The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

FreeBSD: представлена шифрованная ФС и исправлено три серьезные уязвимости

03.10.2009 10:53

Обнаруженная Пшемыславов Фрасунеком (Przemyslaw Frasunek) в конце августа уязвимость, позволяющая локальному непривилегированному пользователю FreeBSD получить root-привилегий, получила свое подтверждение. Более того, пока разработчики FreeBSD готовили исправления, Пржемыслав нашел еще одну подобную уязвимость в другой подсистеме. В итоге, сегодня опубликованы три уведомления:

  • В ветке FreeBSD 6.x найдена уязвимость, позволяющая получить root-привилегии при наличии локального непривилегированного доступа к системе. Уязвимость вызвана проблемой (эффект гонки, "race condition") в коде закрытия pipe и связанна с возможностью обращения к уже освобожденной памяти на многопроцессорных системах в системном вызове kevent.
  • Во всех поддерживаемых версиях FreeBSD 6.x и 7.x найдена уязвимость, которая может привести к разыменованию NULL-указателя из-за "race condition" (изменение указателя, после его проверки на NULL, но до передачи управления) в момент взаимодействия между подсистемами devfs и VFS. В итоге непривилегированный локальный пользователь может добиться выполнения кода с повышенными привилегиями;
  • Третье уведомление о проблеме безопасности описывает возможность отражения кода злоумышленника на нулевой адрес (мапинг нулевого адреса на пространство пользователя), что позволяет успешно эксплуатировать предыдущие две уязвимости, позволяющие передать управление по NULL-указателю. Для управления мапингом в нулевой адрес добавлена sysctl переменная "security.bsd.map_at_zero".

Кроме того, можно отметить анонс, разработанной Глебом Курцовым (Gleb Kurtsou) в рамках программы Google Summer of Code шифрованной файловой системы pefs, обладающей следующими возможностями:

  • Работа на уровне ядра, без использования FUSE;
  • Случайный для каждого файла вектор инициализации шифрования (tweak-значение);
  • Запись метаданных только в зашифрованном имени файла, не меняя содержимого файла;
  • Сохранение прежнего размера файла после шифрования;
  • Возможность использования произвольного числа ключей;
  • Поддержка смешивания зашифрованных разными ключами файлов в одной директории;
  • Прозрачный режим выполнения операций (без шифрования, только для чтения, упрощенный доступ к снапшотам ФС);
  • Возможность смены ключа для зашифрованного файла;
  • Поддержка алгоритмов шифрования: AES и Camellia в CTR-режиме, Salsa20.

В настоящее время система pefs используется на рабочей машине для шифрования почтовых ящиков и протестирована при работе поверх файловых систем ZFS, UFS и tmpfs. Инструкцию по установке pefs можно найти здесь. Также доступны результаты измерения производительности, при использовании алгоритмов шифрования salsa20 и aes128 по сравнению с производительностью доступа к незашифрованным данным на ZFS разделе. Разница примерно в два раза, но это в порядке вещей - в Linux система eCryptfs демонстрирует аналогичное замедление.

  1. Главная ссылка к новости (http://www.freebsd.org/securit...)
  2. OpenNews: Неподтвержденное заявление об опасной уязвимости в ядре FreeBSD
  3. OpenNews: Найденная уязвимость показала важность постоянного мониторинга вносимого кода
  4. OpenNews: В Linux ядре найдена уязвимость, присутствующая с 2001 года
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/23712-freebsd
Ключевые слова: freebsd, crypt, security
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (76) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, hatelinux (?), 13:46, 03/10/2009 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    а про своп раздел Глеб не забыл?
    или это еще одна оставленная уязвимость на будущее?
     
     
  • 2.21, Gleb Kurtsou (?), 20:23, 03/10/2009 [^] [^^] [^^^] [ответить]  
  • +/
    >а про своп раздел Глеб не забыл?
    >или это еще одна оставленная уязвимость на будущее?

    читаейте что в новости пишут хотя бы.

    это stacked файловая система. аналогичная eCryptfs в linux. или иначе говоря nullfs + encryption.

     
  • 2.91, аноним (?), 16:47, 12/10/2009 [^] [^^] [^^^] [ответить]  
  • +/
    Я думаю Глеб не так глуп, как многие здесь присутствующие. Залочить страницы в ядре - не проблема.
     

  • 1.2, aZ (ok), 13:55, 03/10/2009 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    А чем ему для шифрования geli не угодил?
     
     
  • 2.16, xxx (??), 18:09, 03/10/2009 [^] [^^] [^^^] [ответить]  
  • +/
    >А чем ему для шифрования geli не угодил?

    Видимо тем, что шифрует весь раздел. Тут же можно файлы поотдельности.

     
     
  • 3.20, Gleb Kurtsou (?), 20:22, 03/10/2009 [^] [^^] [^^^] [ответить]  
  • +/
    это stacked файловая система. аналогичная eCryptfs в linux. или иначе говоря nullfs + encryption. geli -- шифрование но уровне блочного устройства
     
     
  • 4.77, iZEN (ok), 22:11, 05/10/2009 [^] [^^] [^^^] [ответить]  
  • +/
    >это stacked файловая система. аналогичная eCryptfs в linux. или иначе говоря nullfs
    >+ encryption. geli -- шифрование но уровне блочного устройства

    Ну и? Geli нельзя разве завести как криптоконтейнер на MD-устройстве (смонтированном файле как устройстве).

     

  • 1.3, Аноним (-), 14:04, 03/10/2009 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    «Сохранение прежнего размера файла, после шифрования; »
    OMG! И это декларируется как feature? Этот мир совсем сошел с ума?
     
     
  • 2.4, hatelinux (?), 14:16, 03/10/2009 [^] [^^] [^^^] [ответить]  
  • –1 +/
    >«Сохранение прежнего размера файла, после шифрования; »
    >OMG! И это декларируется как feature? Этот мир совсем сошел с ума?

    ОМГ а после шифрования должен меняться размер файла?

     
     
  • 3.10, anonymous (??), 15:45, 03/10/2009 [^] [^^] [^^^] [ответить]  
  • +/
    Почему нет? Добавляется "cоль" для еще более сильной защиты и элементы избыточности например.
     
     
  • 4.11, hatelinux (?), 17:00, 03/10/2009 [^] [^^] [^^^] [ответить]  
  • +/
    >Почему нет? Добавляется "cоль" для еще более сильной защиты и элементы избыточности например.

    при/после расшифровке что делать с этой солью? куда ее девать?
    или вводить дополнительные контейнеры для избыточности что бы хранить начало и размер оригинального файла?

     
     
  • 5.15, xxx (??), 18:06, 03/10/2009 [^] [^^] [^^^] [ответить]  
  • +/
    Это были риторические вопросы?
     
     
  • 6.79, Michael Shigorin (ok), 22:58, 05/10/2009 [^] [^^] [^^^] [ответить]  
  • +/
    >Это были риторические вопросы?

    Это молодому дарованию хватает времени ненавидеть, но не хватает денег на SotW. :)

     
  • 4.22, Gleb Kurtsou (?), 20:38, 03/10/2009 [^] [^^] [^^^] [ответить]  
  • +1 +/
    >Почему нет? Добавляется "cоль" для еще более сильной защиты и элементы избыточности
    >например.

    нет. здесь дело совсем в другом. традиционно стековые файловые системы, реализующие шифрование (как eCryptfs и encfs), добавляют в тело файла дополнительную информацию: только в заголовок или и в середину файла тоже. что негативно влияет на производительность и чревато ошибками т.к. на порядок (ОЧЕНЬ) усложняет дизайн файловой системы. идея в том, что файловая система спроектирована так, что никакой обработки непосредственно данных не производится. что и является фичей. записать это в одну строчку просто сложно.

    а то, что размер файла не увеличивается да размера блока шифра -- это скорее приятный сайдэффект.

     
  • 2.32, User294 (ok), 01:36, 04/10/2009 [^] [^^] [^^^] [ответить]  
  • +/
    > OMG! И это декларируется как feature? Этот мир совсем сошел с ума?

