В системе Fedora Account System (https://fedoraproject.org/wiki/Account_System) (FAS (https://admin.fedoraproject.org/accounts/)), используемой для авторизации и организации входа разработчиков Fedora в различные web-сервисы проекта, в том числе в репозитории git и Bugzilla, выявлена (http://www.compatdb.org/forums/topic/113302-fedora-account-s.../) проблема с безопасностью (CVE-2016-1000038), позволяющая без авторизации выполнить HTTP-запрос от имени любого пользователя инфраструктуры.
Уязвимость связана с логической ошибкой в коде, из-за которой web-приложение FAS может принять некорректный поддельный клиентский сертификат. При установке HTTP-заголовка X-Client-Verify осуществлялось (https://github.com/fedora-infra/fas/commit/49788ae0488bdcaf1...) копирования логина из заголовка X-Client-CN, выставлялся флаг успешной авторизации и пропускалась стадия проверки пароля. Проблема решена в свежем выпуске FAS путём удаления (https://github.com/fedora-infra/fas/commit/b1b0871a922a49d0a...) кода поддержки авторизации по клиентским сертификатам, который выглядел скорее как заглушка, чем работающий код.При отправке запроса от имени участника проекта Fedora, имеющего высокий уровень доступа, атакующий мог добавить, отредактировать или удалить параметры учетной записи пользователя или группы. Так как FAS является открытой разработкой (https://github.com/fedora-infra/fas/) и используется не только в Fedora, разработчикам проектов, применяющих FAS, рекомендуется срочно обновить систему до последнего выпуска (https://github.com/fedora-infra/fas/releases).
Проблема выявлена разработчиками Fedora и уже устранена в рабочем сервисе. Репозитории пакетов, компоненты дистрибутива Fedora и пользователи не пострадали. В настоящее время проводится дополнительный аудит старых логов для выявления признаков возможных манипуляций параметрами пользователей и групп. На текущий момент никаких признаков, что об уязвимости было известно злоумышленникам, не найдено. В целостности репозиториев разработчики не сомневаются, так как любая активность в интерфейсе dist-git, связанная с содержимым пакетов, приводит к отправке уведомления сопровождающим. При этом через web-сервисы повлиять на отправку подобных уведомлений невозможно.
URL: http://www.compatdb.org/forums/topic/113302-fedora-account-s.../
Новость: http://www.opennet.me/opennews/art.shtml?num=44940
Это просто какая-то диверсия, очень похоже на бэкдор:- if not user_name:
- if cherrypy.request.headers['X-Client-Verify'] == 'SUCCESS':
- user_name = cherrypy.request.headers['X-Client-CN']
- cherrypy.request.fas_provided_username = user_name
- using_ssl = True
-
а сколько еще забекдоренных пакетов в федоренных репах теперь...
В Федоре везде!
В вашем любимом дистрибутиве нигде!
Хорошо, что вы признали ущербность вашей федоры.
Три года назад в FAS уже латали дыру, похоже обещание провести аудит кода остались обещаниями.
fedoraproject.org Account System (FAS) security issue.
https://lists.fedoraproject.org/pipermail/announce/2013-May/...
обещанного три года ждут. вот, дождались.
Вот, говорят, что никто не воспользовался и ничего не затронуто, а с чего тогда всполошились? Рутинная ревизия кода? Дай то Бог...
> никто не воспользовался и ничего не затронутоВ новости этого не написано. В ней написано "не пострадали".
Надо было ставить CentOS.
Продано, Fedora и CentOS (RedHat) сейчас в режиме стагнации стабильности.redhat-upgrade-tool preupgrade-assistant-contents не работают на CentOS
Что кому продано?
> Что кому продано?Тебе не пофигу, на локалхосте-то?
> Продано, Fedora и CentOS (RedHat) сейчас в режиме стагнации стабильности.Режим стагнации стабильности у дебиана, который уже не первый год умирает от network reload.
Fedorino горе