Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Уязвимость в systemd, потенциально позволяющая повысить свои..., opennews (??), 09-Фев-20, (0) [смотреть все] Как это в Ubuntu, который паразитирует нв Debian уже исправлено, а в самом Deb, Аноним (1), 09:12 , 09-Фев-20, (1) +25 // Так CVE то спаразитировал, а исправлять дебианцы просто не спешат, КО (?), 09:41 , 09-Фев-20, (4) // Продолжай бета-тесты в убунту Я подожду когда косяки соберут и в дебу передатут , КО (?), 09:51 , 09-Фев-20, (6) –5 // а пока с local root посидишь, да Все равно твой васян-хост никому в целом мире , нах. (?), 09:52 , 09-Фев-20, (8) +1 не верю я в какую-либо надежность шаринга ресурсов одной машиныугроза исходит от, хотел спросить (?), 14:31 , 09-Фев-20, (52) –3 А на сервере, по-вашему, тупануть невозможно , имя (ok), 19:27 , 09-Фев-20, (79) в консоли так кто мешает тупануть в sudo тогда точно также нет уж сконцентрируйт, хотел спросить (?), 14:02 , 12-Фев-20, (150) Для пробоя дырки нужно несколько разных условий Чем больше было сделано настроек, Ан о Ним (?), 20:48 , 09-Фев-20, (86) selinux настраиваете или дисейблите я вот настраиваю, хоть это и геморойноа , хотел спросить (?), 14:20 , 12-Фев-20, (151) Скрыто модератором, Аноним (22), 10:44 , 09-Фев-20, (22) –8 // Скрыто модератором, Аноним (37), 12:44 , 09-Фев-20, (37) +1 Скрыто модератором, Аноним (-), 14:25 , 09-Фев-20, (51) +5 // Скрыто модератором, Аноним (22), 14:32 , 09-Фев-20, (54) –8 Скрыто модератором, Аноним (22), 14:51 , 09-Фев-20, (58) –2 Скрыто модератором, Аноним (-), 15:08 , 09-Фев-20, (63) +1 Скрыто модератором, Аноним (22), 15:15 , 09-Фев-20, (64) systemd это шапка, при чём здесь Дебиан , Аноним (38), 12:58 , 09-Фев-20, (38) // У вас в слове Девуан ошибка , Аноним (44), 13:20 , 09-Фев-20, (44) +9 // Два дивана этому анониму И рояль еще сверху Концертный , Аноним (-), 01:19 , 13-Фев-20, (152) а не нужно было systemd и gnome3 принимать, Аноним (66), 15:36 , 09-Фев-20, (66) +4 Очень просто Есть некоммерческие организации и коммерческие Коммерческие сразу, freehck (ok), 18:19 , 09-Фев-20, (73) +15 аудит, аудит ты где , Аноним (2), 09:26 , 09-Фев-20, (2) // аудит гигабайта лапши с сотней нескучных ненужно-интерфейсов systemd-machineid, нах. (?), 09:50 , 09-Фев-20, (5) +24 // Я читал и правил код systemd, на лапшу ну никак не похоже Все интуитивно понятн, mikhailnov (ok), 11:58 , 09-Фев-20, (31) –3 // Но вот бекпортировать патчи в systemd - это вам не коммит без изменений наложить, mikhailnov (ok), 12:05 , 09-Фев-20, (35) –1 А зачем коммитить в единственно верный код от синей шляпы , Аноним (40), 13:05 , 09-Фев-20, (40) Т е вы предлагаете в дистрибутив собрать git-снапшот ради закрытия CVE Конкретн, mikhailnov (ok), 13:36 , 09-Фев-20, (48) Может, чтобы выставлялось правильное версионирование символов в бинарники, собир, mikhailnov (ok), 13:38 , 09-Фев-20, (49) Так и есть Собрал со своим бекпортом include systemd sd-bus h int main sd_, mikhailnov (ok), 18:00 , 09-Фев-20, (71) сколько ж совершенно ненужных знаний вам требуется для копирования _чужого_ испр, нах. (?), 19:18 , 09-Фев-20, (76) +2 А вы уже написали init на bash Чтобы для бекпортирования исправлений CVE вашего, mikhailnov (ok), 19:53 , 09-Фев-20, (82) –2 нам уже тридцать лет назад написали init на С, и он совершенно не нуждается в пе, нах. (?), 10:01 , 10-Фев-20, (108) +3 Если бы он был на баше ваще изи , Аноним (40), 11:55 , 09-Фев-20, (30) +1 // да ладно тебе, изи Изи оно было бы лет двадцать назад А сегодня - вот, баш Х-л, нах. (?), 12:45 , 10-Фев-20, (126) Очередная сишная дырень , Fracta1L (ok), 09:40 , 09-Фев-20, (3) –11 // ты можешь приступать к переписыванию на хруст прямо сейчас Уж в нем-то дыреней н, нах. (?), 09:51 , 09-Фев-20, (7) +11 // Уже без него приступили , Анонимъ (?), 11:13 , 09-Фев-20, (26) // агаhttps www redox-os org , segesg (?), 11:32 , 09-Фев-20, (27) –2 а что-нибудь кроме эталонного ненужно вы предложить не можете Ну да Так и думал, нах. (?), 13:22 , 09-Фев-20, (45) +1 Этот редукс походу всем нужен еще сильнее чем реактос и хайки всякие , Аноним (-), 01:30 , 13-Фев-20, (153) угу жаль вменяемых альтернатив нет, leap42 (ok), 09:55 , 09-Фев-20, (10) // Альтернативы, наверное, есть, но преодолеть инертность индустрии очень тяжело и , Fracta1L (ok), 09:57 , 09-Фев-20, (11) +1 // systemd прекрасно ее преодолел, и недорого - подобные тебе скудоумные толпами ри, нах. (?), 10:03 , 09-Фев-20, (13) –3 С помощью кучи бабла красношляпы Так что недорого тут совсем не к месту, Аноним (16), 10:08 , 09-Фев-20, (16) +4 Как говаривал наш фюрер - полезным идиотам платить совершенно незачем Красная , нах. (?), 13:24 , 09-Фев-20, (46) –4 точно не тот, кто не пытался, mikhailnov (ok), 20:30 , 09-Фев-20, (85) Дебианщики таки патчат сие добро В том числе и системд , Аноним (-), 01:31 , 13-Фев-20, (154) Американские индейцы тоже очень радовались когда поселенцы дарили им теплые одея, Аноним (40), 12:03 , 09-Фев-20, (33) Да, в аналогии ты не умеешь Потому что надо чтобы не только красиво, но и логик, IRASoldier_registered (ok), 21:09 , 09-Фев-20, (88) –1 так одеяла-то белые люди сами и использовали - у них никакой продвинутой бактери, нах. (?), 10:07 , 10-Фев-20, (109) +1 Вот вот индейцы тоже так же оправдывали поселенцев, мол не знали бывает Духи на, Аноним (129), 13:27 , 10-Фев-20, (129) –1 Да, читывал как-то, что есть подозрения, что вся эта кулстори про зараженных инд, IRASoldier_registered (ok), 17:34 , 10-Фев-20, (138) Ты еще походу и гуманитарий и в логику не умеешь Одеяла больных оспой посеоенцы, Аноним (129), 13:20 , 10-Фев-20, (128) Ты-то, очевидно, ниипаццо технарь с квадратно-гнездовой логикой Ты аналогию раз, IRASoldier_registered (ok), 17:30 , 10-Фев-20, (136) –1 Системгшная , псевдонимус (?), 10:03 , 09-Фев-20, (14) Сложно сказать, не заглядывая в код Неясно как они принимают решение о том, что, Ordu (ok), 10:09 , 09-Фев-20, (17) +2   // Прямо таки где угодно , Fracta1L (ok), 10:18 , 09-Фев-20, (19) –4   // Да, прямо-таки где угодно Попробуй покешировать что-нибудь там, где тебе кажетс, Ordu (ok), 13:17 , 09-Фев-20, (42) +4   Ну-ка, ну-ка, где у нас ещё use-after-free существует , Ананимус (?), 10:31 , 09-Фев-20, (21) –1   // https rustsec org advisories RUSTSEC-2019-0016 html, Аноним (24), 10:51 , 09-Фев-20, (24) –1   https snyk io vuln SNYK-LINUX-RUSTLIBFLATE-460470, Аноним (24), 10:55 , 09-Фев-20, (25) –1   Если ты начинаешь кешировать, то где угодно Кеши они вообще такие, они подразум, Ordu (ok), 13:11 , 09-Фев-20, (41)   Более того - на си эта ошибка не является чем-то неотъемлимым В смысле, это лиш, Аноним (-), 01:35 , 13-Фев-20, (155)   Тут дело ни разу не в сишке Дело на самом деле в том, что это мало того, что не, Корец (?), 10:46 , 09-Фев-20, (23) // Вот-вот дырку можно и на расте написать при желании , Аноним (40), 12:04 , 09-Фев-20, (34) not a bug, Аноним (15), 10:04 , 09-Фев-20, (15) +17 // Зашёл за этим комментом , Аноним (44), 13:17 , 09-Фев-20, (43) +4 Вонт фикс , псевдонимус (?), 14:36 , 09-Фев-20, (55) А вы другого ожидали от блоатварного комбайна , Аноним (18), 10:13 , 09-Фев-20, (18) +4 То ли ещё будет , Аноним (28), 11:36 , 09-Фев-20, (28) +1 Даже не знаю зачем это объявлять уязвимости, а не сразу называть фичами и включа, Аноним (40), 11:54 , 09-Фев-20, (29) +2 лишь бы не ставить runit, Аноним (32), 12:01 , 09-Фев-20, (32) +3 // о, привет, брат по разуму у меня тоже используется runit, анонимчик (?), 10:36 , 10-Фев-20, (112) для OpenBSD и FreeBSD патчи когда ждать , Аноним (36), 12:28 , 09-Фев-20, (36) –1 // Сразу после KDE 2 , Аноним (40), 13:03 , 09-Фев-20, (39) +4 Про openindiana забыли , Аноним (70), 17:35 , 09-Фев-20, (70) Вчера, axredneck (?), 02:35 , 10-Фев-20, (102) –1 Если внимательно посмотреть на https access redhat com security cve cve-2020-1, sigprof (ok), 13:33 , 09-Фев-20, (47) А есть еще бинарные дистры без этой дряни , Аноним (50), 14:20 , 09-Фев-20, (50) –1 // В Крукс нету , псевдонимус (?), 14:47 , 09-Фев-20, (57) https getkiss org , Аноним (67), 15:56 , 09-Фев-20, (67) +1 // У них на сайте есть гайд, как быть, если нужен софт, использующий glibc Реальный, Аноним (92), 22:31 , 09-Фев-20, (92) // Почему LFS - может быть LFS, как бы, самый KISS , Аноним (114), 11:16 , 10-Фев-20, (114) Лфс совсем не обязательно кис Каким сделаешь, таким и будет А процесс создания, псевдонимус (?), 14:40 , 10-Фев-20, (134) Да в т ч и часть http altlinux org starterkits, Michael Shigorin (ok), 11:59 , 10-Фев-20, (118) +1 Дбус, полкит Сколько дряни принёс с собой фри десктоп , псевдонимус (?), 14:32 , 09-Фев-20, (53) +5 // Раньше все было нормально на десктопе, это последние 10 лет в него все гадости п, Аноним (50), 14:46 , 09-Фев-20, (56) +7 // Что нормально Дубас Так в нём изначально нет ничего нормального Чертов кадавр, псевдонимус (?), 14:52 , 09-Фев-20, (59) // У меня Firefox нормально работает без Dbus Он через DBus только прописывает себ, Аноним (68), 16:53 , 09-Фев-20, (68) прибито гвоздями https bugzilla mozilla org show_bug cgi id 1579105, anonymous (??), 21:48 , 09-Фев-20, (90) +1 Для десктопа шина сообщений - штука нужная, позволяет сильно уменьшить связаннос, Crazy Alex (ok), 01:30 , 10-Фев-20, (97) Единая точка отказа , псевдонимус (?), 01:53 , 10-Фев-20, (100) Во-первых, нечему там отказывать, оно давно совершенно дубовое Во-вторых куча т, Crazy Alex (ok), 06:05 , 10-Фев-20, (104) –1 Мы в обсуждении новости о проблеме , псевдонимус (?), 12:05 , 10-Фев-20, (120) Перечитайте новость - проблема не в dbus , Аноним (144), 02:46 , 11-Фев-20, (144) Действительно дбус можно поиметь с помощью специально оформленного сообщения С, псевдонимус (?), 16:00 , 11-Фев-20, (149) только десктоп - штука ненужная, вот в чем дело Особенно феерически - на сервер, нах. (?), 10:10 , 10-Фев-20, (110) –3 Все беды начались с systemd и pulseaudio Например, hal с fam давно необходимо в, Аноним (22), 14:56 , 09-Фев-20, (60) –1 // Системда не причина, а следствие Следствие деградации сообщества , псевдонимус (?), 15:03 , 09-Фев-20, (62) +2 Я думал, что причина -- это попытка добиться юзерфрендли и сделать ляликс ОСью д, Аноним (80), 19:37 , 09-Фев-20, (80) +2 В результате как был осю не для всех, так и остался, правда искалеченрый, зато с, псевдонимус (?), 19:48 , 09-Фев-20, (81) +3 ещё для консолей см виднус , Аноним (22), 20:29 , 09-Фев-20, (84) Чушь Сервер, десктоп и смартфон отличаются преимущественно запускаемым ПО и осо, IRASoldier_registered (ok), 21:16 , 09-Фев-20, (89) Ага То то для ядра есть аж несколько планировщиков и горка оом-киллеров Оси об, псевдонимус (?), 01:13 , 10-Фев-20, (95) Ага То-то и Windows не нужна, где киллер давно реализован и работает , IRASoldier_registered (ok), 08:16 , 10-Фев-20, (105) Единая ось для всего - это как раз можно А вот единый десктоп для домохозяйк, Crazy Alex (ok), 01:36 , 10-Фев-20, (98) +1 Вот ты выше написал про нужность системной шины на десктопе А я считаю, что на , псевдонимус (?), 02:00 , 10-Фев-20, (101) Во-первых, в ядре ей делать нечего, во всяком случае, если мы не собираемся гоня, Crazy Alex (ok), 02:53 , 10-Фев-20, (103) А что, для демонов, CLI-приложений, да-да на сервере, не нужен Inter Process Com, Аноним (114), 12:12 , 10-Фев-20, (122) welcome to systemV ipc XX век Нет, xml ная херня - не нужна Совсем , нах. (?), 12:32 , 10-Фев-20, (124) Нет В виде недодемона совершенно не нужен , псевдонимус (?), 13:56 , 10-Фев-20, (131) вообще ерунда по сравнению с единой ОСью, потому что это уже уровень всего ли, IRASoldier_registered (ok), 08:20 , 10-Фев-20, (106) Выберет если оно есть И вопрос - сколько усилий потратит на настройку Напри, Crazy Alex (ok), 11:56 , 10-Фев-20, (117) Гм А в энтерпрайзе используется bluetooth , IRASoldier_registered (ok), 17:57 , 10-Фев-20, (139) Беспроводные клавы-мышки, наушники-микрофоны - не, не слышал , Аноним (141), 20:37 , 10-Фев-20, (141) Это если в организации у всех всё совершенно одинаковое Да и то, обычно на этом, IRASoldier_registered (ok), 21:09 , 10-Фев-20, (143) D-Bus, если что, это IPC, Polkit позволяет разным пользователям получить доступ , Аноним (114), 11:41 , 10-Фев-20, (115) // Шина это хорошо, но вот на десктопе в норме ни хрена нет разных пользователей ,, Crazy Alex (ok), 12:04 , 10-Фев-20, (119) Я запускаю пару сеансов KDE под разными пользователями Помтнися, когда не было , Аноним (114), 12:25 , 10-Фев-20, (123) +1 а зачем вам два kde Вы - извращенец , Smilek (?), 17:33 , 10-Фев-20, (137) И это было хорошо Они не загаживали этим систему, не призывали портить нормальн, псевдонимус (?), 14:02 , 10-Фев-20, (132) По-моему вы немного путаете Именно механизмов IPC в UNIX и Linux довольно мно, Совершенно другой аноним (?), 14:15 , 10-Фев-20, (133) +1 а бекпортить на старые версии кто будет , Аноним (61), 14:57 , 09-Фев-20, (61) +1 // В 244 бекпортировали - выпустили 244 244 - последний стабильный релиз В другие, mikhailnov (ok), 15:30 , 09-Фев-20, (65) –1 Local root, по сути, абсолютно на ровном месте Им сто раз говорили, что будет п, Дон Ягон (ok), 18:00 , 09-Фев-20, (72) +3 Это фича , Леонид Горшечников (?), 18:32 , 09-Фев-20, (74) +3 Вечно крутящийся курсор при загрузки любого приложения в стиле IE6, вот и все, ч, Аноним (75), 18:52 , 09-Фев-20, (75) +3 // Неправда ТАКОГО позорища у нас со времен windowsXP не бывало когда было нескол, MS (??), 19:23 , 09-Фев-20, (77) –1 // Может Вы и правы, после семи лет неиспользования винды, я был неприятно удивлён , stopsystemD (?), 19:57 , 09-Фев-20, (83) // В 10-ке тоже хватает трэша По работе иногда сталкиваюсь За 7 лет это стала ОС , Ан о Ним (?), 20:53 , 09-Фев-20, (87) настоящая философия unix делай маленькими кирпичиками маленькие вещи это ведь п, Аноним (91), 21:53 , 09-Фев-20, (91) +1 // В системде всё наоборот, пытаются сделать глобальную вещь одним большим кирпичом, Аноним (28), 14:10 , 11-Фев-20, (148) Предваряя комментарий -Линукс, каким его видят олдфаги-фанаты и хейтеры инноваци, IRASoldier_registered (ok), 22:32 , 09-Фев-20, (93) // Вот, хорошие картинки Мне этот бизнес гусь в ер не тарахтел А вой и стон в ос, псевдонимус (?), 01:27 , 10-Фев-20, (96) +2 // И не только пилил - и вам запрещал , Аноним (141), 20:40 , 10-Фев-20, (142) Ну сижу я не генте уже десять лет, и чё Только больше зафриженных версий пакето, Crazy Alex (ok), 01:45 , 10-Фев-20, (99) +4 // Возможна цикличность Были энтузиасты, у которых был а нужный уровень профессио, IRASoldier_registered (ok), 08:34 , 10-Фев-20, (107) // а ты попробуй отключить ненужные и опасные фичи в ведре - например, ipv6 Внезап, нах. (?), 12:09 , 10-Фев-20, (121) Так вроде два способа - на Debian-производных через sysctl-конфиг, на RH-произво, IRASoldier_registered (ok), 18:07 , 10-Фев-20, (140) значительно больше - и все - полумеры Кроме редхатовского с командной строкой я, нах. (?), 10:37 , 11-Фев-20, (145) использую runit брат жив , анонимчик (?), 10:35 , 10-Фев-20, (111) +2 Notabug, Аноним (114), 11:10 , 10-Фев-20, (113) Это просто прекрасно А это -- жабаскрипт на торте , Michael Shigorin (ok), 11:54 , 10-Фев-20, (116) +2 // Что поделать, если сам торт от Семена Семеновича , псевдонимус (?), 13:48 , 10-Фев-20, (130) bullshit bingo, угу Но, действительно, а что вы хотели-то от этой помойки Она р, нах. (?), 10:38 , 11-Фев-20, (146) +1 Блин, и как проверить, уязвим сервер или нет , Аноним (125), 12:37 , 10-Фев-20, (125) +1 // systemctl --version, Smilek (?), 17:12 , 10-Фев-20, (135) // Прикольно проверил - уязвимости нет Совсем нет systemctl --versionsystemct, Аноним (28), 14:06 , 11-Фев-20, (147) Может всем пора уже привыкнуть , Аноним (-), 13:07 , 10-Фев-20, (127) 1,2,3,15,18,28,29,32,36,47,50,53,61,72,74,75,91,93,111,113,116,125,127

Сообщения

[Сортировка по времени | RSS]

	17. "Уязвимость в systemd, потенциально позволяющая повысить свои..."	+2 +/–
	Сообщение от Ordu (ok), 09-Фев-20, 10:09
	Сложно сказать, не заглядывая в код. Неясно как они принимают решение о том, что кеш можно освободить, и что именно пошло не так. Они забыли увеличить ref_count? Если так, то да, классическая сишная ошибка. Или они обходятся без ref_count, пытаясь статически рассчитать время жизни объекта в кеше, и не учли какие-то особенности работы с dbus? Это уже не C-специфичная ошибка, такое можно накосячить где угодно, даже при сборке мусора можно.
	Ответить | Правка | К родителю #3 | Наверх | Cообщить модератору

	19. "Уязвимость в systemd, потенциально позволяющая повысить свои..."	–4 +/–
	Сообщение от Fracta1L (ok), 09-Фев-20, 10:18
	> такое можно накосячить где угодно Прямо таки где угодно?)
	Ответить | Правка | Наверх | Cообщить модератору

	42. "Уязвимость в systemd, потенциально позволяющая повысить свои..."	+4 +/–
	Сообщение от Ordu (ok), 09-Фев-20, 13:17
	>> такое можно накосячить где угодно > Прямо таки где угодно?) Да, прямо-таки где угодно. Попробуй покешировать что-нибудь там, где тебе кажется невозможным накосячить с кешированием. В языках со сборкой мусора use-after-free вроде как невозможен, но кеширование часто подразумевает предварительное выделение памяти и многократное повторное её использование. И тут начинается, что кеш счёл объект устаревшим, и использовал его память повторно, но где-то сохранилась ссылка на этот объект, она стала невалидной, но код-то об этом не знает. На эти грабли можно где угодно наступить.
	Ответить | Правка | Наверх | Cообщить модератору

	21. "Уязвимость в systemd, потенциально позволяющая повысить свои..."	–1 +/–
	Сообщение от Ананимус (?), 09-Фев-20, 10:31
	>  Это уже не C-специфичная ошибка Ну-ка, ну-ка, где у нас ещё use-after-free существует?
	Ответить | Правка | К родителю #17 | Наверх | Cообщить модератору

	24. "Уязвимость в systemd, потенциально позволяющая повысить свои..."	–1 +/–
	Сообщение от Аноним (24), 09-Фев-20, 10:51
	https://rustsec.org/advisories/RUSTSEC-2019-0016.html
	Ответить | Правка | Наверх | Cообщить модератору

	25. "Уязвимость в systemd, потенциально позволяющая повысить свои..."	–1 +/–
	Сообщение от Аноним (24), 09-Фев-20, 10:55
	https://snyk.io/vuln/SNYK-LINUX-RUSTLIBFLATE-460470
	Ответить | Правка | Наверх | Cообщить модератору

	41. "Уязвимость в systemd, потенциально позволяющая повысить свои..."	+/–
	Сообщение от Ordu (ok), 09-Фев-20, 13:11
	>>  Это уже не C-специфичная ошибка > Ну-ка, ну-ка, где у нас ещё use-after-free существует? Если ты начинаешь кешировать, то где угодно. Кеши они вообще такие, они подразумевают условное освобождение памяти, и тут очень легко накосячить с проверкой этих условий, особенно если ты отказываешься от динамического контроля за памятью, типа счётчиков ссылок. Совсем интересно получается, когда код прочистки кеша отделён от кода использующего этот кеш: если тебе вдруг приспичило освободить из кеша кусок памяти, как ты можешь убедиться, что на этот кусок памяти нигде не осталось ссылок? А поскольку кеш подчастую носит характеристики глобального объекта, и ссылки внутрь него есть в очень разном коде, то сложности становятся уже сильно неиллюзорными.
	Ответить | Правка | К родителю #21 | Наверх | Cообщить модератору

	155. "Уязвимость в systemd, потенциально позволяющая повысить свои..."	+/–
	Сообщение от Аноним (-), 13-Фев-20, 01:35
	Более того - на си эта ошибка не является чем-то неотъемлимым. В смысле, это лишь 1 из вариантов использования си.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема