https://www.opennet.me/openforum/vsluhforumID3/128186.html В ядре Linux выявлено несколько уязвимостей, вызванных обращением к уже освобождённым областям памяти и позволяющих локальному пользователю повысить свои привилегии в системе. Для всех рассматриваемых проблем созданы рабочие прототипы эксплоитов, которые будут опубликованы через неделю после публикации информации об уявзимостях. Патчи с устранением проблем отправлены разработчикам ядра Linux...<br><br>Подробнее: https://www.opennet.ru/opennews/art.shtml?num=57622<br> https://www.opennet.me/openforum/vsluhforumID3/128186.html#163 Mon, 29 Aug 2022 07:51:55 GMT Коллеги, можете поджсказать, правильно ли понимаю, что отключение модуля cls_route (rmmod cls_route) не даст возможность для эксплуатации уязвимости?<br> https://www.opennet.me/openforum/vsluhforumID3/128186.html#161 Sat, 13 Aug 2022 03:27:21 GMT Ненужон, лучше бы bpfilter доделали<br> https://www.opennet.me/openforum/vsluhforumID3/128186.html#160 Sat, 13 Aug 2022 03:23:28 GMT &gt; придется весь этот гиг в секунду копировать туда-сюда<br><br>ну строго говоря из микроядерности это не следует<br> https://www.opennet.me/openforum/vsluhforumID3/128186.html#159 Sat, 13 Aug 2022 03:17:44 GMT Хоть и не рустофоб, но не могу не заметить, что даже двусвязный список уже оказывается не такой тривиальной структурой с точки зрения ownership, что уж говорить о всяких rcu<br> https://www.opennet.me/openforum/vsluhforumID3/128186.html#158 Sat, 13 Aug 2022 03:11:17 GMT &gt; проблема не в монолитности<br>&gt; абсолютно сторонний дырявый драйвер может позволить получить доступ к ядру<br><br>ну даже и не знаю<br> https://www.opennet.me/openforum/vsluhforumID3/128186.html#157 Sat, 13 Aug 2022 03:08:01 GMT найс приплёл<br> https://www.opennet.me/openforum/vsluhforumID3/128186.html#156 Fri, 12 Aug 2022 21:52:42 GMT Что не месяц то уйзвимость в netfilter, самое время переписать его на rust.<br> https://www.opennet.me/openforum/vsluhforumID3/128186.html#155 Fri, 12 Aug 2022 10:25:10 GMT &gt; Там это "огромное число доплнительных связей" "расшито" через подсистему IPC которая обычно <br>&gt; на сообщениях строится и это "число связей" не отличается от монолита. <br>&gt; Какая разница - дернуть функцию в монолите (надо знать какую) или <br>&gt; отправить кому-то сообщение единообразным способом через микроядро? Единственное преимущество <br>&gt; монолита - скорость. А у микроядра - бОльшая надежность (ошибка не <br>&gt; распространяется дальше процесса драйвера и не затрагивает структуры памяти других драйверов/процессов/приложений). <br><br>Это все очень теоретически. Практически - там еще много чего интересного есть. DMA, железки которые сами bus-master-ы на шинах и все такое. Поэтому гимора и продолба скорости во, а эффекта во. Бонусом еще и кодинг дров начинает напоминать некропедосадомазо так что желающих кодить дрова вот так - ну вот нет. И все микроядерные выперыщи на этом утыкались.<br><br>Ничего что для скорости современное железо mem-mapped? То-есть, драйвер тупо пишет в нужные адреса что хотел - из режима ядра, в том ж https://www.opennet.me/openforum/vsluhforumID3/128186.html#154 Fri, 12 Aug 2022 10:17:48 GMT &gt; Не знаю. Скарнет вообще странный слегка, Solaris именн что dead.<br><br>Да и этот их s6 не очень то решает вопрос контейнеров и изоляции сервисов друг от друга и от системы. Очередное лоскутное одеяло со всеми характерными проблемами оного - как то невозможность собрать огораживаемому процессу арену без вывешивания ему полсистемы (не секурно) или отвалбашки в процессе (потому что большая часть системы уже недоступна, а приспичило что-то вызывать).<br><br>Уже вгруженый в память резидентно и имеющий полные права системд вон той дурацкой проблемы не имеет, ему никого вызывать не надо. Может сам сисколы отвесить как надо не уповая на доступность с диска тех или иных программ (что в контексте огораживаемого процесса ну вот совсем не факт).<br><br>А, ну правильно, если началось увещевание за соляру и прочие бзды которые нот дед, значит и равняться надо на самый убогий и архаичный из наборов фич. И вот тут пожалуй хорошо что Linux это не unix так что можно позволить себе и не админить систему как будто на дворе 80е прошлого ве