URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 135374
[ Назад ]
Исходное сообщение
"Уязвимости в утилите needrestart, позволяющие получить root-доступ в Ubuntu Server"
Отправлено opennews , 20-Ноя-24 00:20 
Компания Qualys выявила три уязвимости в утилите needrestart, предназначенной для перезапуска фоновых процессов после обновления используемых данными процессами библиотек. Начиная с Ubuntu 21.04 утилита needrestart включена в состав базового окружения Ubuntu Server, в котором запускается с правами root в конце каждой транзакции пакетного менеджера APT, сканирует запущенные процессы и перезапускает те их них, что связанны с файлами, изменившимися после обновления пакетов. Выявленные уязвимости позволяют локальному непривилегированному пользователю получить права root в Ubuntu Server в конфигурации по умолчанию...

Подробнее: https://www.opennet.me/opennews/art.shtml?num=62261

Содержание
Сообщения в этом обсуждении
"Уязвимости в утилите needrestart, позволяющие получить root-..."
Отправлено Аноним , 20-Ноя-24 00:23 
Ну ещё и ещё один повод использовать рхел и его клоны.
"Уязвимости в утилите needrestart, позволяющие получить root-..."
Отправлено Аноним , 20-Ноя-24 00:59 
Redhat добавляла уязвимости из-за кривых патчей.
"Уязвимости в утилите needrestart, позволяющие получить root-..."
Отправлено Ананым , 20-Ноя-24 06:02 
В редхате патчей кот наплакал по сравнению с бубунтой и дебияном
"Уязвимости в утилите needrestart, позволяющие получить root-..."
Отправлено Аноним , 20-Ноя-24 07:49 
Потому что это не полигон для испытаний?
"Уязвимости в утилите needrestart, позволяющие получить root-..."
Отправлено Аноним , 20-Ноя-24 09:30 
> В редхате патчей кот наплакал по сравнению с бубунтой и дебияном

Особенно на доисторические керенлы, угумс.

"Уязвимости в утилите needrestart, позволяющие получить root-..."
Отправлено Аноним , 20-Ноя-24 16:46 
> В редхате патчей кот наплакал по сравнению с бубунтой и дебияном

Это как сказать. Ядра они гальванизируют очень даже...

"Уязвимости в утилите needrestart, позволяющие получить root-..."
Отправлено нах. , 20-Ноя-24 01:10 
это в котором двадцать лет не могут аналогичную утилиту для dnf написать?
Ну да, безопастно. Нет утилиты, нет опастностей. Поставил обновления - просто перезагружайся, какввенде, неча тебе гадать, что именно этими обновлениями затронуто, а что нет.

(20 - потому что zypper в suse умел такое еще в начале нулевых, а убунта, вот, всего через 15 лет догнала, но есть нюанс)

"Уязвимости в утилите needrestart, позволяющие получить root-..."
Отправлено Аноним , 20-Ноя-24 02:07 
> это в котором двадцать лет не могут аналогичную утилиту для dnf написать?

а с какого бодуна должна такая шняга перезапускать процессы без желания пользователя?

> Поставил обновления - просто перезагружайся

поставил обновления днем, ручной перезапуск ночью - аксиома.

"Уязвимости в утилите needrestart, позволяющие получить root-..."
Отправлено WE , 20-Ноя-24 08:22 
аксиома это ночью спать, а не перезапускать непонятно чего.
"Уязвимости в утилите needrestart, позволяющие получить root-..."
Отправлено Аноним , 20-Ноя-24 10:09 
sleep 5h && reboot - господь запретил набрать?
"Уязвимости в утилите needrestart, позволяющие получить root-..."
Отправлено gogo , 20-Ноя-24 11:03 
ребутить не глядя?
блаженны верующие )))
"Уязвимости в утилите needrestart, позволяющие получить root-..."
Отправлено crypt , 20-Ноя-24 11:22 
твой работодатель, если у тебя работа чуть крупнее, чем рога и копыта.
"Уязвимости в утилите needrestart, позволяющие получить root-..."
Отправлено Аноним , 20-Ноя-24 13:28 
лол кек, ппц, алё, аксиома - дежурный админ, проснись "человек оркестр", концерт окончен.
"Уязвимости в утилите needrestart, позволяющие получить root-..."
Отправлено Аноним , 20-Ноя-24 09:31 
> а с какого бодуна должна такая шняга перезапускать процессы без желания пользователя?

она спрашивает пользователя, если в интерактивном режиме и просто печатает список для перезапуска в неинтерактивном

"Уязвимости в утилите needrestart, позволяющие получить root-..."
Отправлено Аноним , 20-Ноя-24 13:33 
"""
в котором запускается с правами root в конце каждой транзакции пакетного менеджера APT, сканирует запущенные процессы и перезапускает те из них, что связаны с файлами, изменившимися после обновления пакетов.
"""

что такое транзакция пакетного менеджера?

