forum.opennet.ru - "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." (88)

"Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..."

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..."	+/–
Сообщение от opennews (??), 25-Окт-18, 20:46
Опубликован (https://www.mail-archive.com/xorg-announce@lists.x.org/...) релиз X.Org Server 1.20.3, в котором устранена опасная уязвимость (https://www.mail-archive.com/xorg-announce@lists.x.org/...) (CVE-2018-14665 (https://security-tracker.debian.org/tracker/CVE-2018-14665)), позволяющая повысить свои привилегии или перезаписать любой файл в системе. Проблема проявляется только при запуске X-сервера в режиме запуска с повышенными привилегиями (когда исполняемый файл x-сервера поставляется с установленным битом setuid root и любой непривилегированный пользователь может запустить x-сервер). Суть уязвимости в том, что при запуске X-сервера пользователь может поменять путь к модулям при помощи опции "-modulepath" и добиться загрузки своего модуля, который будет запущен на этапе до сброса привилегий с правами root. Второй вариант атаки связан с использованием опции "-logfile", при помощи которой локальный злоумышленник может направить вывод лога в любой файл в системе. Например, можно указать в качестве аргумента "-logfile" файл /etc/shadow и переписать его содержимое, заменив строку с хэшем пароля суперпользователя. Для подстановки нужной строки в файл /etc/shadow можно использовать опцию "-fp", значение которой выводится в лог. Уязвимости вызваны ошибкой, внесённой (https://gitlab.freedesktop.org/xorg/xserver/commit/032b1d79b7) при подготовке ветки xorg-server 1.19.0 и приводящей к игнорированию проверок некоторых потенциально опасных опций. В качестве обходного пути решения проблемы рекомендуется убрать флаг suid с файла /usr/bin/Xorg и использовать дисплейный менеджер для запуска графического сеанса. Проблема проявляется (https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2018-14665) в RHEL 7.5 и Fedora (https://bugzilla.redhat.com/show_bug.cgi?id=1643131), но из-за ограничений PAM для эксплуатации атакующий должен иметь доступ к локальной консоли (через SSH эксплуатировать уязвимость не получится). В Ubuntu (https://people.canonical.com/~ubuntu-security/cve/2018/CVE-2...) и SUSE 12+/openSUSE 42+ (https://bugzilla.redhat.com/show_bug.cgi?id=1643131) проблема не проявляется, так как там не используется бит setuid (в SUSE 11 проблема присутствует). URL: https://www.mail-archive.com/xorg-announce@lists.x.org/... Новость: https://www.opennet.me/opennews/art.shtml?num=49500
Ответить \| Правка \| Cообщить модератору

Оглавление

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., Аноним (2), 20:59 , 25-Окт-18, (2) –7

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., Аноним (21), 22:48 , 25-Окт-18, (21) +5

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., Аноним (-), 23:28 , 26-Окт-18, (78)

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., Тот_Самый_Анонимус (?), 07:13 , 27-Окт-18, (89) +3
Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., Аноним (103), 07:57 , 02-Ноя-18, (103)

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., Аноним (4), 21:02 , 25-Окт-18, (4) –14

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., Аноним (12), 21:40 , 25-Окт-18, (12)

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., голос_Геенны (ok), 22:37 , 25-Окт-18, (18) –3

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., Аноним (21), 22:45 , 25-Окт-18, (20) +3
Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., Аноним (52), 10:34 , 26-Окт-18, (52) +2

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., Annoynymous (ok), 21:45 , 25-Окт-18, (14)
Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., Michael Shigorin (ok), 00:43 , 26-Окт-18, (25) –4

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., Dapredator (?), 10:37 , 26-Окт-18, (53) +1

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., Dapredator (?), 10:39 , 26-Окт-18, (54) +1

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., Deprecator (?), 13:35 , 26-Окт-18, (67) –2

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., Dapredator (?), 03:14 , 27-Окт-18, (87) –1

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., голос_Геенны (ok), 16:56 , 27-Окт-18, (92)

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., Zenitur (ok), 11:14 , 28-Окт-18, (94)

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., Zenitur (ok), 11:16 , 28-Окт-18, (95)

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., КГБ СССР (?), 13:39 , 28-Окт-18, (99) +1

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., Тот_Самый_Анонимус (?), 07:18 , 27-Окт-18, (90)

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., Аноним (-), 23:25 , 26-Окт-18, (76) –1

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., Аноним (60), 11:26 , 26-Окт-18, (60)

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., КГБ СССР (?), 21:09 , 25-Окт-18, (6)

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., Аноним (8), 21:28 , 25-Окт-18, (8)

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., КГБ СССР (?), 21:32 , 25-Окт-18, (9)

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., пох (?), 21:32 , 25-Окт-18, (10) –2

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., КГБ СССР (?), 21:38 , 25-Окт-18, (11) +3

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., голос_Геенны (ok), 22:41 , 25-Окт-18, (19) –1

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., КГБ СССР (?), 23:02 , 25-Окт-18, (22)

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., Андрей (??), 02:45 , 26-Окт-18, (28) –1

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., КГБ СССР (?), 09:02 , 26-Окт-18, (42)

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., Ващенаглухо (ok), 08:36 , 26-Окт-18, (40)

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., КГБ СССР (?), 09:01 , 26-Окт-18, (41)

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., нах (?), 09:36 , 26-Окт-18, (49) –1

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., КГБ СССР (?), 13:49 , 28-Окт-18, (100)

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., svsd_val (ok), 06:33 , 26-Окт-18, (32) +5
Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., пох (?), 07:24 , 26-Окт-18, (35) –1

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., КГБ СССР (?), 09:07 , 26-Окт-18, (43)

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., КГБ СССР (?), 21:41 , 25-Окт-18, (13) –3
Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., КГБ СССР (?), 21:49 , 25-Окт-18, (16) –2

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., Аноним (-), 23:32 , 26-Окт-18, (79)

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., axredneck (?), 02:11 , 26-Окт-18, (27)

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., пох (?), 07:30 , 26-Окт-18, (36) –1

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., Аноним (-), 23:34 , 26-Окт-18, (80) –1

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., КГБ СССР (?), 23:59 , 26-Окт-18, (83) +1

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., Акакжев (?), 10:42 , 26-Окт-18, (55)

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., svsd_val (ok), 06:44 , 26-Окт-18, (33) +4

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., пох (?), 07:34 , 26-Окт-18, (38) –3

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., svsd_val (ok), 17:08 , 26-Окт-18, (70)

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., пох (?), 12:27 , 28-Окт-18, (96)

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., Аноним (-), 23:27 , 26-Окт-18, (77) –1

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., КГБ СССР (?), 00:01 , 27-Окт-18, (85)
Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., пох (?), 12:33 , 28-Окт-18, (97)

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., Annoynymous (ok), 21:46 , 25-Окт-18, (15) +1

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., Аноним (23), 00:22 , 26-Окт-18, (23)

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., ананим.orig (?), 00:29 , 26-Окт-18, (24)
Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., Annoynymous (ok), 00:54 , 26-Окт-18, (26) +1