    JFYI, ряд алгоритмов оперирует только *блоками* вполне конкретного размера и не может работать иначе. Посему - в случае чего для таких алгоритмов данные padd'ятся до размера блока. А как иначе то? Более того - а жесткие диски умеют писать данные только блоками по 512 байтов. Так что если вы хотите записать 10 байтов, по факту будет записано как минимум 512 и баста :).При необходимости - будет прочитано 512 байтов, пропатчено 10 и записано обратно. Для вас это будет "записано 10 байтов", да.

     
     
  • 3.54, аноним (?), 02:03, 05/10/2009 [^] [^^] [^^^] [ответить]  
  • +/
    Опять вам надо матчасть пересказывать? До'pad'дить конец файла до размера блока можно налету. Речь шла о хранении метаданных, но вы как обычно не читатель.
     
  • 3.75, Дмитрий Ю. Карпов (?), 20:48, 05/10/2009 [^] [^^] [^^^] [ответить]  
  • +/
    Дисковое пространство может выделяться блоками, размер которых может быть любым, в т.ч. и меньшим, чем размет сектора на диске.
     

  • 1.5, hatelinux (?), 14:28, 03/10/2009 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    а со стороны FreeBSD хорошая подстава по секьюрити апдейтам
    можно было их выпустить в понедельник когда люди на работе
    а не в выходные когда все и большинство отдыхают
     
     
  • 2.6, Антон (??), 14:49, 03/10/2009 [^] [^^] [^^^] [ответить]  
  • +/
    вообще, у людей все обычно автоматом скриптами обновляется
     
     
  • 3.7, hatelinux (?), 15:01, 03/10/2009 [^] [^^] [^^^] [ответить]  
  • +1 +/
    >вообще, у людей все обычно автоматом скриптами обновляется

    еще скажите пересобирают и обновляют мир

     
     
  • 4.28, аноним (?), 00:26, 04/10/2009 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Да, а в чем проблема?
     
  • 4.53, Гость (?), 23:36, 04/10/2009 [^] [^^] [^^^] [ответить]  
  • +/
    >>вообще, у людей все обычно автоматом скриптами обновляется
    >
    >еще скажите пересобирают и обновляют мир

    А пакеты в FreeBSD есть? В Linux (конкретно в Debian и т.д.) обновление бы выглядело так:

    apt-get update
    apt-get upgrade

    FreeBSD так умеет?

     
     
  • 5.58, IIIenapg (?), 03:21, 05/10/2009 [^] [^^] [^^^] [ответить]  
  • +/
    Сколько можно объяснять:
    freebsd-update fetch install
     
  • 5.60, аноним (?), 07:00, 05/10/2009 [^] [^^] [^^^] [ответить]  
  • +/
    >А пакеты в FreeBSD есть? В Linux (конкретно в Debian и т.д.)
    >обновление бы выглядело так:
    >
    >apt-get update
    >apt-get upgrade
    >
    >FreeBSD так умеет?

    Пакеты есть. Умеет.

    portupgrade -a - обновить все из исходников
    portupgrade -aP - обновить все из пакетов

     
     
  • 6.61, oops (?), 07:39, 05/10/2009 [^] [^^] [^^^] [ответить]  
  • +/
    >portupgrade -aP - обновить все из пакетов

    portupgrade -aPP.


     
     
  • 7.62, аноним (?), 08:43, 05/10/2009 [^] [^^] [^^^] [ответить]  
  • +/
    >portupgrade -aPP.

    portupgrade -aP. -PP бесполезно, ибо зафейлится, если пакета нету вообще нигде, вместо того, чтобы собрать порт.

     
  • 7.86, Денис Юсупов (?), 15:27, 08/10/2009 [^] [^^] [^^^] [ответить]  
  • +/
    portupgrade -Pary ещё лучше - дополнительно не задавать глупых вопросов и делать рекурсивные обновления.
     
  • 3.8, RAA (??), 15:05, 03/10/2009 [^] [^^] [^^^] [ответить]  
  • +2 +/
    А потом автоматом исправляются все возможные проблемы?...Красота!
     
     
  • 4.9, QuAzI (ok), 15:41, 03/10/2009 [^] [^^] [^^^] [ответить]  
  • +/
    Вот вы забодали. А у людей локально посторонние юзвери, да ещё мнящие себя мегахацкерами, по серверам не ходят. А есть ещё хомяк смонтированный с noexec
     
     
  • 5.13, настоящий_аноним (?), 17:26, 03/10/2009 [^] [^^] [^^^] [ответить]  
  • +/
    >Вот вы забодали. А у людей локально посторонние юзвери, да ещё мнящие
    >себя мегахацкерами, по серверам не ходят. А есть ещё хомяк смонтированный
    >с noexec

    Любой хостинговый продакшн - рассадник левых людей и мегахацкеров по определению.
    А noexec вообще ничего не решает, ибо элементарно обходится. Стыдно не знать.

     
     
  • 6.76, Дмитрий Ю. Карпов (?), 20:49, 05/10/2009 [^] [^^] [^^^] [ответить]  
  • +/
    > noexec вообще ничего не решает, ибо элементарно обходится.

    Мне стыдно - я не знаю. Расскажите, как.

     
     
  • 7.87, Денис Юсупов (?), 15:29, 08/10/2009 [^] [^^] [^^^] [ответить]  
  • +/
    >> noexec вообще ничего не решает, ибо элементарно обходится.
    >
    >Мне стыдно - я не знаю. Расскажите, как.

    Ключевое слово для поиска в гугл - интерпретируемые языки.
    Другими словами, perl -f /tmp/script.pl прекрасно выполнится и в случае, если /tmp будет как noexec смонтирован.

     
  • 5.33, User294 (ok), 01:37, 04/10/2009 [^] [^^] [^^^] [ответить]  
  • +/
    >Вот вы забодали. А у людей локально посторонние юзвери, да ещё мнящие
    >себя мегахацкерами, по серверам не ходят.

    Хостингам это расскажите. А заодно и кульным перцам которые сломав один сайт потом имеют и другие :)

     
  • 3.12, настоящий_аноним (?), 17:24, 03/10/2009 [^] [^^] [^^^] [ответить]  
  • +/
    >вообще, у людей все обычно автоматом скриптами обновляется

    Бггг. Дайте мне скрипт, который сделает make buildworld, make kernel, make installworld и mergemaster за меня, и при этом ничего не сломает!

     
     
  • 4.14, Аноним (-), 17:38, 03/10/2009 [^] [^^] [^^^] [ответить]  
  • +2 +/
    freebsd-update
    если ядро нестандартное - нужно будет только его и пересобрать.
    Но автоматом я бы, пожалуй, не обновлялся даже имея GENERIC-ядро.
     
     
  • 5.18, aZ (ok), 19:45, 03/10/2009 [^] [^^] [^^^] [ответить]  
  • –2 +/
    Да вы просто мистер-очевидность!
     
  • 4.29, аноним (?), 00:27, 04/10/2009 [^] [^^] [^^^] [ответить]  
  • +/
    >Бггг. Дайте мне скрипт, который сделает make buildworld, make kernel, make installworld
    >и mergemaster за меня, и при этом ничего не сломает!

    А покажите-ка мне скрипт, который что-то при этом сломает.

     
     
  • 5.47, настоящий_аноним (?), 18:22, 04/10/2009 [^] [^^] [^^^] [ответить]  
  • +/
    >>Бггг. Дайте мне скрипт, который сделает make buildworld, make kernel, make installworld
    >>и mergemaster за меня, и при этом ничего не сломает!
    >
    >А покажите-ка мне скрипт, который что-то при этом сломает.

    Администраторы FreeBSD смеются над вами.
    Слово mergemaster вам ни о чем не говорит.
    И make installworld в многопользовательском режиме вы никогда не пытались делать.

    В общем, непонятно, почему вы на опеннете, а не на башорге.

     
     
  • 6.49, свиноежик (?), 19:21, 04/10/2009 [^] [^^] [^^^] [ответить]  
  • +/
    Я делал make installworld в многопользовательском режиме и все прошло нормально. Что я делал не так?
     
     
  • 7.68, kookoo (?), 14:46, 05/10/2009 [^] [^^] [^^^] [ответить]  
  • +/
    +1
    где засада?
     
     
  • 8.88, Денис Юсупов (?), 15:30, 08/10/2009 [^] [^^] [^^^] [ответить]  
  • +/
    2, всегда так делаю ЧЯДН ... текст свёрнут, показать
     
  • 6.74, аноним (?), 20:14, 05/10/2009 [^] [^^] [^^^] [ответить]  
  • +/
    >Администраторы FreeBSD смеются над вами.
    >Слово mergemaster вам ни о чем не говорит.
    >И make installworld в многопользовательском режиме вы никогда не пытались делать.
    >
    >В общем, непонятно, почему вы на опеннете, а не на башорге.

    А не задержись вы в своем развитии на ls, cd и handbook'е, вы бы руководствовались своими мозгами, а не ОБС. Да, я пытался делать installworld в многопользовательском режиме, более того, я всегда обновляюсь именно так, в том числе между ветками, еще с 4.5. От вас я жду эссе на 5000 слов про то, где именно оно может сломаться, и почему не ломается.

    Про mergemaster еще проще - проштудируйте для начала ман на предмет -Ui, потом вспомните, какие конфиги кардинально меняли синтаксис за последние 3 года, а если у вас так развиты телепатичекие способности, скажите какие из них я использую.

    Удачи в профессиональном росте.

     
  • 2.30, Iv945n (ok), 01:21, 04/10/2009 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > а со стороны FreeBSD хорошая подстава по секьюрити апдейтам можно было их выпустить в понедельник когда люди на работе а не в выходные когда все и большинство отдыхают

    Нефиг бездельничать в выходные, выходные предназначены как раз для того чтобы реконфигурацию системы делать, железо менять, обновления ставить, новые фичи вводить и т.п. пока планктон на душой не стоит.

     
     
  • 3.34, User294 (ok), 01:38, 04/10/2009 [^] [^^] [^^^] [ответить]  
  • +/
    А ваши шефы знают что вы рветесь работать без выходных и праздников? :)
     
     
  • 4.36, Iv945n (ok), 01:48, 04/10/2009 [^] [^^] [^^^] [ответить]  
  • –1 +/
    >А ваши шефы знают что вы рветесь работать без выходных и праздников?
    >:)

    С большей частью "шефов" (а это не маленькие фирмы), партнёров, поставщиков и субподрядчиков я работаю исключительно по выхдным и вечерам, не стесняясь выражать своё призрение в ответ на отмазки и попытки вомзущаться. Потому что в рабочее время я безвылазно сижу на фирме, где мне за более простую работу и нахождение 9 часов на рабочем месте платят стабильный хороший оклад. Бугога. :-)

     
     
  • 5.51, Питросян (?), 21:47, 04/10/2009 [^] [^^] [^^^] [ответить]  
  • +/
    Какие интеллигентные у вас партнеры:-) Обычно просто объясняют, насколько восприимчива душа шерифа, к проблемам индейского населения и сообщают режим работы. Это если вообще решат общаться.
     
     
  • 6.67, Iv945n (ok), 11:58, 05/10/2009 [^] [^^] [^^^] [ответить]  
  • +/
    >Какие интеллигентные у вас партнеры:-) Обычно просто объясняют, насколько восприимчива душа шерифа,
    >к проблемам индейского населения и сообщают режим работы. Это если вообще
    >решат общаться.

    Таки они деньги зарабатывают. Не решат одни, желающих достаточно :-) Местные сами по себе по менталитету достаточно энертны, здесь даже аптеки в большинстве своём работают только до 7 вечера и только в рабочие дни, но когда люди имеют существенный личный интерес, они становятся гораздо сговорчивее и рациональнее, особенно в кризис....