"Уязвимости в утилите needrestart, позволяющие получить root-..."
Отправлено freebzzZZZzzd , 20-Ноя-24 20:06 
>поставил обновления днем, ручной перезапуск ночью - аксиома.

смехотворное обсуждение, на самом деле рхел-клоны всё давно перезапускают.
ну по крайней мере обновления проги точно перезапускает прогу.
какие-то либы глубоко в потрохах - зачем сразу перезапускать?

в целом это вопрос sla и конфигурации балансировщиков, за которыми эти сервисы сидят.

"Уязвимости в утилите needrestart, позволяющие получить root-..."
Отправлено Аноним , 21-Ноя-24 01:13 
> на самом деле рхел-клоны всё давно перезапускают

вот и спрашивается, с какого бодуна?

"Уязвимости в утилите needrestart, позволяющие получить root-..."
Отправлено Anonyrat , 20-Ноя-24 01:47 
> Ну ещё и ещё один повод использовать рхел и его клоны.

Можно подумать, будто бы у тебя есть выбор :-)
В deb дистрибутивах до сих пор нет возможности вывести список всех пакетов (включая метапакеты), которые ты установил вручную, без учёта тех, которые поставились с системой при её установке.

"Уязвимости в утилите needrestart, позволяющие получить root-..."
Отправлено мяв , 20-Ноя-24 02:35 
это ведь.. такой нужный функционал, лол?
и да, Вы не правы, man apt-mark, в частности, showmanual
"Уязвимости в утилите needrestart, позволяющие получить root-..."
Отправлено мяв , 20-Ноя-24 02:40 
а, нет, беру слова назад, щас перепроверила специально, это чуть другом.
тем не менее, такое умеет делать nala.
"Уязвимости в утилите needrestart, позволяющие получить root-..."
Отправлено scriptkiddis , 21-Ноя-24 21:45 
Точно! Нужно всего лишь еще чуть обмазаться сторонними утилитами разного качества
"Уязвимости в утилите needrestart, позволяющие получить root-..."
Отправлено Соль земли , 20-Ноя-24 10:41 
aptitude показывает локально установленные. Также список пакетов после установки никто не запрещает сохранить. Но вот rollback нет, как в yum/dnf.
"Уязвимости в утилите needrestart, позволяющие получить root-..."
Отправлено Аноним , 20-Ноя-24 08:15 
needs-restarting в RH уже проверели?)
"Уязвимости в утилите needrestart, позволяющие получить root-..."
Отправлено Аноним , 20-Ноя-24 00:41 
Так вроде ж ключевая идея всех суидных утилит в том, чтобы обнулять пользовательские переменные при исполнении. Зачем они каждый раз их задействуют? Едва ли можно на халатность. И как у них клиенты остаются после подобного?
"Уязвимости в утилите needrestart, позволяющие получить root-..."
Отправлено Аноним , 20-Ноя-24 01:15 
Провел аудит Debian в минимальной установки с помощью systemd-analyze security.
.service красные.
"Уязвимости в утилите needrestart, позволяющие получить root-..."
Отправлено crypt , 20-Ноя-24 11:27 
это новый уровень линукса для домохозяек. нифига не понятно, зато эмодзи ресует.
"Уязвимости в утилите needrestart, позволяющие получить root-..."
Отправлено Аноним , 20-Ноя-24 18:59 
>systemd-analyze security

Ну тогда всё в безопасТносте. Not a bug!

"Уязвимости в утилите needrestart, позволяющие получить root-..."
Отправлено Аэро , 20-Ноя-24 01:54 
Щас вообще какой век что бы сидеть без фаервола?
"Уязвимости в утилите needrestart, позволяющие получить root-..."
Отправлено Anonyrat , 20-Ноя-24 03:02 
Зачем тебе файрволл за NATом провайдера?
"Уязвимости в утилите needrestart, позволяющие получить root-..."
Отправлено Аноним , 20-Ноя-24 03:38 
Откуда у ipv6-only провайдера NAT?
"Уязвимости в утилите needrestart, позволяющие получить root-..."
Отправлено Аноним , 20-Ноя-24 05:41 
откуда такой провайдер? засланец?
"Уязвимости в утилите needrestart, позволяющие получить root-..."
Отправлено Аноним , 20-Ноя-24 09:07 
Откуда там вообще канал связи?
"Уязвимости в утилите needrestart, позволяющие получить root-..."
Отправлено Минона , 20-Ноя-24 10:19 
Наверное это интернет-бояре с Барвихи, 10 Gbit в дом =)
"Уязвимости в утилите needrestart, позволяющие получить root-..."
Отправлено Ананым , 20-Ноя-24 05:58 
> Откуда ipv6-only

Фикс, так будет правильнее

"Уязвимости в утилите needrestart, позволяющие получить root-..."
Отправлено Ананым , 20-Ноя-24 06:00 
Ходят слухи что в наш век без фаервола сидеть куда безопаснее чем в век виндос хп
"Уязвимости в утилите needrestart, позволяющие получить root-..."
Отправлено Ананий , 20-Ноя-24 09:48 
во времена WinXP вплоть до SP3 достаточно было времени между поднятием сети и влючением виндового "фириволла", чтобы словить бластер с сассером.
"Уязвимости в утилите needrestart, позволяющие получить root-..."
Отправлено InuYasha , 20-Ноя-24 12:47 
Спасибо! Вызвал у меня ностальгические слёзы умилениума.. т.е. умиления :_)
"Уязвимости в утилите needrestart, позволяющие получить root-..."
Отправлено Аноним , 20-Ноя-24 13:38 
каретка сидирома заскрепела аж :)
"Уязвимости в утилите needrestart, позволяющие получить root-..."
Отправлено penetrator , 20-Ноя-24 03:35 
вообще не удивлен, бубунта уникальный продукт, со своей особенной глюкавостью
"Уязвимости в утилите needrestart, позволяющие получить root-..."
Отправлено Аноним , 20-Ноя-24 08:35 
Нафейхоа в одной утилите было использовать скритпы на куче интерпретируемых языков? Python, Ruby, Perl - кошмар. Неудивительно, что с вот этим всем можно запутаться, не учесть особенностей. Почему бы всё на том же Python не реализовать?
"Уязвимости в утилите needrestart, позволяющие получить root-..."
Отправлено Аноним , 20-Ноя-24 09:19 
Да,тебе пора это реализовать. Разрешаем.
"Уязвимости в утилите needrestart, позволяющие получить root-..."
Отправлено Аноним , 20-Ноя-24 09:46 
Это же не злой Корп который стукнул по столу кулаком и сказал только питон или только 1сскрипт. Тут добрый опенсорс каждый пишет во что горазд.
"Уязвимости в утилите needrestart, позволяющие получить root-..."
Отправлено Аноним , 20-Ноя-24 12:09 
Canonical - может, не злой, но корп.
"Уязвимости в утилите needrestart, позволяющие получить root-..."
Отправлено пох. , 20-Ноя-24 11:47 
попробуй не используя скрипты на куче языков - проверить подлежит ли рестарту сервис, написанный на этих самых языках. (И нет, кроме очевидного апгрейда интерпретатора есть куча других причин по которым его обязательно надо перезапускать.)

> Почему бы всё на том же Python не реализовать?

приступай.
(и не забудь переписывать заново с каждой новой версией пихона. Это тебе ответ почему на нем вообще не надо писать ничего кроме одноразовых хеловротов.)

"Уязвимости в утилите needrestart, позволяющие получить root-..."
Отправлено Аноним , 20-Ноя-24 12:12 
Обратная совместимость в пределах третьей ветки есть. Но можно всё и Баше.
"Уязвимости в утилите needrestart, позволяющие получить root-..."
Отправлено Аноним , 21-Ноя-24 11:54 
>попробуй не используя скрипты на куче языков - проверить подлежит ли рестарту сервис, написанный на этих самых языках

Элементарно. Достаточно построить граф зависимостей до обновления и после, и сравнить, изменился ли хотя бы один лист. Но для этого, сервис должен быть полностью опакечен, что убунтам с дебианами и не снилось.

"Уязвимости в утилите needrestart, позволяющие получить root-..."
Отправлено Catwoolfii , 20-Ноя-24 09:25 
В Debian есть аналогичная утилита checkrestart из пакета debian-goodies.
Интересно, что там у неё с секьюрностью?
"Уязвимости в утилите needrestart, позволяющие получить root-..."
Отправлено Аноним , 20-Ноя-24 10:20 
> Безопаснее только храстовики ко орве на каждый апдейт качают из карго новые эксплоиты.

Что что? У вас орви? Или вы агроном и про коров пытались задвинуть? :)

"Уязвимости в утилите needrestart, позволяющие получить root-..."
Отправлено Аноним , 20-Ноя-24 10:26 
> окружения PYTHONPATH на основе содержимого файла /proc/pid/environ,
> которую затем использует и для запуска собственного Python-кода.

Убунта наняла всяких питонистов по объявлению. Уязвимости, блин?! Да у них их апгрейдер систему обновить не может в половине случаев. При том что по сути - только пакетный менеджер и запускает. Но нет, чудо-програмеры даже это прогадить умудряются. Например скачав распоследнюю версию скрипта апдейта - чтобы обнаружить что оказывается с системной версией питона это вообще не работает. И теперь вы либо реинсталите систему, либо свичите репы и апдейтитесь лапками. Потому что упс, "новая версия убунты не обнаружена!".

"Уязвимости в утилите needrestart, позволяющие получить root-..."
Отправлено Соль земли , 20-Ноя-24 10:46 
Глупые уязвимости. Но и исправляются тоже в два счёта. Оптимализм лучше перфекционизма.
"Уязвимости в утилите needrestart, позволяющие получить root-..."
Отправлено pic , 20-Ноя-24 11:36 
А так ли нужен root?
Тем более на домашней системе.