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., Stax (ok), 11:41 , 26-Окт-18, (64) +1

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., Annoynymous (ok), 11:50 , 26-Окт-18, (65)

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., Анонимный Алкоголик (??), 08:40 , 31-Окт-18, (102)

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., anonymous (??), 03:27 , 26-Окт-18, (29) –1

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., angra (ok), 03:46 , 26-Окт-18, (30)

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., КГБ СССР (?), 09:11 , 26-Окт-18, (45) –1

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., Аноним (68), 16:02 , 26-Окт-18, (68) +1

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., КГБ СССР (?), 16:21 , 26-Окт-18, (69) –1

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., Гентушник (ok), 09:35 , 26-Окт-18, (48)

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., Онаним (?), 05:00 , 26-Окт-18, (31) +3
Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., Аноним (37), 07:30 , 26-Окт-18, (37) +2

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., пох (?), 07:35 , 26-Окт-18, (39) –1
Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., 0x0 (?), 09:26 , 26-Окт-18, (46) –1

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., 0x0 (?), 09:31 , 26-Окт-18, (47) –1

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., Аноним (71), 17:40 , 26-Окт-18, (71)

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., Dapredator (?), 10:45 , 26-Окт-18, (56)

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., 0x0 (?), 11:05 , 26-Окт-18, (58) –2

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., 0x0 (?), 18:26 , 26-Окт-18, (73) –1

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., Аноним (60), 11:33 , 26-Окт-18, (61) –1
Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., Аноним (63), 11:38 , 26-Окт-18, (63)

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., Dapredator (?), 03:17 , 27-Окт-18, (88)

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., Аноним (59), 11:18 , 26-Окт-18, (59) –3
Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., Аноним (63), 11:36 , 26-Окт-18, (62) –1

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., 0x0 (?), 18:53 , 26-Окт-18, (74) –1

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., Аноним (72), 18:02 , 26-Окт-18, (72) –1

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., iZEN (ok), 22:41 , 26-Окт-18, (75)

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., КГБ СССР (?), 00:00 , 27-Окт-18, (84) –1

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., svsd_val (ok), 07:47 , 28-Окт-18, (93)
Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., пох (?), 12:35 , 28-Окт-18, (98)

Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..., Анонимчик (?), 19:45 , 28-Окт-18, (101)

Сообщения по теме [Сортировка по времени | RSS]

2. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." –7 +/–

Сообщение от Аноним (2), 25-Окт-18, 20:59

Пилят, пилят Иксы по частям, а глубже никто не хочет лезть. Как же там наш Веланд?

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

21. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." +5 +/–

Сообщение от Аноним (21), 25-Окт-18, 22:48

> Пилят, пилят Иксы по частям, а глубже никто не хочет лезть. Как же там наш Веланд?
В Вейланде как раз как вы хотите: смело лезут в самое нутро и меняют всё, что давно не менялось. Ну чтобы код не устаревал, как в Иксах.

Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

78. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." +/–

Сообщение от Аноним (-), 26-Окт-18, 23:28

Все проще: в вэйланде в коде еще более-менее можно разобраться. А в иксах большинству народа уже не помогает даже поллитра уже. Там такой код что большинство двуногих завидев его с...вает в панике.

Ответить | Правка | ^ к родителю #21 | Наверх | Cообщить модератору

89. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." +3 +/–

Сообщение от Тот_Самый_Анонимус (?), 27-Окт-18, 07:13

>Там такой код что большинство двуногих завидев его с...вает в панике.
Зато одноногие сохраняют завидное хладнокровие. Ё-хо-хо и бутылка рома!

Ответить | Правка | ^ к родителю #78 | Наверх | Cообщить модератору

103. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." +/–

Сообщение от Аноним (103), 02-Ноя-18, 07:57

>Все проще: в иксах, код за многие годы уже и не нужно трогать
Пофиксил тебя

Ответить | Правка | ^ к родителю #78 | Наверх | Cообщить модератору

4. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." –14 +/–

Сообщение от Аноним (4), 25-Окт-18, 21:02

Когда уже Wayland допилят, с иксами столько проблем...

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

12. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." +/–

Сообщение от Аноним (12), 25-Окт-18, 21:40

Уже давно допилили.

Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

18. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." –3 +/–

Сообщение от голос_Геенны (ok), 25-Окт-18, 22:37

Тогда почему у меня иксы по-умолчанию в Убунте 18.04? И я даже вынужден был после пары зависов GDM расчехлить WaylandEnable=false в custom.conf? Ах даа, это же неправильный дистрибутив!

Ответить | Правка | ^ к родителю #12 | Наверх | Cообщить модератору

20. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." +3 +/–

Сообщение от Аноним (21), 25-Окт-18, 22:45

> Тогда почему у меня иксы по-умолчанию
Потому что ты расчехлил WaylandEnable=false.
> после пары зависов GDM
Это и есть допиленное состояние Вейланда. Наслаждайтесь.

Ответить | Правка | ^ к родителю #18 | Наверх | Cообщить модератору

52. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." +2 +/–

Сообщение от Аноним (52), 26-Окт-18, 10:34

Иксы по-умолчанию в Убунте 18.04 не потому что Wayland не допилен.

Ответить | Правка | ^ к родителю #18 | Наверх | Cообщить модератору

14. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." +/–

Сообщение от Annoynymous (ok), 25-Окт-18, 21:45

Года полтора назад, я сижу с 25-й федоры.

Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

25. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." –4 +/–

Сообщение от Michael Shigorin (ok), 26-Окт-18, 00:43

> Когда уже Wayland допилят, с иксами столько проблем...
Те же люди из @redhat.com, разумеется, ни разу не вносят порблемы в laywand, ага.

Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

53. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." +1 +/–

Сообщение от Dapredator (?), 26-Окт-18, 10:37

Список коммитов от россиянских создателей форка Mandrake где можно посмотреть? ;)

Ответить | Правка | ^ к родителю #25 | Наверх | Cообщить модератору

54. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." +1 +/–

Сообщение от Dapredator (?), 26-Окт-18, 10:39

Ой, простите, я забыл, альтовцы так стесняются и всячески отрицают родство с мандрейком ;) Они так хотят казаться настоящим дистрибутивом. Но мы-то знаем ;)

Ответить | Правка | ^ к родителю #53 | Наверх | Cообщить модератору

67. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." –2 +/–

Сообщение от Deprecator (?), 26-Окт-18, 13:35

А разве не Роса форк Мандрейка?

Ответить | Правка | ^ к родителю #54 | Наверх | Cообщить модератору

87. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." –1 +/–

Сообщение от Dapredator (?), 27-Окт-18, 03:14

Ты лет на десять ошибся :) Росе досталась толи третья, толи пятая производная Мандрейка...
А тут речь про гордый Альт, который как тот ёж, который не полетит, пока не пнёшь. Толку от них 0 (ни строчки кода, ни пользовательской базы, только перепаковка того, что делают другие), зато очень много ценного мнения течёт из всех щелей ;)

Ответить | Правка | ^ к родителю #67 | Наверх | Cообщить модератору

92. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." +/–

Сообщение от голос_Геенны (ok), 27-Окт-18, 16:56

А ещё говорят, Альт там, здесь.. Много такого слышал, но ни разу сам не видел.

