https://opennet.me/openforum/vsluhforumID3/98817.html Разработчики Debian (https://www.debian.org/security/2014/dsa-3025) и Ubuntu (http://www.ubuntu.com/usn/usn-2348-1/) выпустили корректирующее обновление пакетного менеджера APT в котором устранено 4 уязвимости, в результате которых можно обойти процесс проверки целостности и источника пакетов:<br><br><br><br><br>- CVE-2014-0487 - не выполняется перепроверка загруженных файлов, если при запросе с заголовком If-Modified-Since выдаётся ответ http-сервера (304) о неизменности файла;<br><br>- CVE-2014-0490 - не выполняется корректная проверка цифровой подписи, если пакет загружен с использованием команды "apt download";<br>- CVE-2014-0488 - данные репозитория не признаются недействительными, если репозиторий переключен из состояния без аутентификации в состояние, требующее аутентификации;<br>- CVE-2014-0489 - опция APT Acquire::GzipIndexes (не включена по умолчанию) приводит к пропуску проверки контрольной суммы.<br><br><br><br><br>URL: https://www.debian.org/security/2014/dsa-3025<br>Новость: http://www.opennet.ru/opennews/art.shtml?num=40620<br> https://opennet.me/openforum/vsluhforumID3/98817.html#29 Thu, 18 Sep 2014 19:55:17 GMT А еще можно писать всякую херню в консоли и жаловаться, на постоянные надписи 'command not found'. Добавьте ключи от используемых реп через установку keyring пакетов или apt-key add, после чего сделайте apt-get update<br> https://opennet.me/openforum/vsluhforumID3/98817.html#27 Thu, 18 Sep 2014 18:36:18 GMT &gt; То есть, эта хрень мало того что непонятно от чего то забывает, <br>&gt; ключи подписи пакетов,<br><br>Машина - не склеротик, если у вас такие плюхи случаются, у вас что-то очень сильно поломано в вашей системе на самых базовых уровнях работы системы.<br> https://opennet.me/openforum/vsluhforumID3/98817.html#26 Thu, 18 Sep 2014 18:32:10 GMT &gt; в ubuntu 12.10<br><br>...сдох ваш бобик. LTS который будет долго поддерживаться - 12.04, а у 12.10 закончилась поддержка.<br> https://opennet.me/openforum/vsluhforumID3/98817.html#25 Thu, 18 Sep 2014 18:31:10 GMT &gt; Хватит уже. Разработчики - это Debian. Точка.<br><br>В мире открытых исходников нет жестких границ. Как бы некоторым скудоумым этого ни хотелось.<br> https://opennet.me/openforum/vsluhforumID3/98817.html#24 Thu, 18 Sep 2014 18:30:26 GMT &gt; Сурово, после стольких лет развития такие проблемы. Пожелаем удачи!<br><br>Парни из Linaro были явно не в курсе этих упущений, просто отключив проверку подписей в раздаваемом ими образе rootfs убунты и прописав свой реп. <br> https://opennet.me/openforum/vsluhforumID3/98817.html#23 Thu, 18 Sep 2014 14:32:33 GMT А может стоит перестать сидеть на уже не поддерживаемой версии? Это же не LTS.<br> https://opennet.me/openforum/vsluhforumID3/98817.html#20 Thu, 18 Sep 2014 09:19:14 GMT в ubuntu 12.10 постоянно выскакивают сообщения что цифровая подпись пакета не прошла валидацию...<br> https://opennet.me/openforum/vsluhforumID3/98817.html#19 Thu, 18 Sep 2014 07:24:32 GMT Или иметь рута везде и захватить мир.<br>Вы лично сколько раз скачивали пакеты apt-ом вместо того, чтобы сразу их установить? <br>Мне лично ни разу не доводилось.<br> https://opennet.me/openforum/vsluhforumID3/98817.html#18 Thu, 18 Sep 2014 06:56:28 GMT или иметь рута сервере откуда тянут. дыра в apt download - намекает на это.<br>