URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 44566
[ Назад ]

Исходное сообщение
"Уязвимости в Linux ядре и NFS. Изменение сетевой подсистемы в ядре 2.6.28"

Отправлено opennews , 20-Окт-08 22:55 
Обнаружено несколько уязвимостей:

-  В DRM (Direct Rendering Manager) модуле для видеокарт Intel i915 найдена уязвимость (http://www.frsirt.com/english/advisories/2008/2853), позволяющая локальному злоумышленнику повысить свои привилегии в системе или вызвать отказ в обслуживании. Для успешной эксплуатации уязвимости необходимо (http://git.kernel.org/?p=linux/kernel/git/torvalds/linux-2.6...) наличие на машине чипсета Intel G33 или более нового. Исправление проблемы ожидается в версии 2.6.27.3, пока патч (http://git.kernel.org/?p=linux/kernel/git/torvalds/linux-2.6...) доступен только в снапшоте 2.6.27-git8 (http://www.kernel.org/pub/linux/kernel/v2.6/snapshots/patch-...);

-  Выпущен релиз Linux ядра 2.4.36.8 (http://www.kernel.org/pub/linux/kernel/v2.4/ChangeLog-2.4.36.8) в котором устранена проблема, которую можно использовать для вызова отказа в работе файло...

URL: http://www.heise-online.co.uk/open/Kernel-Log-Coming-in-2-6-...
Новость: http://www.opennet.me/opennews/art.shtml?num=18492


Содержание

Сообщения в этом обсуждении
"Уязвимости в Linux ядре и NFS. Изменение сетевой подсистемы в ядре 2.6.28"
Отправлено Аноним , 20-Окт-08 22:55 
В netfilter будет добавлена нормальная система для организации прозрачного проксирования, появления которой ждали 5 лет.

как эта так? как можно в линухе что-то ждать 5 лет? ужос и холокост. а еще на фрю чета косите. Кстати в bsd с этим уже тыщу лет как все в порядке.


"Уязвимости в Linux ядре и NFS. Изменение сетевой подсистемы ..."
Отправлено Georges , 20-Окт-08 23:08 
>В netfilter будет добавлена нормальная система для организации прозрачного проксирования, появления которой
>ждали 5 лет.
>
>как эта так? как можно в линухе что-то ждать 5 лет? ужос
>и холокост. а еще на фрю чета косите. Кстати в bsd
>с этим уже тыщу лет как все в порядке.

это не связка NAT + прокси сервер. это коечто другое


"Уязвимости в Linux ядре и NFS. Изменение сетевой подсистемы ..."
Отправлено неаноним , 20-Окт-08 23:49 
>В netfilter будет добавлена нормальная система для организации прозрачного проксирования, появления которой
>ждали 5 лет.
>
>как эта так? как можно в линухе что-то ждать 5 лет? ужос
>и холокост. а еще на фрю чета косите. Кстати в bsd
>с этим уже тыщу лет как все в порядке.

Как раз на BSD (как минимум, FreeBSD) это, в текущий момент, к сожалению, невозможно. (поднимать пакеты со 2-го на 3-й уровень). Были патчи от luigi, но только для 5.х


"Уязвимости в Linux ядре и NFS. Изменение сетевой подсистемы ..."
Отправлено Touch , 21-Окт-08 14:02 
Скажите, это то при помощи чего можно сделать прозрачно https ?..

"Уязвимости в Linux ядре и NFS. Изменение сетевой подсистемы ..."
Отправлено Sem , 21-Окт-08 17:04 
Это о чем речь? Не очень понятно. Можно ссылку?

"Уязвимости в Linux ядре и NFS. Изменение сетевой подсистемы "
Отправлено Touch , 21-Окт-08 21:12 
так понимаю речь об этом http://osdir.com/ml/freebsd.devel.ipfw/2003-09/msg00083.html

"Уязвимости в Linux ядре и NFS. Изменение сетевой подсистемы "
Отправлено Sem , 21-Окт-08 23:34 
>так понимаю речь об этом http://osdir.com/ml/freebsd.devel.ipfw/2003-09/msg00083.html

Все это ради того, что бы иметь forward на бридже? Ну мне кажется, что не стоит оно того, что бы городить такие костыли.


"Уязвимости в Linux ядре и NFS. Изменение сетевой подсистемы в ядре 2.6.28"
Отправлено Аноним , 20-Окт-08 23:22 
А нормальная считалка трафика в netfilter появится лет через десять ))

"Уязвимости в Linux ядре и NFS. Изменение сетевой подсистемы "
Отправлено Аноним , 21-Окт-08 04:52 
>А нормальная считалка трафика в netfilter появится лет через десять ))

омайгод. зачем, зачем в firewall пихать считалку трафика!!??



"Уязвимости в Linux ядре и NFS. Изменение сетевой подсистемы "
Отправлено vadiml , 21-Окт-08 12:37 
>>А нормальная считалка трафика в netfilter появится лет через десять ))
>
>омайгод. зачем, зачем в firewall пихать считалку трафика!!??

Чтоб не пихать на шлюз кучу дополнительных программ

у меня на шлюзе крутится только 1 программа -- squid, через который пушены только 80 и 443 порты и  ftp
а трафик хочется знать весь

вот и считается весь forward через дополнительные цепочки


"Уязвимости в Linux ядре и NFS. Изменение сетевой подсистемы "
Отправлено uldus , 21-Окт-08 14:00 
Главная причина другая, уже при потоках а 50Мбит/сек на достаточно мощном сервере ULOG начинает терять пакеты из-за большого числа переключений контекста в user space и лишнего копирования между буферами. Поэтому и пытаются избавиться от составляющей, работающей на уровне пользователей, производя минимальное агрегирование на уровне ядра.

"Уязвимости в Linux ядре и NFS. Изменение сетевой подсистемы "
Отправлено Аноним , 22-Окт-08 02:19 
http://sourceforge.net/projects/ipt-netflow/

"Уязвимости в Linux ядре и NFS. Изменение сетевой подсистемы "
Отправлено Аноним , 23-Окт-08 15:06 
Странный у вас ULOG. Я в начале 2005 на средненьком по тем временам сервере (2-х процессорные одноядерные xeon'ы на базе p4, свежий 64-х битный RHEL4) когда прикручивал ULOG, гонял на гигабитном трафике - потерь не было абсолютно, все считалось идеально точно (в отличие от pcap, который даже на сотне мегабит терял пакеты). Данные выгребались ipcad'ом, в ULOG стояла максимальная агрегация (50, кажется, пакетов).

Ищите проблему в настройке ulog/netfilter/ядре/железе..


"Уязвимости в Linux ядре и NFS. Изменение сетевой подсистемы "
Отправлено Аноним , 21-Окт-08 14:33 
>>А нормальная считалка трафика в netfilter появится лет через десять ))
>
>омайгод. зачем, зачем в firewall пихать считалку трафика!!??

точна, нафига она нужна, сами напишет, че нам.
Как и везде в свободном ПО - что вам нада пишите сами.


"Уязвимости в Linux ядре и NFS. Изменение сетевой подсистемы ..."
Отправлено ineu , 21-Окт-08 04:53 
>А нормальная считалка трафика в netfilter появится лет через десять ))

Чем  ipt_NETFLOW не устраивает?


"Уязвимости в Linux ядре и NFS. Изменение сетевой подсистемы ..."
Отправлено Аноним , 21-Окт-08 14:09 
И чтожы мне придется еще настроить и поставить,
что все нормально ИГРАБЕЛЬНО считало, а не сваливало в кучу
типа "а остальное сами допишыте"

"Уязвимости в Linux ядре и NFS. Изменение сетевой подсистемы ..."
Отправлено ineu , 21-Окт-08 14:15 
>И чтожы мне придется еще настроить и поставить,
>что все нормально ИГРАБЕЛЬНО считало, а не сваливало в кучу
>типа "а остальное сами допишыте"

Жы-шы пишы с буквай ы?
Чтоб самому ничего не делать, платите деньги за готовые решения. Не хотите платить деньги - думайте головой. Как собирать трафик с iptables, я Вам сказал.


"Уязвимости в Linux ядре и NFS. Изменение сетевой подсистемы ..."
Отправлено Аноним , 21-Окт-08 14:29 
да все собирается, на базе Дебиан+НетАМС.

комерческие Линукс решения без "отвертки" не поставишь,
или дорого ОЧЕНЬ, виндовс системы дешевле в разы.

Вот и крутица все на бесплатном сурагате,
но вполне надежно(после нескольких месяцев отладки),
без перезагрузок и вообще вмешательства.


"Уязвимости в Linux ядре и NFS. Изменение сетевой подсистемы в ядре 2.6.28"
Отправлено Logo , 21-Окт-08 01:27 
> В драйвере ath5k для беспроводных карт Atheros, появилась поддержка Mesh-сетей (каждая клиентская точка сети связана через соседние точки)...

Mesh-сети кто то пробовал? Реально пропускная способнось выше?


"Уязвимости в Linux ядре и NFS. Изменение сетевой подсистемы в ядре 2.6.28"
Отправлено luserz , 21-Окт-08 08:12 
Ethernet over GRE ням ням ням

"Уязвимости в Linux ядре и NFS. Изменение сетевой подсистемы "
Отправлено абырвалг , 21-Окт-08 08:34 
Сейчас OpenVPN для этого юзаем. Скоро жизнь станет проще (года через полтора, когда вендоры выпустят дистры на этом ядре). :)

"Уязвимости в Linux ядре и NFS. Изменение сетевой подсистемы "
Отправлено kay , 21-Окт-08 09:34 
а чем openvpn хуже?

"Уязвимости в Linux ядре и NFS. Изменение сетевой подсистемы "
Отправлено User294 , 22-Окт-08 21:56 
>а чем openvpn хуже?

Наверное тем что в юзерспейсе?Хотя по пролезанию через наты и фаерволы он куда лучше всяких хитрых штук типа GRE, а заодно умеет и внятное сжатие и шифрование на основе SSL если оно вдруг надо.


"Уязвимости в Linux ядре и NFS. Изменение сетевой подсистемы "
Отправлено Аноним , 21-Окт-08 09:38 
да уж господа вы похоже стандарты не читаете :)
нет ethernet over gre
есть ethernet over ip, причем реализация данного протокола уже есть давно в БСД лет 5 как минимум



"Уязвимости в Linux ядре и NFS. Изменение сетевой подсистемы "
Отправлено vitek , 21-Окт-08 14:17 
TAP что ли?
или о каких стандартах речь? или по другому, а что именно есть в bsd лет 5 как минимум? :-)

"Уязвимости в Linux ядре и NFS. Изменение сетевой подсистемы в ядре 2.6.28"
Отправлено Аноним , 21-Окт-08 09:55 
Ошибка в тексте:
atl2 -- это драйвер Attansic L2. К Atheros он не имеет отношения

"Уязвимости в Linux ядре и NFS. Изменение сетевой подсистемы в ядре 2.6.28"
Отправлено Аноним , 21-Окт-08 10:53 
Еще появится новый API в подсистеме dvb/v4l. Называется S2API ... ждали его два года. Позволит из под Linux работать со спутниковыми потоками в стандарте DVB-S2 ( до этого только DVB-S )

"Уязвимости в Linux ядре и NFS. Изменение сетевой подсистемы в ядре 2.6.28"
Отправлено Аноним , 21-Окт-08 14:11 
Сделали бы наконец Linux API...

"Уязвимости в Linux ядре и NFS. Изменение сетевой подсистемы ..."
Отправлено vitek , 21-Окт-08 14:13 
>Сделали бы наконец Linux API...

и что Вы под этим понимаете?


"Уязвимости в Linux ядре и NFS. Изменение сетевой подсистемы ..."
Отправлено Аноним , 21-Окт-08 14:39 
что же что и win32 API
только Linux API

Работа через API — это наиболее близкий к системе способ взаимодействия с ней из прикладных программ. Более низкий уровень доступа, необходимый только для драйверов устройств, в текущих версиях Windows предоставляется через Driver Model.

Только для того чтобы так все зЪделать, нада хотя бы в порядок все привести,
а тут даже нет единства, где конфиги хранить.

Ну и ессно это выкинЕт подход _делай сам_.


"Уязвимости в Linux ядре и NFS. Изменение сетевой подсистемы ..."
Отправлено vitek , 21-Окт-08 14:52 
системных вызовов не хватает? POSIX не достаточно? LSB?...
если эти API Вы имели в виду - то их предостаточно. все они в общественном доступе и легко доступны (начать например с википедии)
>Работа через API — это наиболее близкий к системе способ взаимодействия с ней из прикладных программ.

это называется так: привычка - вторая натура. хуже нет, чем не правильно сформированные понятия.
И много ли эта WinAPI помогает прикладным разработчикам? Например, под .net? Delphi?
Для написания прикладных программ нужны знания языка и библиотек.
И в этом плане библиотека Qt например ни чем не хуже VCL. Классы на все случаи жизни и очень не плохо документированы. + кросс платформенная. + бинденги почти на все остальные языки....


"Уязвимости в Linux ядре и NFS. Изменение сетевой подсистемы ..."
Отправлено Mike , 21-Окт-08 15:08 
>[оверквотинг удален]
>
>Работа через API — это наиболее близкий к системе способ взаимодействия с
>ней из прикладных программ. Более низкий уровень доступа, необходимый только для
>драйверов устройств, в текущих версиях Windows предоставляется через Driver Model.
>
>Только для того чтобы так все зЪделать, нада хотя бы в порядок
>все привести,
>а тут даже нет единства, где конфиги хранить.
>
>Ну и ессно это выкинЕт подход _делай сам_.

Уже много-много раз мусолили эту тему. Гугл вам поможет. В исходниках ядра, в разделе
документации есть отдельный файл в котором написано, почему этого делать не надо.
И насколько мне известно - Driver API стабильно.


"Уязвимости в Linux ядре и NFS. Изменение сетевой подсистемы ..."
Отправлено User294 , 22-Окт-08 22:52 
>что же что и win32 API
>только Linux API

Спасибо, такого счастья под виндовсом хватает.С запасом.А нормальные програмы под линуксом почему-то есть, при том уже сегодня.Странно, да?А Win32 API - всего лишь порт WinAPI из 16-битных версий винды.Со всеми сопутствующими костылями и массой проблем и бестолковостей.Так что в итоге програмеры часто предпочитают не юзать оное напрямую, потому что достаточно геморройно.Более того - если хочется написать программу которая работает в нескольких версиях ОС (9x + NT based) - приходится жестко изъ...ся с чем-то типа loadlibrary+getprocaddress и детектом версии системы, потому что хваленое апи в разных системах несколько отличается и в некоторых либах есть функции а в других фига с маслом :).Поработать с драйверами?!Ха!В 9х и NT это 2 большие разницы.Универсального метода нет нихрена.Зато типов драйверов - хоть ж**й жуй!
Было всего-то навсего несколько типов драйверов:
.SYS файлы времен MS-DOS (самопальный примитивный формат MS-DOS) работали и в 9x.
16-бит драйвера режима пользователя (.drv файлы, по сути 16-bit DLL).
.VxD файлы - LE EXE, преимущественно на асме.Драйверы ядра 3.x и '9x\ME.
NT drivers - .sys файлы, по сути DLLки режима ядра, куски native subsystem.
- Потом кусок ядра засунули в 9x и решили сделать это WDM.Те же драйвера NT но писаные по определенному набору правил чтобы работало и там и сям.
- Потом сделали user-mode драйвера.На этот раз 32-битные.Честно говоря драйверов которые использовали бы User-Mode Driver Framework я не встречал.Но framework такой - есть.
- Этого всего было мало.В висте драйвера видео теперь отдельный особый тип драйверов.Благодаря чему пришлось в спешке переписывать эти драйвера.Ну а в результате MS пеняет на нвидию что дескать 80% крашей висты на их совести.Хотя кто там из них пи...рас а кто Д`Артаньян - пользователям малоинтересно.MS помог облажаться левыми перетрясами API для укрепления DеRьMа а нвидия облажалась.Отличная система!И какая благая цель перетряса апи - юзеру поднасрать!

Я уж молчу о том что по мелочи системы не совместимы даже между одинаковыми линейками систем.Скажем XP и 2003 - хоть у них и в основном общий codebase но небольшие отличия в подсистеме драйверов есть.И их достатчно чтобы установка драйверов стала лотереей.Какие-то работают, какие-то нет.

Если кому-то уж и что-то там говорить про бардаки - то этот кто-то определенно не должен быть MS.Потому что у них своего бардака выше крыши.Не полная задница там только по 1 причине - монопольное положене MS.И то на старую железку хрен драйвер найдешь.Было полно железок для которых дрова только для 9х и они стали потом бесполезны в W2k.Теперь аналогичная тенденция с вистой и XP.

> в текущих версиях Windows предоставляется через Driver Model.

Да уж... осталось уточнить сколько же раз ее перетрясали.И рассказать страждущим юзерам которые плюются что на их новые девайсы нет дров для XP а на старые - нет дров для висты.А в висте дрова от XP катят далеко не всегда.Линукс вообще в этом плане постепенно становится куда менее геморроен - довольно часто все просто работает сразу из коробки.А в виндусе приходится долго диджействовать сидюками...