Ответить | Правка | ^ к родителю #87 | Наверх | Cообщить модератору

94. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." +/–

Сообщение от Zenitur (ok), 28-Окт-18, 11:14

Официальное ответвление от Mandriva - Mageia. А Росинка - форк Mandrake, один из многих, но никак не официальное продолжение

Ответить | Правка | ^ к родителю #67 | Наверх | Cообщить модератору

95. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." +/–

Сообщение от Zenitur (ok), 28-Окт-18, 11:16

> Они так хотят казаться настоящим дистрибутивом
Он был настоящим дистрибутивом задолго до появления быстрого интернета, Убунты, Путина у власти, и партии Единая Россия. В начале 00-х во всём мире были популярны национальные дистрибутивы. Во Франции - Mandrake, в Германии - SUSE, в Бразилии - Kurumin, в России - Alt и ASP. В своих странах, каждый национальный дистрибутив был едва ли не популярнее Red Hat-а, и был с ним совместим (RPM-ки прекрасно "ставились" в них)

Ответить | Правка | ^ к родителю #54 | Наверх | Cообщить модератору

99. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." +1 +/–

Сообщение от КГБ СССР (?), 28-Окт-18, 13:39

Альт появился уже после прихода Х-ла к власти и основания ПЖиВ (en.wikipedia.org/wiki/ALT_Linux).
Наверняка Шигорин сотрёт этот коммент. :)

Ответить | Правка | ^ к родителю #95 | Наверх | Cообщить модератору

90. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." +/–

Сообщение от Тот_Самый_Анонимус (?), 27-Окт-18, 07:18

А можно ваши нормальные мысли без выcеров посмотреть? А то постите форки на нормальные мысли.

Ответить | Правка | ^ к родителю #53 | Наверх | Cообщить модератору

76. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." –1 +/–

Сообщение от Аноним (-), 26-Окт-18, 23:25

> Те же люди из @redhat.com, разумеется, ни разу не вносят порблемы в laywand, ага.
Там значительно меньше функциональности в которую они могут внести проблемы. И таки вэйланд писался в другую эпоху, когда разработчики уже были в курсе про vuln. Хорошо ли, плохо ли, но сделать хуже иксов - они не смогут. Они не настолько таланты.
Иксы это кладезь проблем безопасности. By design. Сложный и очень функциональный по своей задумке код, хватающийся делать все и вся, для работы нужны повышенные привилегии, ибо вообще всем разрешать без повышенных прав в GPU лезть - чревато. А поскольку писалось при царе горохе, когда слова vuln еще и не знали даже - одна только эпопея с попытками оторвать нужду в рутовых правах у иксов достойна эпических саг. В силу общей костыльности кода - его большинство народа вообще боится тыкать палочкой. Поэтому его изученность на предмет vuln - в районе плинтуса, так что узнавать о проблемах вы будете чего доброго когда возжелавший срубить $$$ кидо загонит на черном рынке сплойт.

Ответить | Правка | ^ к родителю #25 | Наверх | Cообщить модератору

60. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." +/–

Сообщение от Аноним (60), 26-Окт-18, 11:26

Его главная проблема - suid, впрочем, как и других suidных программ. Но сейчас же код, который, обращается к регистрам аппаратуры вынесен в ядро, поэтому в suid необходимости нет. SUSE, говорят, тому пример.

Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

6. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." +/–

Сообщение от КГБ СССР (?), 25-Окт-18, 21:09

> Уязвимости вызваны ошибкой, внесённой при подготовке ветки xorg-server 1.19.0 и приводящей к игнорированию проверок некоторых потенциально опасных опций.
Убрали проверки, что ли? А зачем?

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

8. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." +/–

Сообщение от Аноним (8), 25-Окт-18, 21:28

Diff посмотреть религия не позволяет?

Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

9. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." +/–

Сообщение от КГБ СССР (?), 25-Окт-18, 21:32

> Diff посмотреть религия не позволяет?
Посмотри за меня, анон, ты такой умный. А потом расскажешь.

Ответить | Правка | ^ к родителю #8 | Наверх | Cообщить модератору

10. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." –2 +/–

Сообщение от пох (?), 25-Окт-18, 21:32

один рукожоп полез улучшать код, которого не понимал (и который в его улучшизме вовсе не нуждался). Другой рукожоп одобрил не читая - "зато как быстро таск закрыл".
Reviewed-by: Adam Jackson <ajax@redhat.com>
Signed-off-by: Emil Velikov <emil.l.velikov@gmail.com>
это заодно и о "пользе" модной практики code review - бессмысленной траты времени и нервов.
но прежде всего о допуске профнепригодных людей к серьезным проектам вообще.
По хорошему - обоим права коммита отобрать и пинком под жопу из проекта, не считаясь с прошлыми заслугами (если даже и были, во что поверить трудно). На практике это делать некому.

Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

11. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." +3 +/–

Сообщение от КГБ СССР (?), 25-Окт-18, 21:38

Ну так таки же да.
Очередное подтверждение глубокой концептуальной ошибочности веры в миллионы зорких глаз, когда глаза эти в пустых головах.

Ответить | Правка | ^ к родителю #10 | Наверх | Cообщить модератору

19. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." –1 +/–

Сообщение от голос_Геенны (ok), 25-Окт-18, 22:41

В оригинале "тысячи глаз", кажется, не должны допустить говнокодия. Реальность и я всегда над этим смеялись.

Ответить | Правка | ^ к родителю #11 | Наверх | Cообщить модератору

22. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." +/–

Сообщение от КГБ СССР (?), 25-Окт-18, 23:02

> В оригинале "тысячи глаз", кажется, не должны допустить говнокодия. Реальность и я
> всегда над этим смеялись.
В сторону от темы.
Для меня самым крупным «десктопным» разочарованием года (на сей момент) стала Солярка 11.4: оракули убрали из неё GNOME 2 (который был в 11.3) и вкорячили GNOME 3. ОС стала не просто «тихоходной», а жутким тормозом, который жрёт память и процессор безо всякой меры. Понятно, что на сервере это всё не надо, да и ресурсы там иного порядка, чем на моём ПЦ. Но вот сам факт резко напряг: а если они не только ДЕ так вкорячивают в ОС, не глядя?

Ответить | Правка | ^ к родителю #19 | Наверх | Cообщить модератору

28. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." –1 +/–

Сообщение от Андрей (??), 26-Окт-18, 02:45

> оракули убрали из неё GNOME 2 (который был в 11.3) и вкорячили GNOME 3
Надо бы MATE.

Ответить | Правка | ^ к родителю #22 | Наверх | Cообщить модератору

42. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." +/–

Сообщение от КГБ СССР (?), 26-Окт-18, 09:02

>> оракули убрали из неё GNOME 2 (который был в 11.3) и вкорячили GNOME 3
> Надо бы MATE.
Там вообще никакое DE не нужно, вот в чём фокус.

Ответить | Правка | ^ к родителю #28 | Наверх | Cообщить модератору

40. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." +/–

Сообщение от Ващенаглухо (ok), 26-Окт-18, 08:36

Зачем там вообще ДЕ?

Ответить | Правка | ^ к родителю #22 | Наверх | Cообщить модератору

41. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." +/–

Сообщение от КГБ СССР (?), 26-Окт-18, 09:01

> Зачем там вообще ДЕ?
Необъяснимо. Особенно при учёте того, что если уж сильно хочется графики, то автоматическая генерация меню для оконных менеджеров не является проблемой, а специальные фирменные графические утилиты сантехников написаны на жабе. Когда в Солярке было CDE, то это хоть было разумно и понятно.

Ответить | Правка | ^ к родителю #40 | Наверх | Cообщить модератору

49. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." –1 +/–

Сообщение от нах (?), 26-Окт-18, 09:36

> оракули убрали из неё GNOME 2
собери сам. Что, не собирается (точнее, с ним не собирается ничего из современных версий)? Ну, вот...
или ты ждешь что оракл помимо просто опакечивания будет сам поддерживать брошенные "сообществом" обглоданные кости?
интересно, openlook еще хоть как-то можно собрать?

Ответить | Правка | ^ к родителю #22 | Наверх | Cообщить модератору

100. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." +/–

Сообщение от КГБ СССР (?), 28-Окт-18, 13:49

Мне-то не надо никакое GNOME, вполне бы хватило IceWM, WindowMaker или, внезапно, CDE, да даже и twm терпим, если прижмёт. Но оракулям виднее: мы говорим «Ленин»^W solaris-desktop подразумеваем «партия»^W GNOME. Причём с «Required Solaris Patches». Неужто было сложнее пару тех своих патчей приклеить к IceWM?

Ответить | Правка | ^ к родителю #49 | Наверх | Cообщить модератору

32. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." +5 +/–

Сообщение от svsd_val (ok), 26-Окт-18, 06:33

>Очередное подтверждение глубокой концептуальной ошибочности веры в миллионы зорких глаз, когда глаза эти в пустых головах.
А кто по Вашему это увидел ? А кто исправил ? Лично Вы ? Или всё же кто то из тысяч зорких глаз и дотошных мозгов ?

Ответить | Правка | ^ к родителю #11 | Наверх | Cообщить модератору

35. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." –1 +/–

Сообщение от пох (?), 26-Окт-18, 07:24

глаза-то как раз заметили - кому-то не получающему зря зарплату от редхата, видимо, этот коммит все же попался.
но тут случай уж больно образцовый - тривиальное изменение, в тривиальном коде, причем уши торчат в первых двух строчках.
а вот то что не сработала стандартная процедура, между тем, жрущая время и нервы - говорит и о состоянии xorg, и о всей чудо-индустрии вообще.

Ответить | Правка | ^ к родителю #11 | Наверх | Cообщить модератору

43. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." +/–

Сообщение от КГБ СССР (?), 26-Окт-18, 09:07

Да. Случай трешовый в самом образцовом виде. А в новостях всякие sjw пишут, что ошибка, ага.

Ответить | Правка | ^ к родителю #35 | Наверх | Cообщить модератору

13. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." –3 +/–

Сообщение от КГБ СССР (?), 25-Окт-18, 21:41

> Уязвимости вызваны ошибкой, внесённой при подготовке ветки xorg-server 1.19.0 и приводящей к игнорированию проверок некоторых потенциально опасных опций.
Вот это сообщение вводит в заблуждение: нету там никакой ошибки, а только рукожопие, возможно и злонамеренное.

Ответить | Правка | ^ к родителю #10 | Наверх | Cообщить модератору

16. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." –2 +/–

Сообщение от КГБ СССР (?), 25-Окт-18, 21:49

Странички одного из героев дня (Adam Jackson <ajax@redhat.com>) красноречивы.
https://freedesktop.org/wiki/AdamJackson/
https://people.freedesktop.org/~ajax/
https://ajax.fedorapeople.org/

Ответить | Правка | ^ к родителю #10 | Наверх | Cообщить модератору

79. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." +/–

Сообщение от Аноним (-), 26-Окт-18, 23:32

> Странички одного из героев дня (Adam Jackson <ajax@redhat.com>) красноречивы.
Ну так и шел бы кодить иксы вместо героев. А то на словах все донхуаны.

Ответить | Правка | ^ к родителю #16 | Наверх | Cообщить модератору

27. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." +/–

Сообщение от axredneck (?), 26-Окт-18, 02:11

> обоим права коммита отобрать
Сам у себя Emil Velikov право коммита отбирать будет что-ли?
п.с. Кто такой Adam Jackson - пока не знаю

Ответить | Правка | ^ к родителю #10 | Наверх | Cообщить модератору

36. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." –1 +/–

Сообщение от пох (?), 26-Окт-18, 07:30

стесняюсь спросить - а что, других разработчиков в этом проекте уже не осталось, и менеджмента у них тоже нет - дали пароль от репы и крутись как хочешь?
(в принципе-то, конечно, судя по состоянию проекта, примерно так если и не есть, то очень скоро будет)

Ответить | Правка | ^ к родителю #27 | Наверх | Cообщить модератору

80. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." –1 +/–

Сообщение от Аноним (-), 26-Окт-18, 23:34

> стесняюсь спросить - а что, других разработчиков в этом проекте уже не осталось
Приколись, желающих майнтайнить архаичный код с кучей проблем и костылей - действительно немного!

Ответить | Правка | ^ к родителю #36 | Наверх | Cообщить модератору

83. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." +1 +/–

Сообщение от КГБ СССР (?), 26-Окт-18, 23:59

>> стесняюсь спросить - а что, других разработчиков в этом проекте уже не осталось
> Приколись, желающих майнтайнить архаичный код с кучей проблем и костылей - действительно
> немного!
Довожу до твоего сведения, деточка, что проблема не в сопровождении «архаичного кода», а в рукожопии подобных тебе обезьянок, сующих свои корявые куда не просили.

Ответить | Правка | ^ к родителю #80 | Наверх | Cообщить модератору

55. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." +/–

Сообщение от Акакжев (?), 26-Окт-18, 10:42

> Кто такой Adam Jackson
My name is ajax, and I work on X.
Current projects:
    Miscellaneous Fedora stuff.
    Miscellaneous work stuff.
    World domination.

Ответить | Правка | ^ к родителю #27 | Наверх | Cообщить модератору

33. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." +4 +/–

Сообщение от svsd_val (ok), 26-Окт-18, 06:44

>По хорошему - обоим права коммита отобрать и пинком под жопу из проекта
И так, судя по всему Вы дальше своего носа не видите ?? или может быть Вы лично принимаете участие в разработке и развитии X ?
Вы как только всех выпните из проекта .... Вы покажите какой Вы крутой программист и будете вести разработку ?
Ошибки совершают все, Или ВЫ ни разу не совершали ошибки ? (что совершенно не реально), другое дело что нужно на них учиться и если уровень разума позволяет то учиться на чужих ...
P.S.
Как же эти разума лишённые "нечто" достали, лишь бы сразу показать ЧВС, шашкой помахать .... да повизжать что всё так плохо, а сами ровным счётом ниже уровня плинтуса....