     
  • 4.69, Warhead Wardick (?), 18:06, 05/10/2009 [^] [^^] [^^^] [ответить]  
  • +/
    >А ваши шефы знают что вы рветесь работать без выходных и праздников? :)

    User294 - это тока в России (да и то - уже не везде!) начальство не знает за что и как платит сотрудникам и что у них в контракте написано. А написано обычно всё что после 7pm и до 8 am = 2 * hourly_rate + такси туда-сюда + хавчик + emergency call pickup. Кстате тут уже кто то писал про это.

    Так что начальство - знает. И это одна из его функций сделать так чтобы ты выполнил работу дешевле :) Мне к примеру не дают общаться с кастомерами по их первому звонку - в саппорте седят ребята с рэйтом вдвое меньше ... Ну и и.д. User294 - поработай на нормального большого буржуя, всй поймешь.

    Я боссу тут же доложился мол-так и так - ГОРИМ! К выезду котов. На что получил резонный ответ - торопиться не надо, не наломай дров. К следующей пятнице справишься? Заработаешь с такими жлобами - как же, хорошо хоть линуксы и винда тоже есть а то бы пошел в кодеры за еду :))))

     

  • 1.17, Dorlas (??), 19:25, 03/10/2009 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Обновление на автомате в любой ОС чревато тем, что в одно "прекрасное" утро Вы словите баг от пришедшего ночью "update" - и хорошо, если Вы сможете отследить, после установки какого патча все окривело...

    PS: Всем людям свойственно иногда ошибаться - другое дело, что при обновлении вручную больше шансов понять, на каком этапе наступила бяка :)

     
  • 1.19, Gleb Kurtsou (?), 20:18, 03/10/2009 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    поправьте, пожалуйста, текст новости. Глеба Карцева по-русски зовут Глеб Курцов :)
     
     
  • 2.27, ABC (??), 00:18, 04/10/2009 [^] [^^] [^^^] [ответить]  
  • +/
    >поправьте, пожалуйста, текст новости. Глеба Карцева по-русски зовут Глеб Курцов :)

    И не только. Пржемыслава Фрашунека зовут Пшемыслав Фрасунек :)

    Я поправил оба имени ещё днём, но администратору они не понравились, похоже :)

     

  • 1.23, F.Y. (?), 20:43, 03/10/2009 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Да всё нормально чего разорались то? Или надо было молчать в тряпочку как M$ а теперь и ... ну да знаете сами кто :)
    За выходные как раз все и обновлю, да еще и овертаймы заплатят (2*hourly rate + transportation + food expences) ... нашли блин проблему :)

     
  • 1.25, VKraft (?), 22:50, 03/10/2009 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Core team FBSD медленно реагирует. товарисчь благодаря которому оно найдено об этом говорил где-то пару недель назад с описанием. конечно мало у кого кто не попадя (не доверенный) в системе сможет скомпилить бинарник и запустить (или подсунуть готовый) но факт медленного реагирования и вероятность того что ошибки есть ещё настораживают.
     
     
  • 2.35, F.Y. (?), 01:40, 04/10/2009 [^] [^^] [^^^] [ответить]  
  • +/
    Ошибки есть везде - это раз.
    А ты думаешь что исправление - два байта поменять? Исправить не наломав дров - это время. Это два.
    Лучше все равно ничего нет и это три :)
     
     
  • 3.41, sHaggY_caT (ok), 07:27, 04/10/2009 [^] [^^] [^^^] [ответить]  
  • +/
    >Лучше все равно ничего нет и это три :)

    Не могу утверждать определенно, но субъективно, последние линуксовые дырки, тот же vmsplice и пр, патчились гораздо быстрее, вплоть до того, что на следующий день, в который же были доступны бинарные фиксы для основных дистрибутивов.

     
     
  • 4.56, аноним (?), 02:30, 05/10/2009 [^] [^^] [^^^] [ответить]  
  • +/
    >Не могу утверждать определенно, но субъективно, последние линуксовые дырки, тот же vmsplice
    >и пр, патчились гораздо быстрее, вплоть до того, что на следующий
    >день, в который же были доступны бинарные фиксы для основных дистрибутивов.

