В реализации гипервизора KVM выявлена (http://secunia.com/advisories/57213/) уязвимость (CVE-2014-0049), позволяющая пользователю гостевой системы выполнить код на уровне ядра гостевой системы. Проблема вызвана ошибкой в функции "complete_emulated_mmio()" (arch/x86/kvm/x86.c), проявляющейся при обработке повторяющихся эмулированных операций emulator_read_write, что при определённом стечении обстоятельств может привести к повреждению областей памяти ядра. Уязвимость подтверждена (http://secunia.com/advisories/57216) в ядрах 3.10.x, 3.12.x и 3.13.x. Стабильные выпуски Debian и RHEL не подвержены проблеме, для Fedora 20 выпущено обновление kernel-3.13.5-202.fc20. Для основной ветки ядра Linux исправление доступно (https://git.kernel.org/cgit/linux/kernel/git/torvalds/linux....) в виде патча.URL: http://secunia.com/advisories/57213/
Новость: http://www.opennet.me/opennews/art.shtml?num=39254
>Стабильные выпуски Debian и RHEL не подвержены проблемеВот и ответ модным-молодежным любителям самого свежего софта,
Кто рач в продакшн ставит - эталонное ССЗБ.
случайно получилось что уявимость только в новых ядрах. Ты думаешь в дебиане дыр нет?
Учитывая тот факт что нынешние погромисты в новых версиях вносят больше багов чем исправляют, думаю что в среднем меньше чем в арчике.
> Учитывая тот факт что нынешние погромисты в новых версиях вносят больше багов
> чем исправляют, думаю что в среднем меньше чем в арчике.И только маленькая серая мышка вся в белом и знает лучше других как баги исправлять. По такой логике лучше всего использовать MS-DOS 6. Уж его точно не будет никто дописывать..
Мышка не уверена даже в том что их стоит так уж исправлять. В последнее время приоритеты сильно сместились в сторону "компилируется? ship it!", и потребителю важнее новые фичи чем старые баги.MS DOS 6 был, кстати, с точки зрения багов весьма не очень, по сравнению, например, с IBM PC-DOS, не говоря уж о стэкере и рексе в седьмых версиях последнего.
6 это 6.0 или 6.22? если речь о 6.22 это может и верно, за двумя "но"
- 6.22 финальная по сути версия.
- в PC-DOS багами считалось несоответствие MS-DOS. например отсутствие багов ни старом месте и недокументированных фич.
> - 6.22 финальная по сути версия.Ну вот пользуйтесь ей и будьте счастливы.
> - в PC-DOS
А кого эти клоны волнуют? Любители авангардизма могут фридос взять, но он иногда даже развивается и не совсем еще окаменел, так что на свой страх и риск.
> Мышка не уверена даже в том что их стоит так уж исправлять.Не, ну что вы! Зачем?! Оставим как есть. Со старыми дырами. Иначе киддисы очень недовольны когда доисторические эксплойты не срабатывают! Вот сейчас например летает интересненький ботнетик от каких-то exUSSRовских хацкеров, который судя по всему имеет древние хостинги с BSD. Может и чего еще имеет, но большинство живности пока с exUSSR и FreeBSD машин. Хотя и другое уже попадаются. Проблемные хосты замечены хоть с того же FirstVDSа например, известный кладезь BSD-кулсисопов. Но вы не обновляйтесь, да. Киддисам надо барахлишко в ботнетики.
> В последнее время приоритеты сильно сместились в сторону "компилируется? ship it!",
> и потребителю важнее новые фичи чем старые баги.А пруф на какие-нибудь метрики с анализом распределения крутизны и количества багов по времени мы увидим? Или это так, среднепотолочные домыслы серых мышек в норке? :)
> MS DOS 6 был, кстати, с точки зрения багов весьма не очень,
> по сравнению, например, с IBM PC-DOS, не говоря уж о стэкере
> и рексе в седьмых версиях последнего.Ну вот, мышкам даже MS-DOS не нравится. Ну по крайней мере вы можете быть уверены что в 6.22 уж точно никто не будет новые баги добавлять.
> Учитывая тот факт что нынешние погромисты в новых версиях вносят больше багов чем исправляютКонец света уже рядом?
Если бы никто не пользовался самым свежим софтом, то эти ошибки благополучно
переходили бы в стабильные выпуски.
А мы чо, мы только за. Мы вас этого, того... как его там, все слово забываю,... уважаем. Вот.
Песенка ещё есть, про Минное Поле: "... - Молодым у нас везде дорога,... ля-ля-ля ля-ля ля-ля"
Дык радовался бы что самому по минам прыгать не приходится :).
Прыгаем, пляшем и скачем, но за бабло.
прыгать приходится.
но всему своё место и время.
на продакшн серверах - честный stable.
на дэсктопе и тестинг машинках - любые извращения, rc-вёдра, софт прямиком из гита итп.
таким образом на большинство мин нарываешся на машинах которые глубоко пох и в последствии в продакшне если встанет вопрос уже знаешь с какой стороны надо прикрывать свой анус повнимательнее.
> прыгать приходится.
> но всему своё место и время.
> на продакшн серверах - честный stable.
> на дэсктопе и тестинг машинках - любые извращения, rc-вёдра, софт прямиком из гита итп.Ага, будет очень весело, когда на десктопную машинку через дырку в мега-свежем браузере прилетит шелл, апнется до рута через дырку в мега-свежем ядре, и втихую утащит ключи и пароли от всех продакшенов.
а ещё дождь метеоритный, ни ногой из дому без energy armor.
Ага, безопасность - это не главное, все на винду!
бехопасность — она с головы начинается. а описана была херня какая-то.
> Ага, будет очень весело, когда на десктопную машинку через дырку в мега-свежем
> браузере прилетит шелл,Вообще-то обычно эксплойты в паблике - для *старых* версий браузеров. Благодаря политике приплачивать за обнаруженные дыры. А вот кто не обновился - тому амба.
И кто так новости пишет? как проверить подвержена ли система уязвимости или нет
> И кто так новости пишет? как проверить подвержена ли система уязвимости или
> нетТебе никтошеньки в СПО ничего не обязан.
> Тебе никтошеньки в СПО ничего не обязан.Как впрочем и в проприетари. Ну так, если лицензии немного читать иногда.
>> Тебе никтошеньки в СПО ничего не обязан.
> Как впрочем и в проприетари. Ну так, если лицензии немного читать иногда.можно не читать, реальность тоже всё неплохо объясняет. сколько раз народ оставался с бинарным крапом на руках, а авторы даже "пацаны, прощайте" не сказали. Последний раз видел видеорегистратор, к которому софт только на помойках "попробуй, у меня заработало" (в комметах вой и стоны - от не запускается до не работают функции).
Версии ядер написали, что ещё тебе нужно?
> И кто так новости пишет? как проверить подвержена ли система уязвимости или
> неттебе — никак не надо, ты напроверяешь… а для тех, кто знает, что делает — есть ссылки, по которым можно выйти на коммит с исправлением. дальше — применить мозг и подумать, как можно было атаковать через ошибку. но, повторюсь, лично тебе можно ни о чём не переживать.
> И кто так новости пишет? как проверить подвержена ли система уязвимости или нетhttps://security-tracker.debian.org/tracker/CVE-2014-0049
https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2014-0049
http://people.canonical.com/~ubuntu-security/cve/CVE-2014-0049
ну так возьми и почини. ты бы очень удивился, если бы узнал, кто тут новости пишет и сколько их.