Ответить | Правка | ^ к родителю #10 | Наверх | Cообщить модератору

38. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." –3 +/–

Сообщение от пох (?), 26-Окт-18, 07:34

дорогой "нелишенный разума", если этот Емеля перестанет "вести разработку", проекту xorg только похорошеет.
Потому что то что он "наразрабатывал" мы только что имели возможность в деталях рассмотреть.
И нет, это не ошибка, это системная функция. Он a) полез в код, который в его деятельности не нуждался вовсе b) кода не понял c) сломал то, что до него работало.
Можете продолжать верить, что в любом другом куске проекта такой человек может что-то случайно сделать хорошего.

Ответить | Правка | ^ к родителю #33 | Наверх | Cообщить модератору

70. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." +/–

Сообщение от svsd_val (ok), 26-Окт-18, 17:08

>если этот Емеля перестанет "вести разработку", проекту xorg только похорошеет.
Если Он это делает систематически - да, в этом случае Я буду согласен с Вашим мнением, ибо сталкивался с такими представителями .... и действительно приходилось исключать из проектной деятельности, но если это произошло случайно, что же... все не без греха...
>>Потому что то что он "наразрабатывал" мы только что имели возможность в деталях рассмотреть.
Опыт - дело наживное и дорогое, с ним никто не рождается .... да и его наработка стоит многих шишек ... не говоря уже о финансовых затратах ...
>>Он a) полез в код, который в его деятельности не нуждался вовсе b) кода не понял c) сломал то, что до него работало.
Пожалуйста расскажите мне откуда такая информация ? Мне лично очень любопытно =) Так как увы не имел чести работать над проектом X сервера и мне сложно понять его мотивацию ...

Ответить | Правка | ^ к родителю #38 | Наверх | Cообщить модератору

96. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." +/–

Сообщение от пох (?), 28-Окт-18, 12:27

> Опыт - дело наживное и дорогое, с ним никто не рождается ....
да, но в нормальных проектах неопытным джунам делать нечего - для них есть петпрожекты и гуглосаммер, если человеку доверено принимать патчи в то, что используют миллионы - он должен был пройти, наверное, хоть какой-то отбор и уже что-то уметь?
>>>Он a) полез в код, который в его деятельности не нуждался вовсе b) кода не понял c) сломал то,
>>>что до него работало.
> Пожалуйста расскажите мне откуда такая информация ? Мне лично очень любопытно =)
открываете по ссылке к новости коммит и наслаждаетесь.

Ответить | Правка | ^ к родителю #70 | Наверх | Cообщить модератору

77. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." –1 +/–

Сообщение от Аноним (-), 26-Окт-18, 23:27

> По хорошему - обоим права коммита отобрать и пинком под жопу из проекта
И кто иксы вообще кодить будет тогда? Желающих соваться в этот здец осталось полтора человека.
Ноль программистов ругал сердитый шеф.
Потом уволил одного, и стало их FF.

Ответить | Правка | ^ к родителю #10 | Наверх | Cообщить модератору

85. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." +/–

Сообщение от КГБ СССР (?), 27-Окт-18, 00:01

Да ты хоть прочти, анон, о чём проблема. В исходничек посмотри. Там всё очень красиво, просто сияет.

Ответить | Правка | ^ к родителю #77 | Наверх | Cообщить модератору

97. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." +/–

Сообщение от пох (?), 28-Окт-18, 12:33

> И кто иксы вообще кодить будет тогда? Желающих соваться в этот здец
> осталось полтора человека.
у вас ядерный реактор работает, как-то, последние лет тридцать, аварийные лампочки не горят, отработанные сборки заменяете по регламенту. И тут вдруг прибегает мальчик со сварочным аппаратом -- "а давайте я вам тут что-нибудь поулучаю - других-то желающих нет"! И шеф такой, по головке его гладит (по всем трем) - давай, малыш, все равно уже всем.
ну значит не надо туда соваться - "все ушли в вафлянд", "линукс ваш новый стандарт". А этот проект умрет, так ж как XFree86.

Ответить | Правка | ^ к родителю #77 | Наверх | Cообщить модератору

15. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." +1 +/–

Сообщение от Annoynymous (ok), 25-Окт-18, 21:46

> Например, можно указать в качестве аргумента "-logfile" файл /etc/shadow и переписать его содержимое,
Но позвольте, SELinux же не должен дать Xorg возможности перезаписать файл в домене etc!

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

23. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." +/–

Сообщение от Аноним (23), 26-Окт-18, 00:22

пользователь может поменять путь к модулям при помощи опции "-modulepath"

Ответить | Правка | ^ к родителю #15 | Наверх | Cообщить модератору

24. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." +/–

Сообщение от ананим.orig (?), 26-Окт-18, 00:29

Это иксовые модули, а не ядерные.

Ответить | Правка | ^ к родителю #23 | Наверх | Cообщить модератору

26. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." +1 +/–

Сообщение от Annoynymous (ok), 26-Окт-18, 00:54

> пользователь может поменять путь к модулям при помощи опции "-modulepath"
И как это ему поможет?

Ответить | Правка | ^ к родителю #23 | Наверх | Cообщить модератору

64. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." +1 +/–

Сообщение от Stax (ok), 26-Окт-18, 11:41

Там, где selinux есть - не даст, но эскалация все равно будет. А Xserver'у разрешено создавать файлы там, где нет меток и еще некоторые другие вещи, т.к. он потенциально работает с кучей железа и делает до хрена всего, это все приходится разрешать. Он такой монстр, что продуктивно защитить его selinux'ом сложно. Поэтому модель безопасности там в какой-то момент решили строить на запуске без привилегий, с использованием capabilities + драйверов в ядре.
SELinux не панацея, если прога очень сложная, то ее никакой изоляцией внятно не защитить с сохранением функциональности. Браузер, к примеру, вообще нереально.

Ответить | Правка | ^ к родителю #15 | Наверх | Cообщить модератору

65. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." +/–

Сообщение от Annoynymous (ok), 26-Окт-18, 11:50

> Там, где selinux есть - не даст, но эскалация все равно будет.
> А Xserver'у разрешено создавать файлы там, где нет меток и еще
> некоторые другие вещи, т.к. он потенциально работает с кучей железа и
> делает до хрена всего, это все приходится разрешать. Он такой монстр,
> что продуктивно защитить его selinux'ом сложно. Поэтому модель безопасности там в
> какой-то момент решили строить на запуске без привилегий, с использованием capabilities
> + драйверов в ядре.
> SELinux не панацея, если прога очень сложная, то ее никакой изоляцией внятно
> не защитить с сохранением функциональности. Браузер, к примеру, вообще нереально.
Согласен, что не панацея, но данный конкретный пример не должен сработать.

Ответить | Правка | ^ к родителю #64 | Наверх | Cообщить модератору

102. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." +/–

Сообщение от Анонимный Алкоголик (??), 31-Окт-18, 08:40

>> Например, можно указать в качестве аргумента "-logfile" файл /etc/shadow и переписать его содержимое,
> Но позвольте, SELinux же не должен дать Xorg возможности перезаписать файл в
> домене etc!
Не понятно почему там должно быть setuid root.
(хотя конечно бывает. почему-то...).
в общем "исправление" имеет озабочивающие признаки ненужности.

Ответить | Правка | ^ к родителю #15 | Наверх | Cообщить модератору

29. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." –1 +/–

Сообщение от anonymous (??), 26-Окт-18, 03:27

Когда я писал свою suid прогу, я специально проверял, что все файлы, необходимые ей для работы, не доступны простым пользователям для записи. Первым делом в голову пришло, а я ведь системным программированием редко балуюсь. А тут профессионалы.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

30. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." +/–

Сообщение от angra (ok), 26-Окт-18, 03:46

Такие же профессионалы как и ты. Чем в данном случае поможет, что /etc/shadow недоступен для записи? Что будет, если нехороший пользователь сначала запишет в файл, а потом уберет у себя право записи? Что будет, если в файл писать нельзя, а удалить и создать заново можно?

Ответить | Правка | ^ к родителю #29 | Наверх | Cообщить модератору

45. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." –1 +/–

Сообщение от КГБ СССР (?), 26-Окт-18, 09:11

> Что будет, если в файл писать нельзя, а удалить и создать заново можно?
В ОС здорового человека от этого помогает ACL. :)

Ответить | Правка | ^ к родителю #30 | Наверх | Cообщить модератору

68. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." +1 +/–

Сообщение от Аноним (68), 26-Окт-18, 16:02

gpedit.msc

Ответить | Правка | ^ к родителю #45 | Наверх | Cообщить модератору

69. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." –1 +/–

Сообщение от КГБ СССР (?), 26-Окт-18, 16:21

> gpedit.msc
Почти. ACL — это намного-намного больше: en.wikipedia.org/wiki/Access_control_list

Ответить | Правка | ^ к родителю #68 | Наверх | Cообщить модератору

48. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." +/–

Сообщение от Гентушник (ok), 26-Окт-18, 09:35

Думаю речь шла про загрузку левых модулей через -modulepath
Если бы иксы требовали что владельцем модуля должен быть root и что у группы и остальных нет права на запись, то этой уязвимости можно было бы избежать.
(Хотя тут возможно состояние гонки между моментом проверкой прав и подключением либы)

Ответить | Правка | ^ к родителю #30 | Наверх | Cообщить модератору

31. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." +3 +/–

Сообщение от Онаним (?), 26-Окт-18, 05:00

Локальные root-уязвимости - это хорошо. Кто-нибудь выпустит залоченное устройство, надо будет его как-то рутать.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

37. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." +2 +/–

Сообщение от Аноним (37), 26-Окт-18, 07:30

Только не говорите что вяленный без этого же костыля для повышения привелегий работает
В жизни не поверю

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

39. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." –1 +/–

Сообщение от пох (?), 26-Окт-18, 07:35

он разьве вообще работает из командной строки?

Ответить | Правка | ^ к родителю #37 | Наверх | Cообщить модератору

46. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." –1 +/–

Сообщение от 0x0 (?), 26-Окт-18, 09:26

Заглянул только что в свойства /usr/bin/Xorg в Fedora 29 и никакого выставленного бита suid там не обнаружил :)

Ответить | Правка | ^ к родителю #37 | Наверх | Cообщить модератору

47. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." –1 +/–

Сообщение от 0x0 (?), 26-Окт-18, 09:31

А если честно, то когда читал, меня аж передёрнуло, что такое могло быть ))

Ответить | Правка | ^ к родителю #46 | Наверх | Cообщить модератору

71. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." +/–

Сообщение от Аноним (71), 26-Окт-18, 17:40

Такое было. И очень долго. "На то были причины!"

Ответить | Правка | ^ к родителю #47 | Наверх | Cообщить модератору

56. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." +/–

Сообщение от Dapredator (?), 26-Окт-18, 10:45

А от suid-ных ping и traceroute не передёргивает?

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

58. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." –2 +/–

Сообщение от 0x0 (?), 26-Окт-18, 11:05

Да, я, вообще то, утрировал, но тут, кажись, что-то напутано с suid/guid исполняемых файлов и процессами, запускаемыми пользователями системы)

Ответить | Правка | ^ к родителю #56 | Наверх | Cообщить модератору

73. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." –1 +/–

Сообщение от 0x0 (?), 26-Окт-18, 18:26

Если быть точнее, то напутано С ПРИНАДЛЕЖНОСТЬЮ процессов, запускаемых пользователями системы.

Ответить | Правка | ^ к родителю #58 | Наверх | Cообщить модератору

61. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." –1 +/–

Сообщение от Аноним (60), 26-Окт-18, 11:33

Ping успешно переводится на Linux Capabilities.

Ответить | Правка | ^ к родителю #56 | Наверх | Cообщить модератору

63. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." +/–

Сообщение от Аноним (63), 26-Окт-18, 11:38

нет, у меня там нет setuid бита.

Ответить | Правка | ^ к родителю #56 | Наверх | Cообщить модератору

88. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." +/–

Сообщение от Dapredator (?), 27-Окт-18, 03:17

Ну это у тебя нет. А в убунте естб, и ничего, живут как-то люди.

Ответить | Правка | ^ к родителю #63 | Наверх | Cообщить модератору

59. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." –3 +/–

Сообщение от Аноним (59), 26-Окт-18, 11:18

А дыру с доступом кого угодно к буферу обмена в X уже пофиксели?

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

62. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." –1 +/–

Сообщение от Аноним (63), 26-Окт-18, 11:36

В арче:
ls -la /usr/bin/Xorg
-rwxr-xr-x 1 root root 271 окт 16 18:15 /usr/bin/Xorg
вроде не подвержен.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

74. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." –1 +/–

Сообщение от 0x0 (?), 26-Окт-18, 18:53

Если посмотреть эту новость в других источниках, то получается, что suid тут совсем не причём. Опасность заключается в некоторых изюминках самого процесса, беря во внимание его принадлежность. Который, к слову, по всей вероятности и в Arch запускается совсем не из /usr/bin

Ответить | Правка | ^ к родителю #62 | Наверх | Cообщить модератору

72. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." –1 +/–

Сообщение от Аноним (72), 26-Окт-18, 18:02

Как же все-таки _грамотно_ перезагрузить XServer без полного ребута?

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

75. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." +/–

Сообщение от iZEN (ok), 26-Окт-18, 22:41

Ctrl+Alt+BkSp

Ответить | Правка | ^ к родителю #72 | Наверх | Cообщить модератору

84. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." –1 +/–

Сообщение от КГБ СССР (?), 27-Окт-18, 00:00

> Ctrl+Alt+BkSp
Если заблаговременно не отключили в настройках.

Ответить | Правка | ^ к родителю #75 | Наверх | Cообщить модератору

93. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." +/–

Сообщение от svsd_val (ok), 28-Окт-18, 07:47

переключиться на виртуальную консоль ctrl+alt+f1..6, залогиниться и выполнить sudo service/invoke-rc.d lightmd/ gdm/ kdm (или какой там у Вас дм) restart
к примеру на для lightdm: sudo invoke-rc.d lightdm restart преведёт к перезапуску X сервера.
либо как говорится выполнить перенастройку X / клавиатуры и включить хук для его перезапуска по ctrl+alt+backspace
Для дистрибутивов основанных на Debian: sudo dpkg --reconfigure keyboard-configuration

Ответить | Правка | ^ к родителю #72 | Наверх | Cообщить модератору

98. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." +/–

Сообщение от пох (?), 28-Окт-18, 12:35

> Как же все-таки _грамотно_ перезагрузить XServer без полного ребута?
а смысл? Со времен впихивания в ядро ненужно-kms перезагружать xserver стало незачем.

Ответить | Правка | ^ к родителю #72 | Наверх | Cообщить модератору

101. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..." +/–

Сообщение от Анонимчик (?), 28-Окт-18, 19:45

ls -la /usr/bin/Xorg
-rws--x--x
Я круче всех .)

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

2. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..."	–7 +/–
Сообщение от Аноним (2), 25-Окт-18, 20:59
Пилят, пилят Иксы по частям, а глубже никто не хочет лезть. Как же там наш Веланд?
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	21. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..."	+5 +/–
	Сообщение от Аноним (21), 25-Окт-18, 22:48
	> Пилят, пилят Иксы по частям, а глубже никто не хочет лезть. Как же там наш Веланд? В Вейланде как раз как вы хотите: смело лезут в самое нутро и меняют всё, что давно не менялось. Ну чтобы код не устаревал, как в Иксах.
	Ответить \| Правка \| ^ к родителю #2 \| Наверх \| Cообщить модератору


	78. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..."	+/–
	Сообщение от Аноним (-), 26-Окт-18, 23:28
	Все проще: в вэйланде в коде еще более-менее можно разобраться. А в иксах большинству народа уже не помогает даже поллитра уже. Там такой код что большинство двуногих завидев его с...вает в панике.
	Ответить \| Правка \| ^ к родителю #21 \| Наверх \| Cообщить модератору


	89. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..."	+3 +/–
	Сообщение от Тот_Самый_Анонимус (?), 27-Окт-18, 07:13
	>Там такой код что большинство двуногих завидев его с...вает в панике. Зато одноногие сохраняют завидное хладнокровие. Ё-хо-хо и бутылка рома!
	Ответить \| Правка \| ^ к родителю #78 \| Наверх \| Cообщить модератору


	103. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..."	+/–
	Сообщение от Аноним (103), 02-Ноя-18, 07:57
	>Все проще: в иксах, код за многие годы уже и не нужно трогать Пофиксил тебя
	Ответить \| Правка \| ^ к родителю #78 \| Наверх \| Cообщить модератору

4. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..."	–14 +/–
Сообщение от Аноним (4), 25-Окт-18, 21:02
Когда уже Wayland допилят, с иксами столько проблем...
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	12. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..."	+/–
	Сообщение от Аноним (12), 25-Окт-18, 21:40
	Уже давно допилили.
	Ответить \| Правка \| ^ к родителю #4 \| Наверх \| Cообщить модератору


	18. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..."	–3 +/–
	Сообщение от голос_Геенны (ok), 25-Окт-18, 22:37
	Тогда почему у меня иксы по-умолчанию в Убунте 18.04? И я даже вынужден был после пары зависов GDM расчехлить WaylandEnable=false в custom.conf? Ах даа, это же неправильный дистрибутив!
	Ответить \| Правка \| ^ к родителю #12 \| Наверх \| Cообщить модератору


	20. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..."	+3 +/–
	Сообщение от Аноним (21), 25-Окт-18, 22:45
	> Тогда почему у меня иксы по-умолчанию Потому что ты расчехлил WaylandEnable=false. > после пары зависов GDM Это и есть допиленное состояние Вейланда. Наслаждайтесь.
	Ответить \| Правка \| ^ к родителю #18 \| Наверх \| Cообщить модератору


	52. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..."	+2 +/–
	Сообщение от Аноним (52), 26-Окт-18, 10:34
	Иксы по-умолчанию в Убунте 18.04 не потому что Wayland не допилен.
	Ответить \| Правка \| ^ к родителю #18 \| Наверх \| Cообщить модератору


	14. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..."	+/–
	Сообщение от Annoynymous (ok), 25-Окт-18, 21:45
	Года полтора назад, я сижу с 25-й федоры.
	Ответить \| Правка \| ^ к родителю #4 \| Наверх \| Cообщить модератору


	25. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..."	–4 +/–
	Сообщение от Michael Shigorin (ok), 26-Окт-18, 00:43
	> Когда уже Wayland допилят, с иксами столько проблем... Те же люди из @redhat.com, разумеется, ни разу не вносят порблемы в laywand, ага.
	Ответить \| Правка \| ^ к родителю #4 \| Наверх \| Cообщить модератору


	53. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..."	+1 +/–
	Сообщение от Dapredator (?), 26-Окт-18, 10:37
	Список коммитов от россиянских создателей форка Mandrake где можно посмотреть? ;)
	Ответить \| Правка \| ^ к родителю #25 \| Наверх \| Cообщить модератору


	54. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..."	+1 +/–
	Сообщение от Dapredator (?), 26-Окт-18, 10:39
	Ой, простите, я забыл, альтовцы так стесняются и всячески отрицают родство с мандрейком ;) Они так хотят казаться настоящим дистрибутивом. Но мы-то знаем ;)
	Ответить \| Правка \| ^ к родителю #53 \| Наверх \| Cообщить модератору


	67. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..."	–2 +/–
	Сообщение от Deprecator (?), 26-Окт-18, 13:35
	А разве не Роса форк Мандрейка?
	Ответить \| Правка \| ^ к родителю #54 \| Наверх \| Cообщить модератору


	87. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..."	–1 +/–
	Сообщение от Dapredator (?), 27-Окт-18, 03:14
	Ты лет на десять ошибся :) Росе досталась толи третья, толи пятая производная Мандрейка... А тут речь про гордый Альт, который как тот ёж, который не полетит, пока не пнёшь. Толку от них 0 (ни строчки кода, ни пользовательской базы, только перепаковка того, что делают другие), зато очень много ценного мнения течёт из всех щелей ;)
	Ответить \| Правка \| ^ к родителю #67 \| Наверх \| Cообщить модератору


	92. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..."	+/–
	Сообщение от голос_Геенны (ok), 27-Окт-18, 16:56
	А ещё говорят, Альт там, здесь.. Много такого слышал, но ни разу сам не видел.
	Ответить \| Правка \| ^ к родителю #87 \| Наверх \| Cообщить модератору


	94. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..."	+/–
	Сообщение от Zenitur (ok), 28-Окт-18, 11:14
	Официальное ответвление от Mandriva - Mageia. А Росинка - форк Mandrake, один из многих, но никак не официальное продолжение
	Ответить \| Правка \| ^ к родителю #67 \| Наверх \| Cообщить модератору


	95. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..."	+/–
	Сообщение от Zenitur (ok), 28-Окт-18, 11:16
	> Они так хотят казаться настоящим дистрибутивом Он был настоящим дистрибутивом задолго до появления быстрого интернета, Убунты, Путина у власти, и партии Единая Россия. В начале 00-х во всём мире были популярны национальные дистрибутивы. Во Франции - Mandrake, в Германии - SUSE, в Бразилии - Kurumin, в России - Alt и ASP. В своих странах, каждый национальный дистрибутив был едва ли не популярнее Red Hat-а, и был с ним совместим (RPM-ки прекрасно "ставились" в них)
	Ответить \| Правка \| ^ к родителю #54 \| Наверх \| Cообщить модератору


	99. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..."	+1 +/–
	Сообщение от КГБ СССР (?), 28-Окт-18, 13:39
	Альт появился уже после прихода Х-ла к власти и основания ПЖиВ (en.wikipedia.org/wiki/ALT_Linux). Наверняка Шигорин сотрёт этот коммент. :)
	Ответить \| Правка \| ^ к родителю #95 \| Наверх \| Cообщить модератору


	90. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..."	+/–
	Сообщение от Тот_Самый_Анонимус (?), 27-Окт-18, 07:18
	А можно ваши нормальные мысли без выcеров посмотреть? А то постите форки на нормальные мысли.
	Ответить \| Правка \| ^ к родителю #53 \| Наверх \| Cообщить модератору


	76. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..."	–1 +/–
	Сообщение от Аноним (-), 26-Окт-18, 23:25
	> Те же люди из @redhat.com, разумеется, ни разу не вносят порблемы в laywand, ага. Там значительно меньше функциональности в которую они могут внести проблемы. И таки вэйланд писался в другую эпоху, когда разработчики уже были в курсе про vuln. Хорошо ли, плохо ли, но сделать хуже иксов - они не смогут. Они не настолько таланты. Иксы это кладезь проблем безопасности. By design. Сложный и очень функциональный по своей задумке код, хватающийся делать все и вся, для работы нужны повышенные привилегии, ибо вообще всем разрешать без повышенных прав в GPU лезть - чревато. А поскольку писалось при царе горохе, когда слова vuln еще и не знали даже - одна только эпопея с попытками оторвать нужду в рутовых правах у иксов достойна эпических саг. В силу общей костыльности кода - его большинство народа вообще боится тыкать палочкой. Поэтому его изученность на предмет vuln - в районе плинтуса, так что узнавать о проблемах вы будете чего доброго когда возжелавший срубить $$$ кидо загонит на черном рынке сплойт.
	Ответить \| Правка \| ^ к родителю #25 \| Наверх \| Cообщить модератору


	60. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..."	+/–
	Сообщение от Аноним (60), 26-Окт-18, 11:26
	Его главная проблема - suid, впрочем, как и других suidных программ. Но сейчас же код, который, обращается к регистрам аппаратуры вынесен в ядро, поэтому в suid необходимости нет. SUSE, говорят, тому пример.
	Ответить \| Правка \| ^ к родителю #4 \| Наверх \| Cообщить модератору

6. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..."	+/–
Сообщение от КГБ СССР (?), 25-Окт-18, 21:09
> Уязвимости вызваны ошибкой, внесённой при подготовке ветки xorg-server 1.19.0 и приводящей к игнорированию проверок некоторых потенциально опасных опций. Убрали проверки, что ли? А зачем?
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	8. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..."	+/–
	Сообщение от Аноним (8), 25-Окт-18, 21:28
	Diff посмотреть религия не позволяет?
	Ответить \| Правка \| ^ к родителю #6 \| Наверх \| Cообщить модератору


	9. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..."	+/–
	Сообщение от КГБ СССР (?), 25-Окт-18, 21:32
	> Diff посмотреть религия не позволяет? Посмотри за меня, анон, ты такой умный. А потом расскажешь.
	Ответить \| Правка \| ^ к родителю #8 \| Наверх \| Cообщить модератору


	10. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..."	–2 +/–
	Сообщение от пох (?), 25-Окт-18, 21:32
	один рукожоп полез улучшать код, которого не понимал (и который в его улучшизме вовсе не нуждался). Другой рукожоп одобрил не читая - "зато как быстро таск закрыл". Reviewed-by: Adam Jackson <ajax@redhat.com> Signed-off-by: Emil Velikov <emil.l.velikov@gmail.com> это заодно и о "пользе" модной практики code review - бессмысленной траты времени и нервов. но прежде всего о допуске профнепригодных людей к серьезным проектам вообще. По хорошему - обоим права коммита отобрать и пинком под жопу из проекта, не считаясь с прошлыми заслугами (если даже и были, во что поверить трудно). На практике это делать некому.
	Ответить \| Правка \| ^ к родителю #6 \| Наверх \| Cообщить модератору


	11. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..."	+3 +/–
	Сообщение от КГБ СССР (?), 25-Окт-18, 21:38
	Ну так таки же да. Очередное подтверждение глубокой концептуальной ошибочности веры в миллионы зорких глаз, когда глаза эти в пустых головах.
	Ответить \| Правка \| ^ к родителю #10 \| Наверх \| Cообщить модератору


	19. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..."	–1 +/–
	Сообщение от голос_Геенны (ok), 25-Окт-18, 22:41
	В оригинале "тысячи глаз", кажется, не должны допустить говнокодия. Реальность и я всегда над этим смеялись.
	Ответить \| Правка \| ^ к родителю #11 \| Наверх \| Cообщить модератору


	22. "Выпуск X.Org Server 1.20.3 с устранением локальной root-уязв..."	+/–
	Сообщение от КГБ СССР (?), 25-Окт-18, 23:02
	> В оригинале "тысячи глаз", кажется, не должны допустить говнокодия. Реальность и я > всегда над этим смеялись. В сторону от темы. Для меня самым крупным «десктопным» разочарованием года (на сей момент) стала Солярка 11.4: оракули убрали из неё GNOME 2 (который был в 11.3) и вкорячили GNOME 3. ОС стала не просто «тихоходной», а жутким тормозом, который жрёт память и процессор безо всякой меры. Понятно, что на сервере это всё не надо, да и ресурсы там иного порядка, чем на моём ПЦ. Но вот сам факт резко напряг: а если они не только ДЕ так вкорячивают в ОС, не глядя?
	Ответить \| Правка \| ^ к родителю #19 \| Наверх \| Cообщить модератору