались c пустым..."
Отправлено UraniumSun , 25-Май-13 04:38 
Сборище дегенератов
"Образы Fedora Linux для облачных систем создавались c пустым..."
Отправлено Аноним , 25-Май-13 22:57 
самокритично
"Образы Fedora Linux для облачных систем создавались c пустым..."
Отправлено UraniumSun , 26-Май-13 11:53 
Я про разработчиков Fedora
"Образы Fedora Linux для облачных систем создавались c пустым..."
Отправлено Нанобот , 26-Май-13 17:06 
А со стороны больше похоже, что о себе и своих одноклассниках
"Образы Fedora Linux для облачных систем создавались c пустым..."
Отправлено Аноним , 26-Май-13 18:39 
> А со стороны больше похоже, что о себе и своих одноклассниках

Он имел в виду всех лун@ходов.

"Образы Fedora Linux для облачных систем создавались c пустым..."
Отправлено Buy , 25-Май-13 04:38 
Эпично!
"Образы Fedora Linux для облачных систем создавались c пустым..."
Отправлено Аноним , 26-Май-13 20:31 
и эстетично одновременно
"Образы Fedora Linux для облачных систем создавались c пустым..."
Отправлено Int , 25-Май-13 10:10 
Ахаха Федора что ты делаешь ахаха прекрати
"Образы Fedora Linux для облачных систем создавались c пустым..."
Отправлено Zenitur , 25-Май-13 11:03 
В Sabayon приходится догадываться что пароль root - "root", а в Pardus пароль root "toor" показывают перед стартом иксов. А в большинстве дистрибутивов Linux на LiveCD root добывается просто по "su". Потому что они на LiveCD и пароль root в этом случае не очевиден для пользователя.
"Образы Fedora Linux для облачных систем создавались c пустым..."
Отправлено Аноним , 25-Май-13 17:45 
>А в большинстве дистрибутивов Linux на LiveCD root добывается просто по "su". Потому что они на LiveCD и пароль root в этом случае не очевиден для пользователя.

su и sudo не путаем?

"Образы Fedora Linux для облачных систем создавались c пустым..."
Отправлено Zenitur , 25-Май-13 21:28 
Знаю только один LiveCD дистрибутив Linux с "sudo". Остальные с "su".
"Образы Fedora Linux для облачных систем создавались c пустым..."
Отправлено Аноним , 26-Май-13 02:42 
Вот только live CD - readonly и грузится обычно пользователем за монитором, чтобы систему посмотреть. Сервак по такой технологии делать глупо. А вот образ для облака - он, сцyко, в реальную эксплуатацию может запускаться. И вот там это уже вполне себе будет дырой, позволяющей вообще любому кто хоть что-то подломил хоть самую капельку вполне себе полноценную такую эскалацию прав до настоящего рута. То-есть любая даже самая мизерная дырка позволяющая выполнение кода приведет к полной компрометации системы вплоть до впихивания в нее руткита.
"Образы Fedora Linux для облачных систем создавались c пустым..."
Отправлено Аноним , 28-Май-13 12:52 
> ... И вот там это уже вполне себе будет дырой, позволяющей вообще любому кто хоть что-то подломил хоть самую капельку вполне себе полноценную такую эскалацию прав до настоящего рута...

...и в группе wheel

"Образы Fedora Linux для облачных систем создавались c пустым..."
Отправлено AlexAT , 25-Май-13 11:53 
Вообще ВСЕХ заставить делать пустой пароль root по умолчанию. Чтобы даже последний идиот знал, что его надо МЕНЯТЬ после развертывания системы.
"Образы Fedora Linux для облачных систем создавались c пустым..."
Отправлено тоже Аноним , 25-Май-13 13:24 
Корпорация Майкрософт в своей неусыпной инновационной работе уже однажды провела подобный эксперимент. Естественно, отразив в документации необходимость ограничения использования учетной записи администратора...
"Образы Fedora Linux для облачных систем создавались c пустым..."
Отправлено AlexAT , 25-Май-13 14:22 
> Корпорация Майкрософт в своей неусыпной инновационной работе уже однажды провела подобный
> эксперимент. Естественно, отразив в документации необходимость ограничения использования
> учетной записи администратора...

Дык, кто хочет - пусть не ограничивает. ССЗБ.

"Образы Fedora Linux для облачных систем создавались c пустым..."
Отправлено Аноним , 26-Май-13 02:44 
> Дык, кто хочет - пусть не ограничивает. ССЗБ.

Не, не только сам себе, к сожалению. Спам, флуд, ддосы и прочая потом достаются не только злобному баклану но и остальным участникам сети. А вот это уже плохо...

"Образы Fedora Linux для облачных систем создавались c пустым..."
Отправлено Аноним , 26-Май-13 02:43 
> идиoт знал, что его надо МЕНЯТЬ после развертывания системы.

В winXP уже было. Оказалось что идиoтов таки многовато - спам с них потом валится очень уж активно.

"Образы Fedora Linux для облачных систем создавались c пустым..."
Отправлено YetAnotherOnanym , 25-Май-13 12:00 
И что за трагедия? Первым, о чём должен задуматься человек, установивший ОС или развернувший образ в облаке - поменять все дефолтные пароли, какие есть (включая snmp community, pg_hba.conf и всё такое). Тут без разницы - пустой пароль, или "root", или ${имядистра}, или что-то ещё общеизвестное.
"Образы Fedora Linux для облачных систем создавались c пустым..."
Отправлено Anonim , 25-Май-13 12:11 
Разработчики мельчают. Мало кто хочет делать что-то хорошо на тех же условиях что ираньше
"Образы Fedora Linux для облачных систем создавались c пустым..."
Отправлено Аноним , 25-Май-13 15:34 
наверно было бы лучше, если бы
>Образы Fedora Linux для облачных систем создавались cо случайным паролем из 64 символов, неизвестным пользователю для активного аккаунта root
"Образы Fedora Linux для облачных систем создавались c пустым..."
Отправлено AlexAT , 25-Май-13 15:37 
И отсутствием других аккаунтов + шифрованной FS.
"Образы Fedora Linux для облачных систем создавались c пустым..."
Отправлено Аноним , 26-Май-13 02:45 
> И отсутствием других аккаунтов + шифрованной FS.

Так по крайней мере взломщики с них спамить и ддосить не будут, так что я за этот вариант :)

"Образы Fedora Linux для облачных систем создавались c пустым..."
Отправлено Аноним , 27-Май-13 00:50 
имхо, по хорошему вообще вредно использовать в облаках что-либо кроме шапки и дэб...
"Образы Fedora Linux для облачных систем создавались c пустым..."
Отправлено Аноним , 27-Май-13 12:28 
Пидора Линакс! Крута!
"Образы Fedora Linux для облачных систем создавались c пустым..."
Отправлено Аноним , 28-Май-13 12:56 
<img src="слоупок.jpg"></img>