    Дык они и гораздо опаснее были.


     
     
  • 5.66, sHaggY_caT (ok), 11:37, 05/10/2009 [^] [^^] [^^^] [ответить]  
  • +/
    >Дык они и гораздо опаснее были.

    Не факт, совсем. Локальный шел для FreeBSD гораздо опаснее, так как в хостинге ее используют, обычно, без виртуализации, в Linux же есть контейнеры, которые работают так же без оверхеда, как и натив (в production OVZ и PVC, скоро там же появится LXC), в которых все без исключения последние эсплойты не работали. Не знаю, аффектит ли этот эсплойт jail-окружения, но они (jail-окружения)очень далеки от концепций HighLoad систем(хотя РУ-Центр и использует патченное chroot-окружение, возможно, кто-то еще использует jail, все это бесконечно далеко по функционалу от OVZ/PVC и даже от Solaris Zones).

    FreeBSD-ый HighLoad это stadolone сервер под, например, FAMP, с четким разделением ролей по серверам, с использованием HTTP-реверс-прокси, и т д.
    Хостеров с shell-доступом, которые по каким-то причинам не обновили свои, например, 7.0 на бэкэндах с Апачем просто очень много :(

    Из этических соображений прошу не требовать от меня их названий.

     
     
  • 6.78, iZEN (ok), 22:20, 05/10/2009 [^] [^^] [^^^] [ответить]  
  • +/
    >>Дык они и гораздо опаснее были.
    >
    >Не факт, совсем. Локальный шел для FreeBSD гораздо опаснее, так как в
    >хостинге ее используют, обычно, без виртуализации, в Linux же есть контейнеры,
    >которые работают так же без оверхеда, как и натив (в production
    >OVZ и PVC, скоро там же появится LXC), в которых все
    >без исключения последние эсплойты не работали. Не знаю, аффектит ли этот
    >эсплойт jail-окружения, но они (jail-окружения)очень далеки от концепций HighLoad систем(хотя РУ-Центр
    >и использует патченное chroot-окружение, возможно, кто-то еще использует jail, все это
    >бесконечно далеко по функционалу от OVZ/PVC и даже от Solaris Zones).

    Вот здесь поподробней, пожалуйста, чем jail(8) "бесконечно далеко по функционалу от OVZ/PVC и даже от Solaris Zones".

     
     
  • 7.80, Michael Shigorin (ok), 23:05, 05/10/2009 [^] [^^] [^^^] [ответить]  
  • +/
    См., например, vzctl(8).
     
     
  • 8.81, iZEN (ok), 09:06, 06/10/2009 [^] [^^] [^^^] [ответить]  
  • +/
    Какая-то плоская среда над chrot, никаких преимуществ перед jail 8 , кроме выд... текст свёрнут, показать
     
     
  • 9.83, Michael Shigorin (ok), 18:40, 06/10/2009 [^] [^^] [^^^] [ответить]  
  • +/
    Можно конкретнее Там, например, реализован двуслойный скедулер -- сперва проце... текст свёрнут, показать
     
     
  • 10.84, iZEN (ok), 20:23, 06/10/2009 [^] [^^] [^^^] [ответить]  
  • +/
    В Jails v2 сделали только для привязки к ядрам процессоров - cpuset 1 способен... текст свёрнут, показать
     
     
  • 11.85, Michael Shigorin (ok), 20:34, 06/10/2009 [^] [^^] [^^^] [ответить]  
  • +/
    Это очень грубо, хотя уже лучше, чем совсем никак В линуксе есть и taskset 1 , ... текст свёрнут, показать
     
  • 3.64, andr.mobi (??), 10:10, 05/10/2009 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > Лучше все равно ничего нет и это три :)

    в точку.

     
     
  • 4.72, Аноним (-), 18:21, 05/10/2009 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Двойные стандарты у некоторых и отсутствие объективности - вот это в точку.

    Помнится недавно про такуж же по смыслу дыру в линуксе написали что это критично и развели вагон срача. А тут философствуют про то что случается, дескать. Почему-то большинство бздунов - жуткие лицемеры.

     
  • 2.43, kkk (??), 14:15, 04/10/2009 [^] [^^] [^^^] [ответить]  
  • +/
    Да, причем здесь core team ?

    Если прочитать SA, то становится очевидно, что эти дырки были закрыты задолго до того, как их отрепортил поляк. RELENG_7 была исправлена где-то год и пол года тому назад, соотв. В RELENG_6 фиксы не были закоммичены из-за лености соответствующего коммитера.

    Анализ, подготовка, тестирование, составление advisory и коммит в RELENG_X_Y занимают очень много времени, плюс тот факт, что в stable/7 и stable/8 этих проблем давно нет.

     
  • 2.59, IIIenapg (?), 03:29, 05/10/2009 [^] [^^] [^^^] [ответить]  
  • +/
    >Core team FBSD медленно реагирует. товарисчь благодаря которому оно найдено об этом
    >говорил где-то пару недель назад с описанием. конечно мало у кого
    >кто не попадя (не доверенный) в системе сможет скомпилить бинарник и
    >запустить (или подсунуть готовый) но факт медленного реагирования и вероятность того
    >что ошибки есть ещё настораживают.

    Это не так, SecurityTeam патч изготовили быстро, все остальное время его тестировали, дабы ничего не сломать.

     
  • 2.89, Денис Юсупов (?), 15:33, 08/10/2009 [^] [^^] [^^^] [ответить]  
  • +/
    >Core team FBSD медленно реагирует. товарисчь благодаря которому оно найдено об этом
    >говорил где-то пару недель назад с описанием.

    Чел из core team говорил, что они уведомление от этого товарища протеряли в спаме :)

     

  • 1.44, 999 (ok), 14:57, 04/10/2009 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Т.е. теперь null-бага выключается методом sysctl security.bsd.map_at_zero=0.
    Плавный переход от багов к фичам...
     
  • 1.48, Nas_tradamus (ok), 18:41, 04/10/2009 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Подскажите кто-нибудь, а как применить исправления уязвимости к 7.1 без перезагрузки?
    Мне должно быть стыдно, но я знаю только один способ пересобрать ядро.
     
     
  • 2.52, hatelinux (?), 21:52, 04/10/2009 [^] [^^] [^^^] [ответить]  
  • +/
    >Подскажите кто-нибудь, а как применить исправления уязвимости к 7.1 без перезагрузки?
    >Мне должно быть стыдно, но я знаю только один способ пересобрать ядро.

    очень просто
    пишите модуль
    который должен состоять из трех функций
    1) создание набора страниц схожих на те в котоых находиться текущий kernel
    2) подрузка нового kernel в этот новый набор страниц
    3) остановка всех CPU (если это SMP) и перевода первого CPU на выполнение токо одной функции
        функциия должна сменить один набор страниц на другой

    все радуемся жизни без перегрузки сервера

     
     
  • 3.55, pavlinux (ok), 02:20, 05/10/2009 [^] [^^] [^^^] [ответить]  
  • +/
    А у Вас kexec() нету?
     
     
  • 4.63, kegf (??), 09:36, 05/10/2009 [^] [^^] [^^^] [ответить]  
  • +/
    обновляешь бинарник, перезапускаешь процесс.
     
  • 4.70, Warhead Wardick (?), 18:10, 05/10/2009 [^] [^^] [^^^] [ответить]  
  • +/
    >А у Вас kexec() нету?

    Нету. Мы все умрём да?! :)

     
  • 3.90, Денис Юсупов (?), 15:34, 08/10/2009 [^] [^^] [^^^] [ответить]  
  • +/
    >все радуемся жизни без перегрузки сервера

    Эм...мне стыдна, но я нихрена не понял :)
    Это стёб такой или реально работает?


     

  • 1.82, Nas_tradamus (ok), 12:47, 06/10/2009 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Не пойму что я такого сказал (я про критику ОС FreeBSD, которую же сам использую), что нужно было удалить мой коммент. Быть может меня бы переубедили, указав на мое неверное понимание философии данной ОС?
     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Партнёры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2024 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру