URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 124800
[ Назад ]
Исходное сообщение
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено opennews , 15-Июл-21 13:41 
В Netfilter, подсистеме ядра Linux, используемой для фильтрации и модификации сетевых пакетов, выявлена уязвимость (CVE-2021-22555), позволяющая локальному пользователю получить привилегии root в системе, в том числе находясь в изолированном контейнере. Для тестирования подготовлен рабочий прототип эксплоита,  обходящий механизмы защиты KASLR, SMAP и SMEP. Исследователь, выявивший уязвимость, получил от Google вознаграждение, размером 20 тысяч долларов, за выявление метода обхода изоляции контейнеров Kubernetes в  кластере kCTF...

Подробнее: https://www.opennet.me/opennews/art.shtml?num=55488

Содержание
Сообщения в этом обсуждении
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Хан , 15-Июл-21 13:41 
Одна новость лучше другой((
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено anonymous , 15-Июл-21 22:01 
Чем больше дыр найдут, тем меньше останется :)
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Аноним , 16-Июл-21 10:11 
не существует такой корреляции.
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено gogo , 16-Июл-21 20:13 
Вполне себе нормальная корреляция. Чем больше внимания к софту, чем он вылизанней.
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Аноним , 17-Июл-21 18:38 
Вообще-то существует.
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Брат Анон , 16-Июл-21 11:32 
Патч дыры добавляет ещё полторы.
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Анонимъ , 15-Июл-21 13:41 
Надо на Rust переписать.
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Хан , 15-Июл-21 13:42 
Из под WSL юзать
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Анонимъ , 15-Июл-21 13:51 
В офтопике свои дырени.
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Анонимъ всё , 15-Июл-21 13:56 
на D
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Аноним , 15-Июл-21 14:46 
Перепиши. Впрочем, известно, что растаманы на своём Ruste могут писать только helloworld'ы.
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Аноним , 15-Июл-21 14:58 
Половину дела сделала.
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено iCat , 15-Июл-21 15:08 
на PowerShell
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Аноним , 15-Июл-21 15:20 
Дурачок. Это растоман и сделал ошибку. Rust примерно тогда и начали пилить. Это тот-же неосилятор который в расте неправильно доступную память считал.
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Корец , 15-Июл-21 18:00 
Уже скоро
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Хан , 15-Июл-21 13:42 
Ни дня без дыры
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Аноним , 15-Июл-21 13:46 
Вчера не было
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Хан , 15-Июл-21 13:51 
Недоработка, значит сегодня две дырени должны быть
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Аноним , 15-Июл-21 13:57 
Этой дырени 15 лет, вчера она была
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Аноним , 15-Июл-21 14:01 
Я про поступление дыр раз в день. А не про сколько эта дыра была.
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Аноним , 15-Июл-21 15:23 
Ну дак так и говори - вчера дыр в ядро не поступало, и пруфцов приложи конечно же
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Аноним , 15-Июл-21 15:25 
Держи пруфцы. https://www.opennet.me/ и https://www.opennet.me/#mini
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Олег , 15-Июл-21 21:45 
и мак ос до полного управления почты никогда не ломали через почтовый клиент)
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Аноним , 15-Июл-21 13:42 
А будь оно на расте такого б не случилось
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Аноним , 15-Июл-21 15:25 
Вы слишком много возлагает надежд на компиляторы.

Эксплуатация переполнения буфера контролируется ядром ОС
CONFIG_PAX_KERNEXEC=y
CONFIG_PAX_RANDKSTACK=y
CONFIG_GRKERNSEC_KSTACKOVERFLOW=y

И процесором: NX, ..

В случае контроля ядром ОС и процом есть гарантии, а в случае контроля компилятором их нет.

"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Аноним , 15-Июл-21 13:42 
Горшочек не вари.
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Аноним , 15-Июл-21 13:45 
Непонятно когда оно в mainline исправлено.

Под 5.12.13:

$ ./exploit
[+] Linux Privilege Escalation by theflow@ - 2021

[+] STAGE 0: Initialization
[*] Setting up namespace sandbox...
[*] Initializing sockets and message queues...

[+] STAGE 1: Memory corruption
[*] Spraying primary messages...
[*] Spraying secondary messages...
[*] Creating holes in primary messages...
[*] Triggering out-of-bounds write...
[*] Searching for corrupted primary message...
[-] msgrcv: Function not implemented

// b.

"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Аноним , 15-Июл-21 14:04 
На всякий обновился до 5.12.17 - сообщения те же.

// b.

"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено пох. , 15-Июл-21 14:54 
"linux-next" же ж...

"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено макпыф , 15-Июл-21 15:26 
5.12.X это stable, а не mainline
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено КО , 15-Июл-21 13:46 
В общем, как обычно чтобы даже уязвимость заработала, надо поипаться с установкой.
Типичный линух.
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено пох. , 15-Июл-21 13:59 
Просто нужно использовать настоящий ентер-прайсный редхат (или хотя бы его пре-альфа версию) а не васян-дистры с напрочь отключенным ненужно-неймспейсом.

"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Аноним , 15-Июл-21 14:24 
Поэтому линукс и защищенный.
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Аноним , 15-Июл-21 14:52 
Над вирусами ещё поглумись
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено pin , 15-Июл-21 13:49 
> user namespaces

Без них никак, очень полезная фича.

"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено СеменСеменыч777 , 15-Июл-21 17:59 
это что ли "CONFIG_USER_NS" ? не подскажете ли, для чего она вам настолько полезная ?

вот описание, и там в конце подсказка для дураков:

This allows containers, i.e. vservers, to use user namespaces
to provide different user info for different servers.
When user namespaces are enabled in the kernel it is
recommended that the MEMCG option also be enabled and that
user-space use the memory control groups to limit the amount
of memory a memory unprivileged users can use.

If unsure, say N.

Symbol: USER_NS [=n]

"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Аноним , 15-Июл-21 19:57 
Контейнеры и изоляция (емнип включая флатпак и ко), unshare без рута, песочница браузеров без рута.
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено gogo , 16-Июл-21 23:35 
Да, без рута. Только дырки почему-то рута хацкерам отдают...
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Аноним , 17-Июл-21 09:44 
> Да, без рута. Только дырки почему-то рута хацкерам отдают...

Альтернатива только суидные бинари и там уже нарутальный рут.

"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено InuYasha , 15-Июл-21 13:49 
Пока читал заголовок, ждал уязвимостей в eBPF :)
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено anonymous , 15-Июл-21 22:05 
Хватит уже путать Linux-овый eBPF с реальным packet filter :)
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено lockywolf , 16-Июл-21 05:22 
Расскажи мне об этом, анонимус.

BPF -- это разве не Berkeley Packet Filter из BSD?

"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено anonymous , 18-Июл-21 12:34 
В контексте Linux скорее "нет", чем "да". Там остались лишь одно название и идея как исполнять код.
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено anonymous , 18-Июл-21 13:05 
Просто для примера. В Linux, например, некоторые инженеры используют BPF для поиска memleak-ов в своих приложениях.
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Хан , 15-Июл-21 13:50 
Ачотакова?
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Хан , 15-Июл-21 13:52 
Linux это безопасно, не то что дырявая винда... говорили они
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Аноним , 15-Июл-21 14:02 
В линуксе дыры находят, а затем исправляют. А кто найдет дыру в винде, если код закрыт?
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Хан , 15-Июл-21 14:31 
По частоте обнаружения дыреней в ядре, такое чувство что само ядро линукса это и есть дырень
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Аноним , 15-Июл-21 16:38 
В винде дыр нет?
Абсолютно непроницаемое ядро? )
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Fracta1L , 15-Июл-21 20:07 
Оно просто написано на дырявом языке
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Аноньимъ , 15-Июл-21 17:37 
В винде то-же находят и исправляют. Код винды не закрыт от тестировщиков разработчиков и аудиторов.

Ну и немножко разные продукты, виндовс уже успела несколько версий EOL объявить, то есть в винде столько времени дыры не живут.

"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Kuromi , 15-Июл-21 17:58 
Зато когда в Винде дыру находят, то закрывают самого нашедшего.
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Аноним , 15-Июл-21 18:31 
Были прецеденты?
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено anonymous , 15-Июл-21 22:07 
Работаю в смежной area, и действительно: публиковать уязвимости проприетарщика обычно малореально (чтобы не нарваться на судебные проблемы).
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Аноним , 16-Июл-21 10:58 
>А кто найдет дыру в винде, если код закрыт?

Кто найдёт, тот всем не расскажет. Только за денежку кому нужно продаст.

"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено 1 , 15-Июл-21 17:18 
ну дык ... как тебе эпичнейший PrintNightmare ?
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Аноним , 16-Июл-21 10:32 
Докопаться до пары найденных уязвимостей в Linux мы умны, а на 100+ уязвимостей в винде которые сидят там уже лет 40 - на это плевать. Фанатики винды не перестают удивлять своим мышлением о том, что в винде нет дыр)) А и пофиг на критическую дыру в службе печати, зато на линуксах этих ваших можно рут получить, ой ооой ойойой
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Анон123амм , 17-Июл-21 16:32 
а просто нефиг 99% мануаллов начинать с "отключите SELinux" ))) Тогда и проблем таких будет на пару порядков меньше.
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено z , 19-Июл-21 22:45 
А как тогда жить? ковырять эту хреновину на каждый чих? давай еще касперского поставим, а потом будем по 100 раз комп ребутить, чтобы заработало что-то там
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено пох. , 15-Июл-21 13:57 
АААААА.... опять пятнадцатилетняя дыра!!!

Уп-с? Требует рута или юзернеймспейс? Расходимся, пацаны...

"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Аноним , 15-Июл-21 14:05 
> юзернеймспейс

Включено by default в туче дистрибутивов, включая enterprise где оно особенно важно - ваши домашние машинки на хрен никому не сдались.

// b.

"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено пох. , 15-Июл-21 14:31 
> включая enterprise где оно особенно важно

в rhel не включено. А кто себе ентерпрайсов насобирал с помоешной бубунточки чтоб ненех никому не платить - ну, сами виноваты.

(в бубунтином ядре есть, если что, дебиановский патч c kernel.unprivileged_userns_clone - но ваши домашние машинки нахрен никому не сдались, поэтому там 1)

"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено And , 15-Июл-21 13:58 
> Пользователь может создать контейнер с отдельным пользователем root и из него эксплуатировать уязвимость.

В топе из того, что игнорируют на проектах с аудитами без-ти и т.п. тонкими применениями.

"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено псевдонимус , 15-Июл-21 13:59 
Опять неймспейс..
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Zenitur , 15-Июл-21 14:06 
Ого, какой древний бэкдор. Как там расширенная поддержка RHEL5? Не истекла ещё?
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено пох. , 15-Июл-21 14:32 
там выключено при сборке ведра - необратимо и невключаемо.
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Нанобот , 15-Июл-21 15:00 
А там ядро 2.6.18, в котором проблемы еще нет
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Анон Анонов , 15-Июл-21 14:54 
> приводящей к переполнению буфера

Ой, классика. Рассказывайте теперь как деды раньше писали софт на сях без ошибок. Все ошибаются. А хейтеры раста, видимо, младше этой ошибки.

"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Аноним , 16-Июл-21 00:25 
В rust в этом месте был бы unsafe и точно такая же ошибка.
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Аноним , 16-Июл-21 01:24 
Таки проще заметить ошибку в блоке "тут может быть ошибка", чем когда весь код - одна сплошная возможная ошибка ;)
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено And , 16-Июл-21 08:39 
Что проще, так это не напрягаться. Точно.
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Нанобот , 15-Июл-21 14:58 
> Проблема проявляется начиная с ядра 2.6.19, выпущенного 15 лет назад

Тогда это не было проблемой, т.к. требовало права рута

"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Аноним , 15-Июл-21 15:13 
А куда Фрактал пропал?
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Аноним , 15-Июл-21 15:25 
не выдержал конкуренции с местными клоунами
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Аноним , 15-Июл-21 15:19 
> размера памяти при сохранении

И ядру 15 лет. Совпадение? Не думаю.

Я знаю кто эту ошибку сделал. Он её потом в rust повторил. Это один и тот-же неосилятор работы с памятью как и всё сообщество rust

"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Аноним , 15-Июл-21 15:38 
>Он её потом в rust повторил

Чак Норрис?

"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено pin , 15-Июл-21 17:21 
Синтия Ротрок.
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Аноним , 15-Июл-21 15:56 
Миллиарды глаз, просто миллиарды.
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Аноньимъ , 15-Июл-21 17:34 
Позвольте уточнить. То, что вы называете глазами, на самом деле является Си глазами. Это не просто глаза, потому что просто глаза в Си код смотреть неспособны, это особый вид глаз, Си глаза, именно Си глаза смотрят в Си код.
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Аноним , 15-Июл-21 21:57 
Только глаза шоколадные
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Аноним , 16-Июл-21 00:27 
У тебя с логикой проблемы.
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Ordu , 15-Июл-21 16:15 
Долой BPF!
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено anonymous , 15-Июл-21 22:09 
Он-то тут вообще при чём?)
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Ordu , 15-Июл-21 22:41 
> Он-то тут вообще при чём?)

Всем известно, что BPF запиливают в ядро, чтобы там было больше дыр. Причём, в первую очередь, в сетевом стеке.

"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено anonymous , 18-Июл-21 12:36 
Скажите честно, вы хоть раз пробовали смотреть что есть BPF в Linux?
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Ordu , 18-Июл-21 13:14 
> Скажите честно, вы хоть раз пробовали смотреть что есть BPF в Linux?

Нет, конечно, зачем? Вонь против BPF на опеннете не требует смотреть на него. Достаточно вонять погромче.

"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Аноним , 15-Июл-21 16:31 
>Исследователь, выявивший уязвимость, получил от Google вознаграждение, размером 20 тысяч долларов

А мог бы получить миллионы от легальных киберпреступников.

"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Kuromi , 15-Июл-21 17:59 
А еще погоны или пулю в лоб от суперлегальных (в смысле находящихся над законом) "компетентных органов", тут как повезет.
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Аноним , 16-Июл-21 11:10 
Или гонорар на домик в Солсберри. Ну а потом саого же в этом домике...
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Анончик , 18-Июл-21 21:13 
С такими рассуждениями выше летёхи вам не светит.
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Alexey Chernyavskiy , 15-Июл-21 18:56 
Не зря я свои сервера на Debian поднимаю
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено And , 16-Июл-21 08:41 
И десктопы на Linux Mint Debian Edition - качать тут: https://linuxmint.com/download_lmde.php
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Аноним , 15-Июл-21 20:52 
А писали бы на C++ - не было бы таких ошибков
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Аноним , 15-Июл-21 23:27 
А вот писали бы без ошибков, то ошибков бы и не было
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Аноним , 16-Июл-21 00:34 
API ядра в виде классов и перегруженных функций? По моему в BeOS такое API было, жаль microsoft её уничтожила, интересно было бы сравнить сколько сейчас там бы было ошибок по сравнению с операционными системами с C API.
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Аноним , 16-Июл-21 11:12 
Так Хайка есть.
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Аноним , 16-Июл-21 01:25 
На C++ точно такие же ошибки могут быть, он точно такой же full unsafe и никакие костыли его не спасут.
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Аноним , 16-Июл-21 11:14 
Ну какой-нибудь стандарт C++2z может добавить @safe/@unsafe
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Брат Анон , 16-Июл-21 11:37 
Просто возьми нормальный язык, который такое не позволяет. То, что ты предлагаешь называется "костыль".
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Великая SystemD , 15-Июл-21 21:23 
Ого как жёстко! Во все дыры и щели!
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено srgazh , 16-Июл-21 03:28 
Представляю если бы такОЕ нашли Hyper-V  
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено And , 16-Июл-21 08:43 
Может и находят. KB-шки выходят потихоньку. Ведь так?
Только из описаний деталей не понять.
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Аноним , 19-Июл-21 17:33 
РЕ
"Уязвимость в подсистеме ядра Linux Netfilter "
Отправлено Michael Shigorin , 21-Июл-21 13:41 
CONFIG_USERNS вновь наносит ответный удар, ага.