forum.opennet.ru - "Выявлена возможность обхода ограничений доступа к 'user namespace' в Ubuntu" (72)

"Выявлена возможность обхода ограничений доступа к 'user namespace' в Ubuntu"

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Выявлена возможность обхода ограничений доступа к 'user namespace' в Ubuntu"	+/–
Сообщение от opennews (??), 28-Мрт-25, 16:38
Исследователи безопасности из компании Qualys выявили три способа обхода применяемых в Ubuntu ограничений доступа к пространству имён идентификаторов пользователя (user namespace). Начиная с выпуска 23.10 в Ubuntu применяется дополнительный слой изоляции, не позволяющий обычным непривилегированным пользователям создавать "user namespace". Сам по себе доступ к "user namespace" не является уязвимостью и многие дистрибутивы предоставляют его из коробки, так как он требуется в системах контейнерной изоляции и используется для sendbox-ограничений (например применяется для sandbox-изоляции браузеров)... Подробнее: https://www.opennet.me/opennews/art.shtml?num=62970
Ответить \| Правка \| Cообщить модератору

Оглавление

Ha-ha, classic До это отлично А от какой версии Некродеб как всегда дыряв -, Аноним (-), 16:38 , 28-Мрт-25, (1) –9

Там ниже анон пишет что уже 20 лет дырени 129401 Аж с ядра 2 6 Интересно, этот, Аноним (-), 17:47 , 28-Мрт-25, (24) –2

Что-ж поделаешь, Rust-овцы ещё не добрались переписать , Anonnn (?), 10:10 , 29-Мрт-25, (72) +5
Скрыто модератором, Аноним (78), 14:19 , 29-Мрт-25, (78)

Сколько линуксоидов используют HFS 0 1 линуксоида , Аноним (43), 20:25 , 28-Мрт-25, (43) –1
Какая разница Вот таблетка sudo find lib modules -name hfs ko -delete, Аноним (49), 21:03 , 28-Мрт-25, (49) –3

Расскажите что это случайность, а не специально сделано для специальных людей , Аноним (2), 16:40 , 28-Мрт-25, (2) +8

Рассказывать можно что угодно, а вот доказать не получится К сожалению оно так с, Аноним (-), 16:58 , 28-Мрт-25, (7) +1

Сейчас куча всяких низкокачественных товаров продаётся и никто никог не трогает, Аноним (29), 17:53 , 28-Мрт-25, (29) +2
Выявлена возможность обхода ограничений доступа к user names..., Олег Бартунов (?), 02:28 , 29-Мрт-25, (67) +1

Это дела агентов Галактической Империи, АНБ лишь ширма для недальновидных, Анонимище (?), 04:14 , 29-Мрт-25, (69)

Как показывает практика 22 04 всё покоя не даёт , чё на новых не ковыряются и не, Аноним (5), 16:52 , 28-Мрт-25, (5) +2

Ковыряются, просто пока эти уязвимости - кого надо уязвимости , bdrbt (ok), 17:46 , 28-Мрт-25, (23) +4
Тоже мне бином Ньютона На новых и ковыряются, и эсплоиты делают, но не публично, Аноним (41), 19:35 , 28-Мрт-25, (41) +2

Вы же сами сказали - В ЯДРЕ ПРИСУТСТВУЕТ НЕИСПРАВЛЕННАЯ УЯЗВИМОСТЬ Чтобы она не, Аноним (8), 16:59 , 28-Мрт-25, (8) –2

Если бы не давали рута или capabilities внутри userns-а, они бы были, как раз, б, Аноним (43), 20:32 , 28-Мрт-25, (44) –1

Очень просто - запускайте всё то, чему нужен рут, в виртуальной машине Она для , Аноним (83), 17:49 , 29-Мрт-25, (83) +1

Лучшие погромисты современности забыли проверить размер перед работой с буфером , Анонимусс (-), 17:00 , 28-Мрт-25, (9) +1
Уровень защиты Убунту Самый бессмысленный дистриб на свете, постоянно втюхиваю, Аноним (10), 17:01 , 28-Мрт-25, (10) –1

Только вот они это отключить никак не могут так как у нихвесь софт сейчас в snap, Аноним (42), 20:22 , 28-Мрт-25, (42) +7
юзайте астру и не киздите, Аноним (78), 14:20 , 29-Мрт-25, (79) –4

Mint, Arch, Fedora Что угодно из этого будет лучше всяких астр , Аноним (80), 14:36 , 29-Мрт-25, (80) +1

Там просто в половине профилев написано, что они на самом деле unconfined то ес, Аноним (8), 17:02 , 28-Мрт-25, (11)
Cтало интересно, зачем они проверяют key_len 1, а не просто с нулем, это же дл, Анонимусс (-), 17:04 , 28-Мрт-25, (13)

А в чем проблема если длина больше нуля или равна нулю в зависимости от контекс, 11 (?), 17:14 , 28-Мрт-25, (15)

Там было бы если функция hfs_bnode_read_u8, которая вызывается на 66 строке не в, Анонимусс (-), 17:22 , 28-Мрт-25, (16) +1

- Пейн я обработчика ошибок не чувствую -- Буба, а у тебя его нет Зачем вообщ, Аноним (-), 17:53 , 28-Мрт-25, (28) +3

А узнать что же значит код ошибки -39 мы не можем Потому что программист перед , Аноним (60), 23:54 , 28-Мрт-25, (60)

Прежде всего, это int - целое число со знаком, оно вполне может быть отрицателны, Имя (?), 19:07 , 28-Мрт-25, (37)

Прежде всего это длина, а отрицательная длина это уже не длина, а какая-то дельт, Аноним (-), 19:19 , 28-Мрт-25, (38) +1

Вот именно А дельту можно складывать с какой-то длиной и получать новую длину , Аноним (49), 01:24 , 29-Мрт-25, (64)

Конечно можно Можно получать, а можно и не получать Потому что отрицательная д, Аноним (-), 01:46 , 29-Мрт-25, (65)

А теперь посмотрим когда это наделали github com torvalds linux blame master fs , Аноним (-), 17:13 , 28-Мрт-25, (14) +3

Вчерась писали, что до тру кода галерных сеньеров это 2 0 версия Так что все пр, Аноним (18), 17:34 , 28-Мрт-25, (18)
Всегда поражали аноны, которым не лень посмотреть в блейме дату D Но спасибо ва, Анониссимус (?), 17:44 , 28-Мрт-25, (21)

Родное ядро в 22 04 8212 5 15 HWE 8212 6 8 Из какой промежуточной стадии, eugener (ok), 17:32 , 28-Мрт-25, (17)

23 10, Аноним (34), 18:31 , 28-Мрт-25, (34)

Какое же в Линукс низкое качество разработки Я раньше свято верил, что это само, Krtek (?), 17:49 , 28-Мрт-25, (27) +1

Ты просто ещё не знаешь что творится в других произведениях , Аноним (29), 17:59 , 28-Мрт-25, (31) +7

Ну если брать именно ОС с открытым исходным кодом, то такого отстоя нет больше н, Krtek (?), 18:09 , 28-Мрт-25, (33) +2

Да, тут дилемма или с дядями и драйверами, но с низким качеством кода, или без , Аноним (43), 20:38 , 28-Мрт-25, (46)

А вот вы уверены что с заметно более высоким качеством Или там просто особо не, Аноним (-), 21:28 , 28-Мрт-25, (50)

Если ты хоть немного шаришь в системном программировании, можешь убедиться сам , Krtek (?), 23:20 , 28-Мрт-25, (56) +2

Такое же peшeтo ftp netbsd org pub NetBSD security advisories NetBSD-SA2023-00, Аноним (-), 00:04 , 29-Мрт-25, (62)

Фря годами падала от извлечения USB флешки, вот это промышленный стандарт качест, Аноним (82), 16:50 , 29-Мрт-25, (82)

Если бы они без конца не ломали драйвера, я бы до сих пор так думал , Аноним (32), 18:05 , 28-Мрт-25, (32)
Тебе повезло Я в наивной юности ещё и печень гробил на всяких линуксфестах и сх, Аноним (47), 20:39 , 28-Мрт-25, (47)

Насколько мне известно, Торвальдс страдал от алкогольной зависимости и, видимо, , Krtek (?), 23:24 , 28-Мрт-25, (57) +1

Ну твоя юность ещё не закончилась, если ты не понимаешь, что главный фактор - эт, Аноним (48), 20:56 , 28-Мрт-25, (48) +1

Расскажи это программистам промышленного оборудования Подумаешь реактор рванёт , Krtek (?), 23:36 , 28-Мрт-25, (58) +1

Ох уж это мистическое промышленное оборудование, со своими закадычными друзьями , Аноним (60), 19:06 , 31-Мрт-25, (91)

У вас не правильные критерии оценки Линух любят за то что с ним можно делать всё, Ivan_83 (ok), 22:42 , 28-Мрт-25, (53)

Типа чем бы дитя ни тешилось, лишь бы своих не наделало , Аноним (55), 23:09 , 28-Мрт-25, (55)
Так можно сказать про абсолютно любой низкокачественный продукт , Krtek (?), 23:55 , 28-Мрт-25, (61)

Но оно лучшее после фряхи Так что твоя вера не далека от правды , Аноним (70), 06:18 , 29-Мрт-25, (70)

А ещё после остальных BSD, Solaris, FreeRTOS, AmigaOS, QNX, Haiku и многих други, Krtek (?), 12:10 , 29-Мрт-25, (76)

Иными словами, Линукс да и весь остальной UNIX-like со своим 171 всё файл 18, Аноним (60), 18:31 , 28-Мрт-25, (35) +1

Обычное постепенное развитие Долепливаем сбоку то что нужно, тк переделывать все, Аноним (-), 18:45 , 28-Мрт-25, (36)

А разве у межделмаша там не что-то в духе ос фантом до сих пор Причём не грязь,, Аноним (40), 19:29 , 28-Мрт-25, (40) +1

В описанном в новости ничего плохого нет Насчёт однопользовательских локалхостов, Ivan_83 (ok), 22:40 , 28-Мрт-25, (52)

Как настройки сети связаны с тем, что любой юникс сегодня 8212 это однопользо, Аноним (60), 23:45 , 28-Мрт-25, (59)

Да никак, просто венда такой же локалхост под одного юзера только с плохой сетью, Ivan_83 (ok), 07:18 , 29-Мрт-25, (71) +1

Все мейнстримные ОС 8212 однопользовательские локалхосты, без исключений 99 , Аноним (60), 19:21 , 31-Мрт-25, (92)

А kernel apparmor_restrict_unprivileged_unconfined в ванильном ядре есть Что-то, Аноним (54), 22:46 , 28-Мрт-25, (54)

Например, в Убунте 14 ничего из перечисленного нету ни unshare -U -r, ни allow , Аноним (49), 01:20 , 29-Мрт-25, (63)

Застрявший в старье , да её уже за друшлачили давно , она уязвимее самих уязвимо, body (?), 02:15 , 29-Мрт-25, (66)

Пруфов от тебя, конечно, не будет Пруфов на уязвимости БЕЗ патчей Ты же понима, Аноним (49), 04:09 , 29-Мрт-25, (68)

Не совсем понял причем тут namespace Root в системе только один Например, мож, EmmGold (ok), 18:23 , 29-Мрт-25, (84)

Потому что система-на-шнурках , особенно с вяленым на борту пошло Сначала пыта, Аноним (49), 19:31 , 29-Мрт-25, (85)
С рутовыми , что бы показать силу , это как с крутыми возможностями но примите б, Примитив (?), 19:33 , 29-Мрт-25, (86)
В каждом user namespace может быть свой отдельный root, который вне этого namesp, Аноним (87), 22:04 , 29-Мрт-25, (87)

А потом оказывается, что вываливается наружу и ещё как имеет , Аноним (49), 02:28 , 30-Мрт-25, (90)

Сообщения [Сортировка по времени | RSS]

1. "Выявлена возможность обхода ограничений доступа к user names..." –9 +/–

Сообщение от Аноним (-), 28-Мрт-25, 16:38

> Проблема вызвана переполнением буфера, возникающем при
> обработке специально сформированных образов ФС.
> позволяющей получить root-привилегии в системе
Ha-ha, classic.
> Проблема проявляется только в ядрах Linux до версии 6.12.
"До" это отлично. А "от" какой версии?
Некродеб как всегда дыряв - Bookworm 6.1

Ответить | Правка | Наверх | Cообщить модератору

24. "Выявлена возможность обхода ограничений доступа к user names..." –2 +/–

Сообщение от Аноним (-), 28-Мрт-25, 17:47

> "До" это отлично. А "от" какой версии?
Там ниже анон пишет что уже 20 лет дырени 🥹
Аж с ядра 2.6.
Интересно, этот код написали те самые непогрешимые диды, на которых местные апологеты дыряшки так яростно наяривают?
Или как обычно "это не настоящий сишник, вот настоящий никогда бы такую ошибку не допустил бы!"?

Ответить | Правка | Наверх | Cообщить модератору

72. "Выявлена возможность обхода ограничений доступа к user names..." +5 +/–

Сообщение от Anonnn (?), 29-Мрт-25, 10:10

Что-ж поделаешь, Rust-овцы ещё не добрались переписать.

Ответить | Правка | Наверх | Cообщить модератору

78. Скрыто модератором +/–

Сообщение от Аноним (78), 29-Мрт-25, 14:19

а где ваш написанный на русте аппармор?

Ответить | Правка | К родителю #24 | Наверх | Cообщить модератору

43. "Выявлена возможность обхода ограничений доступа к user names..." –1 +/–

Сообщение от Аноним (43), 28-Мрт-25, 20:25

Сколько линуксоидов используют HFS+ ? 0.1 линуксоида?

Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

49. "Выявлена возможность обхода ограничений доступа к user names..." –3 +/–

Сообщение от Аноним (49), 28-Мрт-25, 21:03

> А "от" какой версии?
Какая разница... Вот таблетка:
sudo find /lib/modules -name 'hfs*.ko' -delete

Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

2. "Выявлена возможность обхода ограничений доступа к user names..." +8 +/–

Сообщение от Аноним (2), 28-Мрт-25, 16:40

Расскажите что это случайность, а не специально сделано для специальных людей.

Ответить | Правка | Наверх | Cообщить модератору

7. "Выявлена возможность обхода ограничений доступа к user names..." +1 +/–

Сообщение от Аноним (-), 28-Мрт-25, 16:58

> Расскажите что это случайность, а не специально сделано для специальных людей.
Рассказывать можно что угодно, а вот доказать не получится.
К сожалению оно так сейчас работает - пекаря за антисанитарию вздрючат, а программер скажет "ну ошибся, с кем не бывает"

Ответить | Правка | Наверх | Cообщить модератору

29. "Выявлена возможность обхода ограничений доступа к user names..." +2 +/–

Сообщение от Аноним (29), 28-Мрт-25, 17:53

Сейчас куча всяких низкокачественных товаров продаётся и никто никог не трогает.

Ответить | Правка | Наверх | Cообщить модератору

67. "Выявлена возможность обхода ограничений доступа к user names..." +1 +/–

Сообщение от Олег Бартунов (?), 29-Мрт-25, 02:28

> Дело "сишников"

Ответить | Правка | К родителю #7 | Наверх | Cообщить модератору

69. "Выявлена возможность обхода ограничений доступа к user names..." +/–

Сообщение от Анонимище (?), 29-Мрт-25, 04:14

Это дела агентов Галактической Империи, АНБ лишь ширма для недальновидных

Ответить | Правка | К родителю #2 | Наверх | Cообщить модератору

5. "Выявлена возможность обхода ограничений доступа к user names..." +2 +/–

Сообщение от Аноним (5), 28-Мрт-25, 16:52

Как показывает практика 22.04 всё покоя не даёт , чё на новых не ковыряются и не делают эксплоитов или темплейтов остаётся загадкой

Ответить | Правка | Наверх | Cообщить модератору

23. "Выявлена возможность обхода ограничений доступа к user names..." +4 +/–

Сообщение от bdrbt (ok), 28-Мрт-25, 17:46

Ковыряются, просто пока эти уязвимости - кого надо уязвимости.

Ответить | Правка | Наверх | Cообщить модератору

41. "Выявлена возможность обхода ограничений доступа к user names..." +2 +/–

Сообщение от Аноним (41), 28-Мрт-25, 19:35

>чё на новых не ковыряются и не делают эксплоитов или темплейтов остаётся загадкой
Тоже мне бином Ньютона! На новых и ковыряются, и эсплоиты делают, но не публично и за хорошие деньги.

Ответить | Правка | К родителю #5 | Наверх | Cообщить модератору

8. "Выявлена возможность обхода ограничений доступа к user names..." –2 +/–

Сообщение от Аноним (8), 28-Мрт-25, 16:59

>Создание "user namespace" с привилегированным доступом внутри контейнера представляет угрозу только если в системе не установлены все доступные обновления и в ядре присутствует известная неисправленная уязвимость
Вы же сами сказали - В ЯДРЕ ПРИСУТСТВУЕТ НЕИСПРАВЛЕННАЯ УЯЗВИМОСТЬ. Чтобы она не присутствовала - надо ядро переписать.
Все эти usernsы ... они были бы полезны, если бы не давали рута или capabilities внутри userns-а. То есть если бы были чисто для фейкинга uisd, gid и имени пользователя, и home.
Но монтирование произвольных ФСов с ядерными драйверами - это бездонная бочка эксплоитов. Пофиксить это - это только ядро и ФСы с нуля переписать, приоритезируя безопасность и полностью забивая болт на производительность и эффективность.

Ответить | Правка | Наверх | Cообщить модератору

44. "Выявлена возможность обхода ограничений доступа к user names..." –1 +/–

Сообщение от Аноним (43), 28-Мрт-25, 20:32

Если бы не давали рута или capabilities внутри userns-а, они бы были, как раз, бесполезны. Дистр, запущенный в контейнере абсолютно без внутреннего рута? Что-то совсем фантастическое. Как там, хотя бы, инициализация гостя происходить будет без рута?

Ответить | Правка | Наверх | Cообщить модератору

83. "Выявлена возможность обхода ограничений доступа к user names..." +1 +/–

Сообщение от Аноним (83), 29-Мрт-25, 17:49

Очень просто - запускайте всё то, чему нужен рут, в виртуальной машине. Она для этого и предназначена: чтобы гость хозяина не ломал - ему выделена отдельная камера. А рут в контейнере - запустите один процесс, дающий фейковый образ ФС через fuse, далее примонтируйте этот образ ядерным драйвером, и определённым образом нарушьте предположения, сделанные Тедом Тсо или авторами BRFS... И будет вам не просто рут на хотсе, а kernel mode.

Ответить | Правка | Наверх | Cообщить модератору

9. "Выявлена возможность обхода ограничений доступа к user names..." +1 +/–

Сообщение от Анонимусс (-), 28-Мрт-25, 17:00

Лучшие погромисты современности забыли проверить размер перед работой с буфером.
+    if (key_len > sizeof(hfs_btree_key) || key_len < 1) {
+        memset(key, 0, sizeof(hfs_btree_key));
+        pr_err("hfs: Invalid key length: %d\n", key_len);
+        return;
+    }
Никогда такого не было и вот опять!

Ответить | Правка | Наверх | Cообщить модератору

10. "Выявлена возможность обхода ограничений доступа к user names..." –1 +/–

Сообщение от Аноним (10), 28-Мрт-25, 17:01

Уровень защиты: Убунту. Самый бессмысленный дистриб на свете, постоянно втюхивают свои сомнительные решения. На кой черт вообще на уровне дистра ограничивать доступ к userns? Те, кому он мешает сидеть на стуле ровно, отключают его полностью, а не ограничиваются полумерами с какими-то стремными белыми списками.

Ответить | Правка | Наверх | Cообщить модератору

42. "Выявлена возможность обхода ограничений доступа к user names..." +7 +/–

Сообщение от Аноним (42), 28-Мрт-25, 20:22

Только вот они это отключить никак не могут так как у нихвесь софт сейчас в snap который без этого не работает. А все нормальные сборки софта они выкинули.

Ответить | Правка | Наверх | Cообщить модератору

79. "Выявлена возможность обхода ограничений доступа к user names..." –4 +/–

Сообщение от Аноним (78), 29-Мрт-25, 14:20

юзайте астру и не киздите

Ответить | Правка | К родителю #10 | Наверх | Cообщить модератору

80. "Выявлена возможность обхода ограничений доступа к user names..." +1 +/–

Сообщение от Аноним (80), 29-Мрт-25, 14:36

Mint, Arch, Fedora. Что угодно из этого будет лучше всяких астр.

Ответить | Правка | Наверх | Cообщить модератору

11. "Выявлена возможность обхода ограничений доступа к user names..." +/–

Сообщение от Аноним (8), 28-Мрт-25, 17:02

>Для блокирования найденных лазеек разработчики Ubuntu рекомендуют отключить возможность изменения профилей AppArmor утилитой aa-exec, выставив настройку "sysctl kernel.apparmor_restrict_unprivileged_unconfined=1".
Там просто в половине профилев написано, что они на самом деле unconfined. то есть используются исключительно для обхода того патча, который применён. Кстати, патч не только у Ubuntu, но и у Debian.

Ответить | Правка | Наверх | Cообщить модератору

13. "Выявлена возможность обхода ограничений доступа к user names..." +/–

Сообщение от Анонимусс (-), 28-Мрт-25, 17:04

Cтало интересно, зачем они проверяют key_len < 1, а не просто с нулем, это же длина, как она вообще может быть отрицательной??
int key_len;
У ядерщиков все возможно...

Ответить | Правка | Наверх | Cообщить модератору

15. "Выявлена возможность обхода ограничений доступа к user names..." +/–

Сообщение от 11 (?), 28-Мрт-25, 17:14

А в чем проблема? если длина больше нуля или равна нулю в зависимости от контекста может ошибкой быть, а может не быть, а если отрицательное число, то это код ошибки. Стандартнейшая практика.

Ответить | Правка | Наверх | Cообщить модератору

16. "Выявлена возможность обхода ограничений доступа к user names..." +1 +/–

Сообщение от Анонимусс (-), 28-Мрт-25, 17:22

> а если отрицательное число, то это код ошибки
Там было бы если функция hfs_bnode_read_u8, которая вызывается на 66 строке не возвращала бы u8 data;
Это во-первых.
А во-вторых, если это ошибка, то где ее обработка?

Ответить | Правка | Наверх | Cообщить модератору

28. "Выявлена возможность обхода ограничений доступа к user names..." +3 +/–

Сообщение от Аноним (-), 28-Мрт-25, 17:53

> А во-вторых, если это ошибка, то где ее обработка?
- Пейн! я обработчика ошибок не чувствую...
-- Буба, а у тебя его нет!
Зачем вообще придумали такую глупость?
Настоящий програмист пишет все с первого раза и без ошибок.
Нынешние смузихлебы могут только завидовать силище предков.

Ответить | Правка | Наверх | Cообщить модератору

60. "Выявлена возможность обхода ограничений доступа к user names..." +/–

Сообщение от Аноним (60), 28-Мрт-25, 23:54

> если длина больше нуля или равна нулю в зависимости от контекста может ошибкой быть, а может не быть, а если отрицательное число, то это код ошибки.
А узнать что же значит код ошибки -39 мы не можем. Потому что программист перед тем как забыть проверить границы массива забыл про это написать в документации.
> Стандартнейшая практика.
Это и плохо. На PDP-7 действительно было необходимо экономить байты, даже ценой читаемости кода, удобства пользователей и разработчиков. Через каких-то пять лет это стало абсолютно бессмысленно, но поздно — практика уже сложилась.

Ответить | Правка | К родителю #15 | Наверх | Cообщить модератору

37. "Выявлена возможность обхода ограничений доступа к user names..." +/–

Сообщение от Имя (?), 28-Мрт-25, 19:07

> это же длина, как она вообще может быть отрицательной??
Прежде всего, это int - целое число со знаком, оно вполне может быть отрицателным.
А длина может получиться отрицательной, например, в результате signed integer overflow.

Ответить | Правка | К родителю #13 | Наверх | Cообщить модератору

38. "Выявлена возможность обхода ограничений доступа к user names..." +1 +/–

Сообщение от Аноним (-), 28-Мрт-25, 19:19

> Прежде всего, это int
Прежде всего это длина, а отрицательная длина это уже не длина, а какая-то дельта.
> А длина может получиться отрицательной, например, в результате signed integer overflow.
Если ты допустил integer overflow - то у тебя уже проблема.
А signed integer overflow для сишки это вообще UB.
И вопрос скорее "а какого фига для key_len вообще использовали int, а не unsigned int?"

Ответить | Правка | Наверх | Cообщить модератору

64. "Выявлена возможность обхода ограничений доступа к user names..." +/–

Сообщение от Аноним (49), 29-Мрт-25, 01:24

> это уже не длина, а какая-то дельта
Вот именно! А дельту можно складывать с какой-то длиной и получать новую длину. Как складывать знаковое с беззнаком?

Ответить | Правка | Наверх | Cообщить модератору

65. "Выявлена возможность обхода ограничений доступа к user names..." +/–

Сообщение от Аноним (-), 29-Мрт-25, 01:46

> А дельту можно складывать с какой-то длиной
Конечно можно!
> и получать новую длину
Можно получать, а можно и не получать :)
Потому что отрицательная длина - не длина, а ошибка (которая дарит рут)))

Ответить | Правка | Наверх | Cообщить модератору

14. "Выявлена возможность обхода ограничений доступа к user names..." +3 +/–

Сообщение от Аноним (-), 28-Мрт-25, 17:13

А теперь посмотрим когда это наделали.
github.com/torvalds/linux/blame/master/fs/hfs/bnode.c#L70
github.com/torvalds/linux/blame/master/fs/hfsplus/bnode.c#L68
Linux-2.6.12-rc2 20 years ago (Apr 17, 2005)
Какая прелесть, не правда ли!
Где те люди, которые рассказывали что самое крутое ядро - 2.6?

Ответить | Правка | Наверх | Cообщить модератору

18. "Выявлена возможность обхода ограничений доступа к user names..." +/–

Сообщение от Аноним (18), 28-Мрт-25, 17:34

Вчерась писали, что до тру кода галерных сеньеров это 2.0 версия. Так что все претензии только с чемоданом деняк принимаются.

Ответить | Правка | Наверх | Cообщить модератору

21. "Выявлена возможность обхода ограничений доступа к user names..." +/–

Сообщение от Анониссимус (?), 28-Мрт-25, 17:44

Всегда поражали аноны, которым не лень посмотреть в блейме дату :D Но спасибо вам за то, что другим будет лень делать :)

Ответить | Правка | К родителю #14 | Наверх | Cообщить модератору

17. "Выявлена возможность обхода ограничений доступа к user names..." +/–

Сообщение от eugener (ok), 28-Мрт-25, 17:32

> эксплоит, использование которого продемонстрировано в Ubuntu 22.04 с ядром 6.5.0-18-generic
Родное ядро в 22.04 — 5.15. HWE — 6.8. Из какой промежуточной стадии они вытащили 6.5?

Ответить | Правка | Наверх | Cообщить модератору

34. "Выявлена возможность обхода ограничений доступа к user names..." +/–

Сообщение от Аноним (34), 28-Мрт-25, 18:31

23.10

Ответить | Правка | Наверх | Cообщить модератору

27. "Выявлена возможность обхода ограничений доступа к user names..." +1 +/–

Сообщение от Krtek (?), 28-Мрт-25, 17:49

Какое же в Линукс низкое качество разработки. Я раньше свято верил, что это самое крутое произведение инженерной мысли за всю историю компьютеров. Эх, наивная юность =)

Ответить | Правка | Наверх | Cообщить модератору

31. "Выявлена возможность обхода ограничений доступа к user names..." +7 +/–

Сообщение от Аноним (29), 28-Мрт-25, 17:59

Ты просто ещё не знаешь что творится в других произведениях.

Ответить | Правка | Наверх | Cообщить модератору

33. "Выявлена возможность обхода ограничений доступа к user names..." +2 +/–

Сообщение от Krtek (?), 28-Мрт-25, 18:09

Ну если брать именно ОС с открытым исходным кодом, то такого отстоя нет больше нигде. Но вот беда, за теми ОС не стоят богатые дяди из IBM и они сидят без драйверов, которые в линуксе хоть и ужасного качества, но они есть и кое как даже работают.

Ответить | Правка | Наверх | Cообщить модератору

46. "Выявлена возможность обхода ограничений доступа к user names..." +/–

Сообщение от Аноним (43), 28-Мрт-25, 20:38

>за теми ОС не стоят богатые дяди из IBM и они сидят без драйверов
Да, тут дилемма: или с дядями и драйверами, но с низким качеством кода, или без дядей и драйверов, но с заметно более высоким качеством, но гораздо более медленной разработкой.

Ответить | Правка | Наверх | Cообщить модератору

50. "Выявлена возможность обхода ограничений доступа к user names..." +/–

Сообщение от Аноним (-), 28-Мрт-25, 21:28

> или без дядей и драйверов, но с заметно более высоким качеством,
> но гораздо более медленной разработкой.
А вот вы уверены что "с заметно более высоким качеством"?
Или там просто особо не смотрели, но если присмотреться, то будет как та гифка про Гомера и таракан.

Ответить | Правка | Наверх | Cообщить модератору

56. "Выявлена возможность обхода ограничений доступа к user names..." +2 +/–

Сообщение от Krtek (?), 28-Мрт-25, 23:20

Если ты хоть немного шаришь в системном программировании, можешь убедиться сам. Возьми ту же фряху или ещё лучше - NetBSD. Поизучай архитектуру ОС, почитай исходники, зацени документацию, попробуй принять хотя бы минимальное участие в разработке, повзаимодействуй с комьюнити. А потом попробуй повторить всё тоже самое, только с линуксом. После этого ты больше не будешь задавать таких вопросов.

Ответить | Правка | Наверх | Cообщить модератору

62. "Выявлена возможность обхода ограничений доступа к user names..." +/–

Сообщение от Аноним (-), 29-Мрт-25, 00:04

> Возьми ту же фряху или ещё лучше - NetBSD.
Такое же peшeтo?))
ftp.netbsd.org/pub/NetBSD/security/advisories/NetBSD-SA2023-001.txt.asc
Учитывая что netbsd (по инфе из инетов) "аж целых" 7.3 млн строк кода, а линукс "всего лишь" 40 млн., из которых больше половины это драйвера  от сторонних компаний (в том числе для видях АМД, которые бсдшники "одалживают" себе), то сложно ожидать равного качества.
github.com/udoprog/kernelstats
Ну и разумеется - нет кода, нет проблем))
"Unfortunately, NetBSD doesn't yet support the Macintosh HFS and HFS+ file systems natively."
netbsd.org/ports/macppc/partitioning.html
> повзаимодействуй с комьюнити
Как интересно взаимодействие с каммунити влияет качество кода?
> После этого ты больше не будешь задавать таких вопросов.
В общем сказать тебе толком нечего. Ясно-понятно.

Ответить | Правка | Наверх | Cообщить модератору

82. "Выявлена возможность обхода ограничений доступа к user names..." +/–

Сообщение от Аноним (82), 29-Мрт-25, 16:50

Фря годами падала от извлечения USB флешки, вот это промышленный стандарт качества :) Да и  люди ошибаются примерно одинаково везде - не надо тут бред рассказывать, Rust не на пустом месте появился. Только у Linux есть шанс исправитьсяа у фрип.здеца без корпораций - нет.

Ответить | Правка | К родителю #33 | Наверх | Cообщить модератору

32. "Выявлена возможность обхода ограничений доступа к user names..." +/–

Сообщение от Аноним (32), 28-Мрт-25, 18:05

Если бы они без конца не ломали драйвера, я бы до сих пор так думал.

Ответить | Правка | К родителю #27 | Наверх | Cообщить модератору

47. "Выявлена возможность обхода ограничений доступа к user names..." +/–

Сообщение от Аноним (47), 28-Мрт-25, 20:39

Тебе повезло. Я в наивной юности ещё и печень гробил на всяких линуксфестах и сходках MLUG путем заливания в организм всякого спиртного качеством примерно как этот самый линукс на десктопе. Насчет его опенсорсности не уверен, но может рецепты в открытом доступе где-то и валялись.

Ответить | Правка | К родителю #27 | Наверх | Cообщить модератору

57. "Выявлена возможность обхода ограничений доступа к user names..." +1 +/–

Сообщение от Krtek (?), 28-Мрт-25, 23:24

Насколько мне известно, Торвальдс страдал от алкогольной зависимости и, видимо, продвигал свой недуг в массы на линукс алкофестах.

Ответить | Правка | Наверх | Cообщить модератору

48. "Выявлена возможность обхода ограничений доступа к user names..." +1 +/–

Сообщение от Аноним (48), 28-Мрт-25, 20:56

Ну твоя юность ещё не закончилась, если ты не понимаешь, что главный фактор - это не качество кода, а потенция быстро исправлять свои ошибки, подтирать за собой, если старые решения показали свою ущербность. Можно быть с бесконечно крутым качеством, но без всякого развития.

Ответить | Правка | К родителю #27 | Наверх | Cообщить модератору

58. "Выявлена возможность обхода ограничений доступа к user names..." +1 +/–

Сообщение от Krtek (?), 28-Мрт-25, 23:36

Расскажи это программистам промышленного оборудования. Подумаешь реактор рванёт или навигация в самолёте откажет - дело-то житейское, сейчас подойдёт "профессионал" и быстро исправит свои ошибки, а может и что-то подотрёт, слюни персонала, например.

Ответить | Правка | Наверх | Cообщить модератору

91. "Выявлена возможность обхода ограничений доступа к user names..." +/–

Сообщение от Аноним (60), 31-Мрт-25, 19:06

Ох уж это мистическое промышленное оборудование, со своими закадычными друзьями — авионикой, медаппаратурой и реакторами! Добавить немного абстрактной эмбедщины и мы соберём полный сет опеннетного программиста, весь опыт которого можно просуммировать как «C:\laba1».
Всё, что ты перечислил — примитивные по своей сути системы. Цикломатическая сложность ядра Линукс (я уж молчу про всякую прикладную банальщину типа браузеров, кадов, ИДЕ и тому подобного, с чем работают люди) на порядки сложнее самых навороченных навигационных авиасистем.

Ответить | Правка | Наверх | Cообщить модератору

53. "Выявлена возможность обхода ограничений доступа к user names..." +/–

Сообщение от Ivan_83 (ok), 28-Мрт-25, 22:42

У вас не правильные критерии оценки.
Линух любят за то что с ним можно делать всё что угодно по всякому, а не за то что это завершённый продукт готовый для домохозяек.

Ответить | Правка | К родителю #27 | Наверх | Cообщить модератору

55. "Выявлена возможность обхода ограничений доступа к user names..." +/–

Сообщение от Аноним (55), 28-Мрт-25, 23:09

Типа "чем бы дитя ни тешилось, лишь бы своих не наделало".

Ответить | Правка | Наверх | Cообщить модератору

61. "Выявлена возможность обхода ограничений доступа к user names..." +/–

Сообщение от Krtek (?), 28-Мрт-25, 23:55

Так можно сказать про абсолютно любой низкокачественный продукт.

Ответить | Правка | К родителю #53 | Наверх | Cообщить модератору

70. "Выявлена возможность обхода ограничений доступа к user names..." +/–

Сообщение от Аноним (70), 29-Мрт-25, 06:18

Но оно лучшее после фряхи. Так что твоя вера не далека от правды.

Ответить | Правка | К родителю #27 | Наверх | Cообщить модератору

76. "Выявлена возможность обхода ограничений доступа к user names..." +/–

Сообщение от Krtek (?), 29-Мрт-25, 12:10

А ещё после остальных BSD, Solaris, FreeRTOS, AmigaOS, QNX, Haiku и многих других.

Ответить | Правка | Наверх | Cообщить модератору

35. "Выявлена возможность обхода ограничений доступа к user names..." +1 +/–

Сообщение от Аноним (60), 28-Мрт-25, 18:31

> Проблема в том, что изначально многие подсистемы ядра были написаны с расчётом на то, что работать с ними может только пользователь root, и проблемы в подобных подсистемах не рассматривались как уязвимость
Иными словами, Линукс (да и весь остальной UNIX-like со своим «всё файл», концепцией привилегированных портов, привилегированных UID/GID, и прочими атавизмами) — как был системой для однопользовательских локалхостов, так и остался. Plan9 намекал, что «всё урл» куда лучше подходит для распределённых систем, но слишком опередил своё время чтобы быть услышанным. А других инноваций у меня для вас нет.

Ответить | Правка | Наверх | Cообщить модератору

36. "Выявлена возможность обхода ограничений доступа к user names..." +/–

Сообщение от Аноним (-), 28-Мрт-25, 18:45

> Иными словами, Линукс (да и весь остальной UNIX-like со своим «всё файл», концепцией привилегированных портов, привилегированных UID/GID, и прочими атавизмами) — как был системой для однопользовательских локалхостов, так и остался.
Обычное постепенное развитие.
Долепливаем сбоку то что нужно, тк переделывать все нет времени и сил.
> Plan9 намекал, что «всё урл» куда лучше подходит для распределённых систем, но слишком опередил своё время чтобы быть услышанным. А других инноваций у меня для вас нет.
Ну, были еще довольно интересные идеи - например тот же Phantom ОС.
До нее у мелкомягких была Сингулярити.
Там были классные возможности с персистентностью и/или управляемой средой.
Но они были довольно сложны и для понимания, и для разработки.
Может ядро настолько разжиреет, что загнется.
И вот тогда!...

Ответить | Правка | Наверх | Cообщить модератору

40. "Выявлена возможность обхода ограничений доступа к user names..." +1 +/–

Сообщение от Аноним (40), 28-Мрт-25, 19:29

А разве у межделмаша там не что-то в духе ос фантом до сих пор? Причём не грязь, а реально в железе. Вполне себе юниксы поверх крутятся. Но тут нужно понимать, что юниксы это примитивная ОС по определению. А вот что там у вендора из полезных костылей, другой разговор.

Ответить | Правка | Наверх | Cообщить модератору

52. "Выявлена возможность обхода ограничений доступа к user names..." +/–

Сообщение от Ivan_83 (ok), 28-Мрт-25, 22:40

В описанном в новости ничего плохого нет.
Насчёт однопользовательских локалхостов - нет.
В отличии от венды у линуха/бсд с сетью полный порядок и можно делать конфиги сложнее чем: "подключил к сети, получил настройки по DHCP".
Вендовые SID тот ещё адок.

Ответить | Правка | К родителю #35 | Наверх | Cообщить модератору

59. "Выявлена возможность обхода ограничений доступа к user names..." +/–

Сообщение от Аноним (60), 28-Мрт-25, 23:45

Как настройки сети связаны с тем, что любой юникс сегодня — это однопользовательский локалхост в 99.999999999999% случаев? Да, включая те, что установлены на серверах с юзерской нагрузкой. Последний блёклый аналог многопользовательских систем — шаредный хостинг, нужность которого в наше время победивших публичных облаков, CDN и ультрадешёвых VPS принимает отрицательные значения.
Что касается сети, раз уж она тебе так чешется, вообще-то всё так и должно работать: обеспечил физическое подключение, и дальше настройки применяются автоматически, от адресации и роутинга до DNS и NTP, как это сейчас реализовано в IPv6, а не выдрчивать «конфиги сложнее». Сложность сети должна быть абстрагирована от оконечного оборудования. То, что до сих пор где-то приходится сперва настроить все роутеры, потом все свичи, и всё равно надо что-то крутить на хостах — это прямой результат «всё файл». Это всё безотносительно винды, которая тоже однопользовательская система и страдает всеми теми же болезнями, что и любой юникс-лайк, только на свой лад.

Ответить | Правка | Наверх | Cообщить модератору

71. "Выявлена возможность обхода ограничений доступа к user names..." +1 +/–

Сообщение от Ivan_83 (ok), 29-Мрт-25, 07:18

Да никак, просто венда такой же локалхост под одного юзера только с плохой сетью.
Вообще то, в современном мире когда даже дома легко набигает за десяток устройств подключённых к сети VLAN и прочие штуки становятся мастхэв.
Так же нужны бывают всякие тулзы для диагностики сети.
У венды с этим крайне плохо, а в линух/бсд это как два пальца.
По работе с сетями венда традиционно аутсайдер.
Вланы туда завезли где то после восьмёрки, до того только через костыли в вендорских утилитах.
Сырые сокеты - порезаны.
Доступ к ethernet фреймам отсутствует.
Топовый продукт для сетей от МС который я юзал - MS ISA2006 - даже в 2006 году сильно отставал (это если без мата) от того что есть в опенсорце рассыпухой, если не нужен фаервол клиент который по идее делал тоже самое что SOCK5 только прозрачно для приложений.

Ответить | Правка | Наверх | Cообщить модератору

92. "Выявлена возможность обхода ограничений доступа к user names..." +/–

Сообщение от Аноним (60), 31-Мрт-25, 19:21

> Да никак, просто венда такой же локалхост под одного юзера только с плохой сетью.
Все мейнстримные ОС — однопользовательские локалхосты, без исключений. 99% немейнстримных тоже. И вне зависимости от качества локалхоста, если для работы сети надо настраивать что-то кроме фаерволла — это сеть плохая, а не локалхост. И до хороших сетей мы может быть даже когда-то дорастём, но это процесс эволюционный и многое может пойти не так, но пока что мы коллективно движемся в правильном направлении.

Ответить | Правка | Наверх | Cообщить модератору

54. "Выявлена возможность обхода ограничений доступа к user names..." +/–

Сообщение от Аноним (54), 28-Мрт-25, 22:46

А kernel.apparmor_restrict_unprivileged_unconfined в ванильном ядре есть? Что-то не могу найти инфу.

Ответить | Правка | Наверх | Cообщить модератору

63. "Выявлена возможность обхода ограничений доступа к user names..." +/–

Сообщение от Аноним (49), 29-Мрт-25, 01:20

Например, в Убунте 14 ничего из перечисленного нету: ни unshare -U -r, ни allow userns, ни мутных профилей.

Ответить | Правка | Наверх | Cообщить модератору

66. "Выявлена возможность обхода ограничений доступа к user names..." +/–

Сообщение от body (?), 29-Мрт-25, 02:15

>> Например, в Убунте 14 ничего из перечисленного нету: ни unshare -U -r, ни allow userns, ни мутных профилей.
Застрявший в старье , да её уже за друшлачили давно , она уязвимее самих уязвимостей

Ответить | Правка | Наверх | Cообщить модератору

68. "Выявлена возможность обхода ограничений доступа к user names..." +/–

Сообщение от Аноним (49), 29-Мрт-25, 04:09

Пруфов от тебя, конечно, не будет. Пруфов на уязвимости БЕЗ патчей. Ты же понимаешь, что и у ядра, и у пакетов есть исходники, которые можно изменять и компилировать.

Ответить | Правка | Наверх | Cообщить модератору

84. "Выявлена возможность обхода ограничений доступа к user names..." +/–

Сообщение от EmmGold (ok), 29-Мрт-25, 18:23

Не совсем понял причем тут namespace. Root в системе только один.
**Например, можно применить к своему процессу профили от chrome, flatpak и trinity. ** - А какого хрена chrome, flatpak, trinity запускаются с рутовыми правами???

Ответить | Правка | Наверх | Cообщить модератору

85. "Выявлена возможность обхода ограничений доступа к user names..." +/–

Сообщение от Аноним (49), 29-Мрт-25, 19:31

> А какого ... с рутовыми правами???
Потому что "система-на-шнурках", особенно с вяленым на борту пошло. Сначала пытались всё обрезать, потом наткнулись, что ничего не работает, пришлось рута на все стороны раздавать.

Ответить | Правка | Наверх | Cообщить модератору

86. "Выявлена возможность обхода ограничений доступа к user names..." +/–

Сообщение от Примитив (?), 29-Мрт-25, 19:33

С рутовыми , что бы показать силу , это как с крутыми возможностями но примите большую ответственность за корову

Ответить | Правка | К родителю #84 | Наверх | Cообщить модератору

87. "Выявлена возможность обхода ограничений доступа к user names..." +/–

Сообщение от Аноним (87), 29-Мрт-25, 22:04

В каждом user namespace может быть свой отдельный root, который вне этого namespace никаких прав не имеет.

Ответить | Правка | К родителю #84 | Наверх | Cообщить модератору

90. "Выявлена возможность обхода ограничений доступа к user names..." +/–

Сообщение от Аноним (49), 30-Мрт-25, 02:28

А потом оказывается, что вываливается наружу и ещё как имеет.

Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2025 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. "Выявлена возможность обхода ограничений доступа к user names..."	–9 +/–
Сообщение от Аноним (-), 28-Мрт-25, 16:38
> Проблема вызвана переполнением буфера, возникающем при > обработке специально сформированных образов ФС. > позволяющей получить root-привилегии в системе Ha-ha, classic. > Проблема проявляется только в ядрах Linux до версии 6.12. "До" это отлично. А "от" какой версии? Некродеб как всегда дыряв - Bookworm 6.1
Ответить \| Правка \| Наверх \| Cообщить модератору


	24. "Выявлена возможность обхода ограничений доступа к user names..."	–2 +/–
	Сообщение от Аноним (-), 28-Мрт-25, 17:47
	> "До" это отлично. А "от" какой версии? Там ниже анон пишет что уже 20 лет дырени 🥹 Аж с ядра 2.6. Интересно, этот код написали те самые непогрешимые диды, на которых местные апологеты дыряшки так яростно наяривают? Или как обычно "это не настоящий сишник, вот настоящий никогда бы такую ошибку не допустил бы!"?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	72. "Выявлена возможность обхода ограничений доступа к user names..."	+5 +/–
	Сообщение от Anonnn (?), 29-Мрт-25, 10:10
	Что-ж поделаешь, Rust-овцы ещё не добрались переписать.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	78. Скрыто модератором	+/–
	Сообщение от Аноним (78), 29-Мрт-25, 14:19
	а где ваш написанный на русте аппармор?
	Ответить \| Правка \| К родителю #24 \| Наверх \| Cообщить модератору


	43. "Выявлена возможность обхода ограничений доступа к user names..."	–1 +/–
	Сообщение от Аноним (43), 28-Мрт-25, 20:25
	Сколько линуксоидов используют HFS+ ? 0.1 линуксоида?
	Ответить \| Правка \| К родителю #1 \| Наверх \| Cообщить модератору


	49. "Выявлена возможность обхода ограничений доступа к user names..."	–3 +/–
	Сообщение от Аноним (49), 28-Мрт-25, 21:03
	> А "от" какой версии? Какая разница... Вот таблетка: sudo find /lib/modules -name 'hfs*.ko' -delete
	Ответить \| Правка \| К родителю #1 \| Наверх \| Cообщить модератору

2. "Выявлена возможность обхода ограничений доступа к user names..."	+8 +/–
Сообщение от Аноним (2), 28-Мрт-25, 16:40
Расскажите что это случайность, а не специально сделано для специальных людей.
Ответить \| Правка \| Наверх \| Cообщить модератору


	7. "Выявлена возможность обхода ограничений доступа к user names..."	+1 +/–
	Сообщение от Аноним (-), 28-Мрт-25, 16:58
	> Расскажите что это случайность, а не специально сделано для специальных людей. Рассказывать можно что угодно, а вот доказать не получится. К сожалению оно так сейчас работает - пекаря за антисанитарию вздрючат, а программер скажет "ну ошибся, с кем не бывает"
	Ответить \| Правка \| Наверх \| Cообщить модератору


	29. "Выявлена возможность обхода ограничений доступа к user names..."	+2 +/–
	Сообщение от Аноним (29), 28-Мрт-25, 17:53
	Сейчас куча всяких низкокачественных товаров продаётся и никто никог не трогает.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	67. "Выявлена возможность обхода ограничений доступа к user names..."	+1 +/–
	Сообщение от Олег Бартунов (?), 29-Мрт-25, 02:28
	> Дело "сишников"
	Ответить \| Правка \| К родителю #7 \| Наверх \| Cообщить модератору


	69. "Выявлена возможность обхода ограничений доступа к user names..."	+/–
	Сообщение от Анонимище (?), 29-Мрт-25, 04:14
	Это дела агентов Галактической Империи, АНБ лишь ширма для недальновидных
	Ответить \| Правка \| К родителю #2 \| Наверх \| Cообщить модератору

5. "Выявлена возможность обхода ограничений доступа к user names..."	+2 +/–
Сообщение от Аноним (5), 28-Мрт-25, 16:52
Как показывает практика 22.04 всё покоя не даёт , чё на новых не ковыряются и не делают эксплоитов или темплейтов остаётся загадкой
Ответить \| Правка \| Наверх \| Cообщить модератору


	23. "Выявлена возможность обхода ограничений доступа к user names..."	+4 +/–
	Сообщение от bdrbt (ok), 28-Мрт-25, 17:46
	Ковыряются, просто пока эти уязвимости - кого надо уязвимости.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	41. "Выявлена возможность обхода ограничений доступа к user names..."	+2 +/–
	Сообщение от Аноним (41), 28-Мрт-25, 19:35
	>чё на новых не ковыряются и не делают эксплоитов или темплейтов остаётся загадкой Тоже мне бином Ньютона! На новых и ковыряются, и эсплоиты делают, но не публично и за хорошие деньги.
	Ответить \| Правка \| К родителю #5 \| Наверх \| Cообщить модератору

8. "Выявлена возможность обхода ограничений доступа к user names..."	–2 +/–
Сообщение от Аноним (8), 28-Мрт-25, 16:59
>Создание "user namespace" с привилегированным доступом внутри контейнера представляет угрозу только если в системе не установлены все доступные обновления и в ядре присутствует известная неисправленная уязвимость Вы же сами сказали - В ЯДРЕ ПРИСУТСТВУЕТ НЕИСПРАВЛЕННАЯ УЯЗВИМОСТЬ. Чтобы она не присутствовала - надо ядро переписать. Все эти usernsы ... они были бы полезны, если бы не давали рута или capabilities внутри userns-а. То есть если бы были чисто для фейкинга uisd, gid и имени пользователя, и home. Но монтирование произвольных ФСов с ядерными драйверами - это бездонная бочка эксплоитов. Пофиксить это - это только ядро и ФСы с нуля переписать, приоритезируя безопасность и полностью забивая болт на производительность и эффективность.
Ответить \| Правка \| Наверх \| Cообщить модератору


	44. "Выявлена возможность обхода ограничений доступа к user names..."	–1 +/–
	Сообщение от Аноним (43), 28-Мрт-25, 20:32
	Если бы не давали рута или capabilities внутри userns-а, они бы были, как раз, бесполезны. Дистр, запущенный в контейнере абсолютно без внутреннего рута? Что-то совсем фантастическое. Как там, хотя бы, инициализация гостя происходить будет без рута?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	83. "Выявлена возможность обхода ограничений доступа к user names..."	+1 +/–
	Сообщение от Аноним (83), 29-Мрт-25, 17:49
	Очень просто - запускайте всё то, чему нужен рут, в виртуальной машине. Она для этого и предназначена: чтобы гость хозяина не ломал - ему выделена отдельная камера. А рут в контейнере - запустите один процесс, дающий фейковый образ ФС через fuse, далее примонтируйте этот образ ядерным драйвером, и определённым образом нарушьте предположения, сделанные Тедом Тсо или авторами BRFS... И будет вам не просто рут на хотсе, а kernel mode.
	Ответить \| Правка \| Наверх \| Cообщить модератору

9. "Выявлена возможность обхода ограничений доступа к user names..."	+1 +/–
Сообщение от Анонимусс (-), 28-Мрт-25, 17:00
Лучшие погромисты современности забыли проверить размер перед работой с буфером. + if (key_len > sizeof(hfs_btree_key) \|\| key_len < 1) { + memset(key, 0, sizeof(hfs_btree_key)); + pr_err("hfs: Invalid key length: %d\n", key_len); + return; + } Никогда такого не было и вот опять!
Ответить \| Правка \| Наверх \| Cообщить модератору

10. "Выявлена возможность обхода ограничений доступа к user names..."	–1 +/–
Сообщение от Аноним (10), 28-Мрт-25, 17:01
Уровень защиты: Убунту. Самый бессмысленный дистриб на свете, постоянно втюхивают свои сомнительные решения. На кой черт вообще на уровне дистра ограничивать доступ к userns? Те, кому он мешает сидеть на стуле ровно, отключают его полностью, а не ограничиваются полумерами с какими-то стремными белыми списками.
Ответить \| Правка \| Наверх \| Cообщить модератору


	42. "Выявлена возможность обхода ограничений доступа к user names..."	+7 +/–
	Сообщение от Аноним (42), 28-Мрт-25, 20:22
	Только вот они это отключить никак не могут так как у нихвесь софт сейчас в snap который без этого не работает. А все нормальные сборки софта они выкинули.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	79. "Выявлена возможность обхода ограничений доступа к user names..."	–4 +/–
	Сообщение от Аноним (78), 29-Мрт-25, 14:20
	юзайте астру и не киздите
	Ответить \| Правка \| К родителю #10 \| Наверх \| Cообщить модератору


	80. "Выявлена возможность обхода ограничений доступа к user names..."	+1 +/–
	Сообщение от Аноним (80), 29-Мрт-25, 14:36
	Mint, Arch, Fedora. Что угодно из этого будет лучше всяких астр.
	Ответить \| Правка \| Наверх \| Cообщить модератору

11. "Выявлена возможность обхода ограничений доступа к user names..."	+/–
Сообщение от Аноним (8), 28-Мрт-25, 17:02
>Для блокирования найденных лазеек разработчики Ubuntu рекомендуют отключить возможность изменения профилей AppArmor утилитой aa-exec, выставив настройку "sysctl kernel.apparmor_restrict_unprivileged_unconfined=1". Там просто в половине профилев написано, что они на самом деле unconfined. то есть используются исключительно для обхода того патча, который применён. Кстати, патч не только у Ubuntu, но и у Debian.
Ответить \| Правка \| Наверх \| Cообщить модератору

13. "Выявлена возможность обхода ограничений доступа к user names..."	+/–
Сообщение от Анонимусс (-), 28-Мрт-25, 17:04
Cтало интересно, зачем они проверяют key_len < 1, а не просто с нулем, это же длина, как она вообще может быть отрицательной?? int key_len; У ядерщиков все возможно...
Ответить \| Правка \| Наверх \| Cообщить модератору


	15. "Выявлена возможность обхода ограничений доступа к user names..."	+/–
	Сообщение от 11 (?), 28-Мрт-25, 17:14
	А в чем проблема? если длина больше нуля или равна нулю в зависимости от контекста может ошибкой быть, а может не быть, а если отрицательное число, то это код ошибки. Стандартнейшая практика.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	16. "Выявлена возможность обхода ограничений доступа к user names..."	+1 +/–
	Сообщение от Анонимусс (-), 28-Мрт-25, 17:22
	> а если отрицательное число, то это код ошибки Там было бы если функция hfs_bnode_read_u8, которая вызывается на 66 строке не возвращала бы u8 data; Это во-первых. А во-вторых, если это ошибка, то где ее обработка?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	28. "Выявлена возможность обхода ограничений доступа к user names..."	+3 +/–
	Сообщение от Аноним (-), 28-Мрт-25, 17:53
	> А во-вторых, если это ошибка, то где ее обработка? - Пейн! я обработчика ошибок не чувствую... -- Буба, а у тебя его нет! Зачем вообще придумали такую глупость? Настоящий програмист пишет все с первого раза и без ошибок. Нынешние смузихлебы могут только завидовать силище предков.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	60. "Выявлена возможность обхода ограничений доступа к user names..."	+/–
	Сообщение от Аноним (60), 28-Мрт-25, 23:54
	> если длина больше нуля или равна нулю в зависимости от контекста может ошибкой быть, а может не быть, а если отрицательное число, то это код ошибки. А узнать что же значит код ошибки -39 мы не можем. Потому что программист перед тем как забыть проверить границы массива забыл про это написать в документации. > Стандартнейшая практика. Это и плохо. На PDP-7 действительно было необходимо экономить байты, даже ценой читаемости кода, удобства пользователей и разработчиков. Через каких-то пять лет это стало абсолютно бессмысленно, но поздно — практика уже сложилась.
	Ответить \| Правка \| К родителю #15 \| Наверх \| Cообщить модератору


	37. "Выявлена возможность обхода ограничений доступа к user names..."	+/–
	Сообщение от Имя (?), 28-Мрт-25, 19:07
	> это же длина, как она вообще может быть отрицательной?? Прежде всего, это int - целое число со знаком, оно вполне может быть отрицателным. А длина может получиться отрицательной, например, в результате signed integer overflow.
	Ответить \| Правка \| К родителю #13 \| Наверх \| Cообщить модератору


	38. "Выявлена возможность обхода ограничений доступа к user names..."	+1 +/–
	Сообщение от Аноним (-), 28-Мрт-25, 19:19
	> Прежде всего, это int Прежде всего это длина, а отрицательная длина это уже не длина, а какая-то дельта. > А длина может получиться отрицательной, например, в результате signed integer overflow. Если ты допустил integer overflow - то у тебя уже проблема. А signed integer overflow для сишки это вообще UB. И вопрос скорее "а какого фига для key_len вообще использовали int, а не unsigned int?"
	Ответить \| Правка \| Наверх \| Cообщить модератору