Обновление ядра Linux 2.6.32.55, 3.0.18 и 3.2.2 с устранением уязвимостей

26.01.2012 14:37

Представлены очередные корректирующие релизы ядра Linux: 3.2.2 (130 исправлений), 3.0.18 ( 91 исправление) и 2.6.32.55 (27 исправлений). Как обычно, в анонсе выхода новых версий подчеркивается обязательность проведения обновления. Поддержка ветки 3.1.x прекращена, обновления для неё больше выпускаться не будут. Наиболее важным изменением в версиях 3.0.18 и 3.2.2 стало исправление уязвимости в реализации /proc/pid/mem, позволяющей локальному пользователю поднять свои привилегии в системе.

Из подсистем, в которых наблюдаются исправления, можно отметить: CIFS, XFS, ath9k, tuner, bcma, ACPI, TOMOYO, ALSA, Device Mapper, md/raid1, SCSI, HID (добавлена поддержка нескольких новых multitouch-панелей), mac80211, fsnotify, nfsd, ftrace, V4L/DVB, UBIFS, rtl8192se, Xen, drm/radeon, ext4,

Несколько исправленных ошибок, судя по всему, связаны с проблемами безопасности:

Возможность вызова функции по указателю, идущему после таблицы системных вызовов. Теоретическая возможность эксплуатации уязвимости зависит от того, какие данные компилятор разместит после таблицы системных вызовов. Если уязвимость подтвердится, то её можно будет использовать для локального повышения привилегий;
В новые версии внесён патч, препятствующий нарушению безопасности через использование перенаправления SCSI SG_IO ioctl для логических дисковых разделов (если есть доступ к какому-либо дисковому разделу, можно получить доступ и к остальным разделам на заданном блочном устройстве);
В реализации NFSv4 устранено регрессивное изменение, из-за которого при монтировании игнорировалось задание контекста безопасности (опция context);
В uvcvideo устранено целочисленное переполнение в коде функции uvc_ioctl_ctrl_map(), которое может проявиться при передаче из пространства пользователя запроса с большим значением xmap->menu_count, что в итоге приведёт к выделению буфера заведомо меньшего, чем помещаемые в него данные. О возможности эксплуатации указанной проблемы пока ничего не известно;
В коде подсистемы V4L/DVB в реализации ioctl video_usercopy() устранено целочисленное переполнение, которое может привести к размещению части переданных данных вне области выделенного буфера;
В коде xenbus устранено целочисленное переполнение в функции process_msg(), что может быть теоретически использовано для проведения атак, нацеленных на выход за пределы гостевого окружения, но для успешной атаки требует контроля над работой бэкенда xenstore, на работу которого обычные пользователи влиять не могут. Тем не менее, не исключается возможность проведения DoS-атаки.

исправить +14 +/–

Лицензия: CC BY 3.0

Короткая ссылка: https://opennet.ru/32903-linux

Ключевые слова: linux, kernel

При перепечатке указание ссылки на opennet.ru обязательно

Обсуждение (56)

1.1, EuPhobos (ok), 15:00, 26/01/2012 [ответить] [﹢﹢﹢] [ · · · ]	+2 +/–
Низкий поклон) Теперь можно вздохнуть)

1.2, Аноним (-), 15:13, 26/01/2012 [ответить] [﹢﹢﹢] [ · · · ]	–1 +/–
Чем больше пишешь, тем больше ошибок, в том числе критических.

2.3, deadless (ok), 15:54, 26/01/2012 [^] [^^] [^^^] [ответить]	+5 +/–
нужно чаще устраивать bug busting days и все будет хорошо, а если только писать и не проверять, то да, так и будет. тем более когда один пишет, другой исправляет, а третий добавляет. разброд и шатание.

3.5, Viliar (ok), 16:11, 26/01/2012 [^] [^^] [^^^] [ответить]	+/–
Солидарен.

3.18, Андрей (??), 20:28, 26/01/2012 [^] [^^] [^^^] [ответить]

+1 +/–

Эх, бывает легче написать заново, чем искать в уже готовом ошибку.

Но линукс (да и другие GNU-проекты) уже так просто не перепишешь, нужно искать ошибки. А искать ошибки тем не менее никому не хочется. Вот и нужно эту работу сделать привлекательнее! Например:
- В новостях сообщать не только о том, что господин X написал новое Y. А чаще сообщать: господин N исправил M.
- Ведение списка самых активных багоисправителей. Выделить их из общей кучи разработчиков. Что б было видно, кто пишет новое, а кто возится и улучшает уже существующее.
- Учитывая, что автору исправить ошибку в своём коде проще, чем другим, надо как-то повысить их чувство ответственности за то, что они написали.
- Разработать специальные песочницы для лёгкого воспроизведения ошибок. И так, чтобы их (метаданные и самое нужное) можно было легко переслать по мылу.
- ...

А то график списка ошибок в Debian напоминает график среднегодовой температуры. И это повышение не сулит ничего хорошего в обоих случаях.

4.21, Аноним (-), 00:12, 27/01/2012 [^] [^^] [^^^] [ответить]	+1 +/–
И где гарантии что переписанное будет лучше и без багов Переписывать есть смысл... большой текст свёрнут, показать

5.47, Аноним (-), 16:11, 28/01/2012 [^] [^^] [^^^] [ответить]	+/–
все просто, выбираецо неделя, и вся неделя отдается на разборку накопившихся багов в багтрекере. Все. Все девелоперы правят баги относящиеся к их собсвенному коду. Ничего изобретать не надо. Просто лично Линус этого не хочет, он не раз заявлял что его лично устраивает качество кода, ну а раз так ничего и не изменится. Иногда хочется в скилзы Линуса добавить субтильности Theo de Raadt'а. Ато вот эти дыры типа недавней /proc/pid/mem как-то навевают уныние, без grsecurity ставить что-то на ответственные места совсем не хочется. Делать на каждый плевок виртуалку тоже не гуд.

6.49, Аноним (-), 19:50, 28/01/2012 [^] [^^] [^^^] [ответить]	+1 +/–
Все просто а вам никто ничего не обязан Вы не можете приказать кому-то что-то ... большой текст свёрнут, показать

7.59, коксюзер (?), 21:28, 31/01/2012 [^] [^^] [^^^] [ответить]	+/–
> Ну так кроме виртуалок есть еще и LXC, который может пространство PIDов > виртуализовать очень легковесно. Вы сидите в своем загоне и видите только > свои процессы. И все. Ну и хакайте их себе наздоровье, все-равно > они ваши :) LXC пока не готовы для безопасной изоляции: http://www.openwall.com/lists/oss-security/2011/10/26/11 Кроме того, на сегодняшний день нет инструментов для запуска контейнеров, которые бы не оставляли изолированным процессам опасных capabilities: с CAP_SYS_ADMIN можно смонтировать /proc и /sys внутри контейнера на чтение-запись.

1.4, Аноним (-), 16:05, 26/01/2012 [ответить] [﹢﹢﹢] [ · · · ]	+/–
Ребята, подскажите пожалуйста. У меня лэптоп с гибридной графикой от амд радиона, и на Убунте 10.04 переключаться со встроенной графикой ни как не хочет. Из-за этого сильно греется материнская плата и центральный процессор. Обновление до этой версии ядра исправит ситуацию? Спасибо!

2.6, Аноним (-), 16:18, 26/01/2012 [^] [^^] [^^^] [ответить]	+/–
Похоже, что ядро тут не при чем совсем. Для нвидии существует сторонний инструментарий, а что есть для радеона - не имею понятия.

3.7, Аноним (-), 16:23, 26/01/2012 [^] [^^] [^^^] [ответить]	+3 +/–
> Для нвидии существует сторонний инструментарий Это тот, который /usr удалял?

2.9, Аноним (-), 16:36, 26/01/2012 [^] [^^] [^^^] [ответить]	+/–
Английский знаем? Учится хотим? forums.gentoo.org/viewtopic-t-909802.html

3.22, Аноним (-), 00:32, 27/01/2012 [^] [^^] [^^^] [ответить]	+/–
> Английский знаем? Учится хотим? > forums.gentoo.org/viewtopic-t-909802.html Единственное реальное отличие - что вместо emerge будет apt-get install и название пакета иное :)

2.20, xoomer (ok), 22:27, 26/01/2012 [^] [^^] [^^^] [ответить]	+/–
До какого ядра именно? 2.6.32, 3.0.18 или 3.2.2? Имхо, думаю так - раз нынешняя Ubuntu LTS имеет 32-е ядро, то ясное дело, что поддержки этого всего добра нет. Речь идет об AMD Llano? При релизе 32-го ядра этой платфомы ещё не было. Возможно, ядро 3.2 разберется. Но тогда смысл использования Ubuntu LTS теряяется - ядро то обычное будет стоять. Да, имхо в том, что я предполагаю, что для AMD по теме вопроса хватит "ядерных" средств. Копните в сторону "vga_switcheroo".

2.28, Аноним (-), 04:38, 27/01/2012 [^] [^^] [^^^] [ответить]	+/–
> Ребята, подскажите пожалуйста. У меня лэптоп с гибридной графикой от амд радиона, > и на Убунте 10.04 переключаться со встроенной графикой ни как не хочет. А у вас какой драйвер? Проприетарный? Если да - то что, переключение средствами aticonfig - не работает?

2.34, Аноним (-), 10:33, 27/01/2012 [^] [^^] [^^^] [ответить]	+/–
http://asusm51ta-with-linux.blogspot.com/ поддержка есть в ядрах

1.8, Аноним (-), 16:24, 26/01/2012 [ответить] [﹢﹢﹢] [ · · · ]	+/–
Для нвидии существует сторонний инструментарий Так какой же? На нвидео я так понял, что поддержка с драйверами в порядке.

1.10, Аноним (-), 16:56, 26/01/2012 [ответить] [﹢﹢﹢] [ · · · ]	+/–
У меня с 3.2.1 система вообще не загружается. Надеюсь, 3.2.2 исправит проблему.

2.11, Аноним (-), 17:31, 26/01/2012 [^] [^^] [^^^] [ответить]	–3 +/–
> У меня с 3.2.1 система вообще не загружается. Надеюсь, 3.2.2 исправит проблему. Самостоятельно собираете? Тогда ищите свою ошибку. Используете предоставленное дистрибутивом? Тогда научитесь сами собирать.

2.29, killer1804 (??), 06:54, 27/01/2012 [^] [^^] [^^^] [ответить]

+/–

> У меня с 3.2.1 система вообще не загружается. Надеюсь, 3.2.2 исправит проблему.

Возможно если вы напишете в багрепорт, точно указав какое у вас железо, какое ядро, и точно сформулируете "что значит не загружается" - то тогда разработчики ядра найдут время и исправят ошибку.
На деле же может оказаться что дело не в ядре, а в другой части системы, как например в Archlinux, у людей у которых /usr вынесен в отдельный раздел при переходе на kmod были проблемы.

3.33, ArtKun (?), 08:57, 27/01/2012 [^] [^^] [^^^] [ответить]	+/–
Проблема не в Arch. То же самое проявляется и в Fedora, хорошо, что она не стирает прошлую версию ядра при мажорном обновлении. Что значит "не загружается" - написал тут https://bugs.archlinux.org/task/28013 Обновился из тестинга до 3.2.2 - ничего не изменилось.

1.12, ua9oas (?), 17:39, 26/01/2012 [ответить] [﹢﹢﹢] [ · · · ]	+/–
У меня стоит Дебиан 6.0.3 и в нем написано, что ядро по-прежнему 2.6.32.5 i 686. Это так и должно быть или у меня какая то ошибка, что оно не обновляется? (при загрузке обновлений недавно загружало что то похожее на "2.6.32.48". Может ли быть так, что ядро как надо обновлено, но надпись в "Grub" старая? (еще баг- установил около десяти графических окружений но работает только "Гном").

2.14, Аноним (-), 18:15, 26/01/2012 [^] [^^] [^^^] [ответить]	–1 +/–
Все нормально. Ждите обновления к концу года. А следующее обновление - еще года через 2.

2.16, Андрей (??), 20:18, 26/01/2012 [^] [^^] [^^^] [ответить]	+/–
Перед 5-кой там точно точка? Просто есть ядро 2.6.32. В мэйнстриме его исправляют и добавляют .<...>. В Debian'е его тоже исправляют, но необязательно также (например, только security-ошибки, а другие, типа, уже известны и пусть лучше останутся по закону Мерфи). Поэтому используют свою версию: linux-image-2.6.32-5-686_2.6.32-39squeeze1_i386.deb Версия пакета ядра 2.6.32: 2.6.32-5-686, версия ядра: 2.6.32-39squeeze1 А вот в wheezy (testing) видна синхронизация: linux-image-3.2.0-1-686-pae_3.2.1-1_i386.deb Версия пакета ядра 3.2: 3.2.0-1-686-pae, версия ядра: 3.2.1-1 Подозреваю, что в дэбиане ещё не перешли с x.y.z на "x.y" нумерацию. Т.е. для пакета вместо 3.2.0-1 должно было бы быть 3.2-1

2.19, Карбофос (ok), 21:08, 26/01/2012 [^] [^^] [^^^] [ответить]

+/–

для диагностики графики, коли окружения не хотят:
cat /var/log/Xorg.0.log | grep EE

для проверки списка установленных версий ядер:
ls -l /boot
если в списке есть новые версии, то надо проактуализировать списочек.

если сложно работать с консолью apt-get update.. и пр, можно установить synaptic

1.13, Аноним (-), 18:07, 26/01/2012 [ответить] [﹢﹢﹢] [ · · · ]	+/–
>>еще баг - установил около десяти графических окружений но работает только "Гном" Улыбнуло)) А зачем так много то? А если серьёзно, то какой менеджер дисплеев стоит?

1.15, Geidrow (ok), 20:11, 26/01/2012 [ответить] [﹢﹢﹢] [ · · · ]	+/–
Собрался пропатчить ядро (ОС natty), но обнаружилось, что во-первых, на http://kernel.ubuntu.com/~kernel-ppa/mainline/ нет исходников для 2.6.38.13 (только 2.6.38.8), а на http://ck.kolivas.org/patches/bfs/2.6.38/ есть патч только для 2.6.38.6. Может, мне не удалось найти нужные компоненты? Кто-нибудь экспериментировал с патчами от Коливаса на новейших ядрах?

2.24, Аноним (-), 00:53, 27/01/2012 [^] [^^] [^^^] [ответить]	–1 +/–
> Может, мне не удалось найти нужные компоненты? Кто-нибудь экспериментировал с патчами от Коливаса на новейших ядрах? А кто сказал, что они вообще существуют? В смысле, патчи Коливаса на современные ядра. Он же раздолбай еще тот, ему влом это все поддерживать в актуальном состоянии.

3.27, Аноним (-), 04:27, 27/01/2012 [^] [^^] [^^^] [ответить]	+/–
А сказал это http ck kolivas org patches bfs 3 2 0 - от 5 января сего года Д... большой текст свёрнут, показать

3.31, Geidrow (ok), 08:07, 27/01/2012 [^] [^^] [^^^] [ответить]

+/–

> Он же раздолбай еще тот, ему влом это все поддерживать в актуальном
> состоянии.

Просто энтузиазм прошёл.

4.54, Аноним (-), 21:05, 28/01/2012 [^] [^^] [^^^] [ответить]

+/–

> Просто энтузиазм прошёл.

Да ничего у него не прошло, он для релизнутых версий выпускает свой патч, для 3.2 есть. А 3.3 еще не вышел. То что он на минорные подверсии не дергается - так они мало отличаются, политика ваниллы такова что туда вносится тотальный минимум изменений, которые в принципе никак не ждут до новой версии. Эти изменения не меняют ничего фундаментально и лишь исправляют проблемы которые могут быть CRITICAL.

А дергаться на вообще все выпуски у всех и вся - Коливас просто надорвется. В общем то это довольно стандартная практика, придуманная далеко не им.

5.56, Geidrow (ok), 08:47, 29/01/2012 [^] [^^] [^^^] [ответить]

+/–

> А дергаться на вообще все выпуски у всех и вся - Коливас
> просто надорвется.

соглашусь

2.25, Аноним (-), 02:20, 27/01/2012 [^] [^^] [^^^] [ответить]	+/–
1 А ты что, кернел из PPA юзаешь А с ним apt-get source названиепакета при э... большой текст свёрнут, показать

3.30, Geidrow (ok), 08:06, 27/01/2012 [^] [^^] [^^^] [ответить]	+/–
Попробую пропатчить тем, что есть с использованием --dry-run во избежание неожиданностей. Команда apt-get source linux-image-3.0.0-15-generic загрузит исходники в /usr/src? Просто у меня раздел / не настолько большой, чтобы проводить компиляцию — нужно будет преместить исходники в ~.

4.36, Карбофос (ok), 12:42, 27/01/2012 [^] [^^] [^^^] [ответить]	+/–
выход простой - можно сделать символьную ссылку из /usr/src/..., либо компилить прямо в /home/... если, конечно, это не на одной партиции

4.50, Аноним (-), 20:29, 28/01/2012 [^] [^^] [^^^] [ответить]

+/–

> Команда apt-get source linux-image-3.0.0-15-generic загрузит исходники в /usr/src?

В /linux*...

> Просто у меня раздел / не настолько большой, чтобы проводить компиляцию —
> нужно будет преместить исходники в ~.

Ну я тут не виноват. Гуры закидают меня тапками, но на десктопе у меня один раздел. Пилить скромный ssd на части - изврат. Для жирных даунлоадов у меня механические диски. Разделение на систему и данные - соблюдено, хоть и "мягко", не по феншую, зато _мне_ - удобно.

2.26, Michael Shigorin (ok), 02:26, 27/01/2012 [^] [^^] [^^^] [ответить]	+1 +/–
> Собрался пропатчить ядро [...] 2.6.38.x Зачем?

3.32, Geidrow (ok), 08:10, 27/01/2012 [^] [^^] [^^^] [ответить]

+/–

> Зачем?

Иногда курсор передвигается рывками, при проверке хеша большого файла перемотка аудио с заиканием и т.д.
Да и просто поэкспериментировать.

4.35, Карбофос (ok), 12:39, 27/01/2012 [^] [^^] [^^^] [ответить]	+/–
при обработке файлов растёт waitio, вроде как положение дел с отзывчивостью заметно улучшили в 3.2. не тестировали?

5.37, Geidrow (ok), 12:48, 27/01/2012 [^] [^^] [^^^] [ответить]	+/–
> при обработке файлов растёт waitio, вроде как положение дел с отзывчивостью заметно > улучшили в 3.2. не тестировали? В кубунту на ядро накладывают столько патчей, что я, будучи новичком в линуксе, не уверен, что, взяв ванильное ядро, сделаю из него аналог продукта каноникал. А если с ванильным у меня что-то перестанет работать? Какая у Вас ОС и железо и как всё это работает на 3.2? В общем, риски не вдохновляют.

6.38, Карбофос (ok), 13:31, 27/01/2012 [^] [^^] [^^^] [ответить]	+/–
компиляция ванильного ядра не на столько страшна, как это кажется. ;) чтобы минимировать риски, можно просто перенять конфигу старого ядра и скомпилить с ним ванильное. но можно поступить еще проще: коли это кубунта, то можно взять deb пакет из debian unstable репозитория и установить его. не забудьте прихватить kernel-headers файл и тоже установить. если есть закрытые модули, к примеру, от nvidia или amd, то их нужно переустановить для новой версии ядра. не забудьте учесть зависимости. с интеловской графикой всё проще - модули открытые. у меня на работе ноут с интеловской графикой и процем, 32 бита. дома - 64 бита, amd плюс закрытый модуль fglrx для radeon. deb пакеты debian unstable, linux-image http://packages.debian.org/unstable/kernel/linux-image-3.2.0-1-amd64 http://packages.debian.org/unstable/kernel/linux-image-3.2.0-1-486 linux-headers http://packages.debian.org/unstable/kernel/linux-headers-3.2.0-1-amd64 http://packages.debian.org/unstable/kernel/linux-headers-3.2.0-1-486

7.39, Geidrow (ok), 13:45, 27/01/2012 [^] [^^] [^^^] [ответить]

+/–

рискну :)
а alsa встроена в ядро? надеюсь новейшая (есть некоторые проблемы с картой Creative SB Live!). просто вышла 1.0.25, которая не компилится из-за
Unable to locate package linux-backports-modules-alsa-2.6.38-8-generic
E: Couldn't find any package by regex 'linux-backports-modules-alsa-2.6.38-8-generic'
E: Unable to locate package linux-backports-modules-alsa-natty-generic
при выполнении
sudo apt-get install linux-headers-'uname -r' linux-backports-modules-alsa-'uname -r' linux-backports-modules-alsa-lucid-generic build-essential

Почему 2.6.38-8, если в системе используется 2.6.38.13?

8.41, Карбофос (ok), 14:37, 27/01/2012 [^] [^^] [^^^] [ответить]	+/–
не, alsa даже не будет в 3 3, т к вышел уже rc1, новая версия вышла уже после ф... текст свёрнут, показать

9.45, Geidrow (ok), 11:29, 28/01/2012 [^] [^^] [^^^] [ответить]	+/–
это поправимо без серьёзного вмешательства ... текст свёрнут, показать

10.46, Карбофос (ok), 13:41, 28/01/2012 [^] [^^] [^^^] [ответить]	+/–
в пределах одной версии изменения минимальны, так что для ветки 2 6 38 должно ср... текст свёрнут, показать

6.42, xoomer (ok), 22:46, 27/01/2012 [^] [^^] [^^^] [ответить]	+/–
На домашней машине Maverick, правда изрядно подточенную под себя, гонял на vanilla kernel. Вроде-бы хорошо было. :)

7.43, Geidrow (ok), 11:22, 28/01/2012 [^] [^^] [^^^] [ответить]	+/–
> На домашней машине Maverick, правда изрядно подточенную под себя, гонял на vanilla > kernel. Вроде-бы хорошо было. :) А железо какое, в частности звуковая карта?

8.44, Geidrow (ok), 11:26, 28/01/2012 [^] [^^] [^^^] [ответить]	+/–
можно поподробнее ... текст свёрнут, показать

9.48, xoomer (ok), 18:57, 28/01/2012 [^] [^^] [^^^] [ответить]	+/–
Компьютер http goo gl RzrjP Звуковая - чип от Realtek 1 отключением служб... текст свёрнут, показать

10.51, Geidrow (ok), 20:44, 28/01/2012 [^] [^^] [^^^] [ответить]	+/–
У него всё работает без танцев веб, микрофон, мультимедийные клавиши 8230 ... текст свёрнут, показать

11.53, Аноним (-), 20:51, 28/01/2012 [^] [^^] [^^^] [ответить]	+/–
Там один только значок принтера - писан, блин, на питоне И поэтому весит аж 20М... текст свёрнут, показать

12.57, Карбофос (ok), 13:28, 29/01/2012 [^] [^^] [^^^] [ответить]	+2 +/–
там только не нужно брутально сразу много вырубать постепенно ... текст свёрнут, показать

11.58, xoomer (ok), 16:14, 29/01/2012 [^] [^^] [^^^] [ответить]	+/–
Все работает Правда, это уже ноутбук не самый новый - Intel H55 45-нм технолог... текст свёрнут, показать

4.52, Аноним (-), 20:49, 28/01/2012 [^] [^^] [^^^] [ответить]

+/–

> Иногда курсор передвигается рывками,

Я что-то не думаю что BFS на это сильно повлияет - это вопросы к шедулингу I/O, а не процессора. Тут скорее помогут патчи которые в 3.2 вошли.

А еще, если вы про хеши говорите, это наверное о торрентах - советую юзать полную преаллокацию, когда файл заранее записывается до скачки на весь размер. Иначе файл размазывается по файловой системе в зверские "макароны". Механический диск может гонять головы туда-сюда несколько десятков миллисекунд в рамках атомарной операции, что вообще-то не айс. Логично ему подыгрывать в этом плане.

5.55, Geidrow (ok), 08:36, 29/01/2012 [^] [^^] [^^^] [ответить]

+/–

>советую юзать полную преаллокацию

применяется преаллокация (параметр contigoues 2%). С CFQ всё вообще было в анабиозном состоянии пока какой-н. азуреус размещал файл. Переключился на deadline - система стала юзабельной за исключением редких моментов. Думается, если приложение имеет низкий приоритет IO, а у планировщика процессорного времени нормальный, то это и приводит к дисбалансу.
как может выглядеть скрипт, если нужно запускать приложение с пониженным приоритетом у планировщика процессорного времени и пониженным приоритетом у планировщика ввода-вывода?

игнорирование участников | лог модерирования

Добавить комментарий

Текст: