Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Уязвимость в VFS ядра Linux, позволяющая повысить свои привилегии, opennews (??), 21-Янв-22, (0) [смотреть все] Дней с прошлой обнаруженной уязвимости в user namespaces 0 Отключать их не очен, Аноним (1), 11:06 , 21-Янв-22, (1) +2   // Альтернативой будет являться суидный бинарник запускающий программу от рута и эт, Аноним (1), 11:08 , 21-Янв-22, (3) –2   // Да, ведь макаки не умеют сбросить привиллегии правильно Это ж книжку надо читат, . (?), 11:41 , 21-Янв-22, (10) +6   // Для начала ядро просто изолирует процесс и дело не в сбросить права Ядро следит, Аноним (1), 11:45 , 21-Янв-22, (11) –2   Скрыто модератором, . (?), 11:49 , 21-Янв-22, (12) +5   Скрыто модератором, Аноним (1), 11:52 , 21-Янв-22, (14) –1   Скрыто модератором, . (?), 12:25 , 21-Янв-22, (31) +5   Скрыто модератором, Аноним (1), 12:34 , 21-Янв-22, (35) +3   Скрыто модератором, . (?), 12:46 , 21-Янв-22, (38) +1   Скрыто модератором, Аноним (1), 12:53 , 21-Янв-22, (45)   Скрыто модератором, . (?), 13:57 , 21-Янв-22, (66) +2   Скрыто модератором, Аноним (1), 14:23 , 21-Янв-22, (75)   Скрыто модератором, Аноним (1), 14:43 , 21-Янв-22, (82)   Скрыто модератором, YetAnotherOnanym (ok), 13:13 , 21-Янв-22, (54) +1   Скрыто модератором, Аноним (1), 13:20 , 21-Янв-22, (60) –1   Скрыто модератором, d (??), 16:56 , 21-Янв-22, (107)   Скрыто модератором, . (?), 14:08 , 21-Янв-22, (70) +1   Скрыто модератором, сипипи (?), 15:04 , 21-Янв-22, (86) –1   Скрыто модератором, Аноним (52), 13:00 , 21-Янв-22, (52) –4   Скрыто модератором, сипипи (?), 15:36 , 21-Янв-22, (91) +4   Скрыто модератором, Likern (?), 18:02 , 21-Янв-22, (115)   Скрыто модератором, Michael Shigorin (ok), 20:38 , 21-Янв-22, (132)   Скрыто модератором, Аноним (52), 20:45 , 21-Янв-22, (133)   Скрыто модератором, Аноним (52), 21:04 , 21-Янв-22, (139)   Скрыто модератором, Аноним (-), 21:24 , 21-Янв-22, (141)   Скрыто модератором, Likern (?), 21:57 , 21-Янв-22, (142) +1   Скрыто модератором, Аноним (-), 22:25 , 21-Янв-22, (143)   Скрыто модератором, Аноним (-), 16:33 , 21-Янв-22, (101) +3   Скрыто модератором, . (?), 14:09 , 21-Янв-22, (71) +2   Скрыто модератором, john_erohin (?), 15:26 , 21-Янв-22, (87) +1   Скрыто модератором, Michael Shigorin (ok), 20:30 , 21-Янв-22, (130) –1   В этом-то и проблема , псевдонимус (?), 17:26 , 21-Янв-22, (111)   Процессу нельзя доверять, завтра в нём появится исполнение произвольного кода и , Аноним (1), 08:59 , 22-Янв-22, (153)   Все правильно написал , псевдонимус (?), 17:23 , 21-Янв-22, (110)   Это совершенно нормально И всем лучше иллюзорной защыты , псевдонимус (?), 17:22 , 21-Янв-22, (109)   // Это реальная защита, ядро просто не позволит выполнить запрещённые операции при , Аноним (1), 08:36 , 22-Янв-22, (152)   Пора разделять user namespaces на привилегированные и нет, для песочниц будет ид, Аноним (5), 11:14 , 21-Янв-22, (5) +1   // да, а то багов что-то маловато пока Надо сделать все еще сложнее , . (?), 11:51 , 21-Янв-22, (13) +5   А они сами возьмут , YetAnotherOnanym (ok), 13:18 , 21-Янв-22, (59)   а нормальный код писать не , Аноним (17), 12:01 , 21-Янв-22, (17) +2   // Ну не, чувак, это ты чего-то лишку хватил Некогда его писать, и некому те кто , . (?), 12:28 , 21-Янв-22, (33) +5   Вот к чему приводит уход от полноценной виртуализации в сторону контейнеров eB, Аноним (2), 11:08 , 21-Янв-22, (2) –3 // Просто неймспейсы надо было брать ровно как в девятом плане И заменять ведро на, Аноним (-), 11:13 , 21-Янв-22, (4) +3 Вот и гоняй каждую вкладку браузера в отдельной виртуальной машине Тебе можно , Аноним (7), 11:21 , 21-Янв-22, (7) // И чем так песочницам для вкладок браузера необходим _user_ namespace , Аноним (9), 11:24 , 21-Янв-22, (9) В FreeBSD например каких-то особых проблем с этим нет , Аноньимъ (ok), 14:29 , 21-Янв-22, (76) // Или мало юзеров чтобы их выявить , Ананас (?), 18:13 , 21-Янв-22, (116) –1 // Есть там юзеров Просто сделано нормально В линуксе ИМХО слишком много дублирующи, Аноньимъ (ok), 18:39 , 21-Янв-22, (118) –1 Ахаха Нет, let me laugh even harder Ахахахахаха Почти 3 года прожило получение , Аноним (6), 11:17 , 21-Янв-22, (6) +16 // Вот поэтому только JavaScript Головняка меньше А за безопасный и производитель, Аноним (52), 11:23 , 21-Янв-22, (8) +1 // дык вон - бают, что он небезопастный и его нельзя никак без user namespace запус, . (?), 11:52 , 21-Янв-22, (15) +1 сколько секунд прошло с последнего бекдора в npm , Аноним (17), 12:04 , 21-Янв-22, (19) +7 // Скрыто модератором, Аноним (22), 12:07 , 21-Янв-22, (22) –3 И сколько Не помню ни одного на памяти Ссылку можно А обновление пакетов - это, Аноним (52), 12:48 , 21-Янв-22, (40) –4 Объясни пожалуйста, в чем смысл писать слово дерево и рядом ставить картинку э, псевдонимус (?), 17:41 , 21-Янв-22, (113) +2 Эмодзи для разнообразия А слово для понимания Т к эти символы эмодзи можно ин, Аноним (52), 19:41 , 21-Янв-22, (125) какой-ты милый и душевный, тебе бы на ruby писать, Аноним (17), 20:06 , 21-Янв-22, (128) +2 Принято А если человек пишет собака и рядом нарисована собака Это для чего От, псевдонимус (?), 20:23 , 21-Янв-22, (129) –1 ORLY Сам, между тем, три мусорных коммента породил, анон 17 еще два И все из-, Аноним (-), 00:10 , 22-Янв-22, (148) Интересная подпись Хотя если вдруг забыли проверить рекомендации на себе с год, Michael Shigorin (ok), 20:45 , 21-Янв-22, (134) –2 У тех, кто пишет код не думая -- в любом языке головняка нет , Аноним (21), 12:07 , 21-Янв-22, (21) +2 Советую почитай на досуге про чудеса в ЖС https github com denysdovhan wtfjs, OpenEcho (?), 12:46 , 21-Янв-22, (39) // Под JavaScript я имею ввиду TypeScript На чистом JS уже давно никто не пишет , Аноним (52), 12:50 , 21-Янв-22, (42) –3 да вы все на одно лицо, Аноним (17), 12:56 , 21-Янв-22, (46) +6 Ну да, здесь все телепаты Подразумеваю TypeScript, но пишу JavaScript ну дава, OpenEcho (?), 13:57 , 21-Янв-22, (67) +3 GitHub хоть иногда открывай Практически все топовые проекты переписаны на TypeSc, Аноним (52), 14:32 , 21-Янв-22, (77) –5 Ах,ты ещё и не Infinity,а строку парсишь Сочувствую Тут даже TypeScript не пом, Аноним (52), 14:34 , 21-Янв-22, (79) Ну попробуй без кавычек СпециалистС однако смотрю Ну спасибо, посмешил , OpenEcho (?), 16:52 , 21-Янв-22, (105) +1 Отвечаю const one parseInt i , 19 const two parseInt Infini , 24 Больше та, Likern (?), 18:33 , 21-Янв-22, (117) А ты смешной, продолжайВообще-то наоборот Ты забыл сказать, что стандарт ты см, OpenEcho (?), 15:10 , 22-Янв-22, (158) Ну так именно TypeScript находит очень много неявных ошибок, как неявная конверт, Аноним (52), 18:35 , 22-Янв-22, (164) Слушай скачай что ли deno хотя бы, который самый что ни на есть тру TypeScript и, OpenEcho (?), 23:38 , 22-Янв-22, (172) Я, в отличие от тебя, весь код проверил и в JavaScript, и в TypeScript И подробн, Аноним (52), 00:45 , 23-Янв-22, (173) Ну давай, отвечайся за слова тогда, линки в студиюЭт не моё говно и я не мамонт , OpenEcho (?), 16:49 , 21-Янв-22, (104) +1 Ладно, я потыкаю в тебя стандартом, раз JavaScript не знаешь Открываем https 2, Likern (?), 18:58 , 21-Янв-22, (120) –2 TS - очередной костыль, который продолжит агонию JS еще лет на 20, что идиотизм,, penetrator (?), 19:04 , 21-Янв-22, (122) Ты плохой троль Совсем не жирный Топишь за TypeScript, а сам хвостом крутишь в, OpenEcho (?), 15:40 , 22-Янв-22, (159) Блин, на кого я время потратил Тебе показали стандарт и почему и где ты не прав,, Аноним (52), 18:49 , 22-Янв-22, (165) Трепло вы батенька, ох и трепло мягко говоря в начале было хоть смешно, теп, OpenEcho (?), 23:02 , 22-Янв-22, (170) По существу ответить нечего Infinity - это не бесконечность, это просто такая , Аноним (52), 00:59 , 23-Янв-22, (174) Я могу, но зачем Я люблю общаться с теми, кто признаёт что он не прав и учится , Аноним (52), 18:58 , 22-Янв-22, (166) И это говорит человек, который супер спец в TypeScript-е но при этом даже не зна, OpenEcho (?), 23:29 , 22-Янв-22, (171) Видишь, я ссылку не открывал, а разобрался в вопросе который ты задал гораздо гл, Аноним (52), 01:51 , 23-Янв-22, (176) А то что из-за ужасного дизайна там таких уродских ошибок сотни - это правда По, Аноним (52), 02:05 , 23-Янв-22, (177) да что тут говорить JS - один из самых конченых языков, его используют потому чт, penetrator (?), 19:02 , 21-Янв-22, (121) Он, конечно конченый Я как это понял сразу на TypeScript пересел Т е на чисто, Likern (?), 19:10 , 21-Янв-22, (123) TS такой же конченый как и JS потому что это он и есть, накаченный стероидами JS, penetrator (?), 22:34 , 21-Янв-22, (144) Уровень аргументации понятен, Аноним (52), 23:52 , 21-Янв-22, (147) Я ничего не аргументировал И если вдаваться вподробности это полотно будет на, penetrator (?), 00:39 , 22-Янв-22, (150) Да лабайте на здоровье, хоть на шарпе https dotnet microsoft com en-us apps as, OpenEcho (?), 16:05 , 22-Янв-22, (162) TeaVM не юзал пока, blazor шляпа редкая, нет никакой интеграции с уже существующ, penetrator (?), 19:10 , 22-Янв-22, (167) Java это язык для корпораций, где много народу работают над одним проектом, поэт, OpenEcho (?), 15:59 , 22-Янв-22, (161) если тебе надо 1 раз перевезти 10 тонн кирпичей то можно и на зэпоре помучаться,, penetrator (?), 19:28 , 22-Янв-22, (168) Я с этим согласен наверное даже болше чем на 100 Но миром правит лень и глуп, OpenEcho (?), 22:58 , 22-Янв-22, (169) нативные функции использовать нельзя потому нужны полифилы и jquery замечательно, penetrator (?), 02:24 , 23-Янв-22, (178) Забейте, М уже окончательно прибил своё дитятко ака осел, а остальные дружно в , OpenEcho (?), 17:05 , 25-Янв-22, (186) Раст в продакшен билде тоже не проверяет переполнение целочисленной переменной , Аноним (22), 12:05 , 21-Янв-22, (20) –6 // изи устанавливаешь пакетным менеджером в чистую функцию пару замыканий, future-, Аноним (17), 12:09 , 21-Янв-22, (23) –3 // естесственно, не забыть в жире тикет завести по аджайлу и по скраму, тестами пок, Аноним (17), 12:18 , 21-Янв-22, (27) +4 состариться и умереть, Аноним (17), 12:51 , 21-Янв-22, (44) у бирюзовых вотерфлоу, в один день со своим тимлидом , Аноним (17), 14:40 , 21-Янв-22, (81) +2 Ты вот даже сам не понимаешь что пишешь бред Одним словом типичный хрустик над , Аноним (49), 12:58 , 21-Янв-22, (49) –4 прости, я очень глупый, Аноним (17), 14:34 , 21-Янв-22, (78) Ой, не нашлось эмодзей для сарказма Моргающих таких, переливающихся , Michael Shigorin (ok), 20:50 , 21-Янв-22, (135) –1 о, царь сарказма проснулся сейчас нас всему научит, Аноним (17), 12:53 , 22-Янв-22, (157) +1 Как смешно ты извиваешься А факт в том что это С программисты не справились с , Аноним (28), 12:20 , 21-Янв-22, (28) +9 // Не только, это же еще прошло кучу ревью, одобрено и вмерджено ментейнером , Аноним (6), 12:28 , 21-Янв-22, (32) +10 Просто твоя картина мира не позволяет тебе понять что раст этому никак не поможе, Аноним (49), 13:00 , 21-Янв-22, (50) –3 Просто твоя картина мира не позволяет тебе понять что если разработчик меньше бу, Аноним (28), 13:13 , 21-Янв-22, (55) +4 Поможет Если ты заглянешь в код, чтобы для большей реалистичности понимать конт, Ordu (ok), 15:53 , 21-Янв-22, (94) +2 минусую - одно г-решение ты предлагаешь исправить ещё одним г-решением , Аноним (-), 19:16 , 21-Янв-22, (124) Не одним, а тремя Я предложил три прописью 3 решения Первое, которое снижает, Ordu (ok), 10:16 , 22-Янв-22, (155) Да, но ты же коммитил код, без проверки в дебаге Правда ведь И получил бы threa, Аноним (6), 13:34 , 21-Янв-22, (65) +2 // gcc -Wall -Wextra -pedantic main c main c In function 8216 main 8217 , . (?), 14:15 , 21-Янв-22, (73) +1 это я к слову, ничего не имею ввиду конкретно в этой ветке , . (?), 14:18 , 21-Янв-22, (74) а вообще, не правильно я щас посмотрел, там и len size_t и справа - size uns, . (?), 14:38 , 21-Янв-22, (80) оу, оу, с константами это элементарносделай чтобы они все кроме 4096 были вычи, Аноним (6), 14:43 , 21-Янв-22, (83) да разницы не в Си нет понятия вычисляемые inline и не-inline но я уже осё, . (?), 16:30 , 23-Янв-22, (180) потому что с константами они валится в ошибкой еще на этапе компиляции даже в ре, Аноним (6), 14:49 , 21-Янв-22, (85) Ошибка лежив в гарде if len PAGE_SIZE - 2 - size для memcpy В идиоматичном, Аноним (183), 21:54 , 23-Янв-22, (183) Как раз нет , Vasyan2 (ok), 12:03 , 22-Янв-22, (156) Кто бы что ни говорил, Linux так и остаётся уязвимым, а BSD островком безопасно, Аноним (29), 12:21 , 21-Янв-22, (29) –2 // неуловимый Джо одобряэ, Аноним (17), 12:31 , 21-Янв-22, (34) +1 // Настолько неуловимый, что Netflix и Whatsapp до сих пор не взломали , Аноним (29), 13:11 , 21-Янв-22, (53) // Смотря для чего они там используются Вероятно, для чего-то весьма узкоспециализ, Аноним (1), 13:18 , 21-Янв-22, (58) Нетфликс отказался от Фряхи проснись ты обрастался Тем более они его использова, Аноним (63), 13:26 , 21-Янв-22, (63) А точно он А в Netflix об этом знают Или опять инсайд экслюзив от опеннетчик, Аноним (-), 16:40 , 21-Янв-22, (102) Дадас http www reuters com article us-facebook-cyber-whatsapp-idUSKCN1SK0SMhtt, Michael Shigorin (ok), 20:58 , 21-Янв-22, (136) –4 сказал чyвaк, пилящий альтлинyпс, Аноним (17), 21:04 , 23-Янв-22, (181) KEKW, Аноним (41), 12:49 , 21-Янв-22, (41) +2 // Надо указывать в каком языке такое вообще не потребуется писать , Аноним (183), 21:56 , 23-Янв-22, (184) Два года не обновлял ядро, не выдержал, обновил, теперь система жрёт на 100mb бо, кек (?), 13:13 , 21-Янв-22, (56) +1 // Так это как раз и добавилась тысяча проверок на выходы за границы массивов и т п, Rev (?), 14:01 , 21-Янв-22, (69) +5 1 на безопастность не жалко 2 вырезать из ядра ненужное не пробовали так поп, john_erohin (?), 15:32 , 21-Янв-22, (90) // У меня десктоп, кому я нужен Мне в убунту ядро компилировать , кек (?), 16:06 , 21-Янв-22, (97) +1 // да ничего военного в этом нет как известно убунту репак дебиана, а в дебиане то, john_erohin (?), 19:47 , 21-Янв-22, (126) Так подновили бы в порядке шеф эээ деривативской помощи подковырки под, Michael Shigorin (ok), 20:59 , 21-Янв-22, (137) –1 пусть им Линус Поттеринг помощь оказывет lavrov txt, john_erohin (?), 15:56 , 22-Янв-22, (160) Не один я это заметил Когда-то чистый Debian ел около 32 Мб, затем 60 , а тепер, Аноним (145), 22:43 , 21-Янв-22, (145) А где же были все те супер-квалифицированные Си-программисты, которые не допуска, freecoder (ok), 13:17 , 21-Янв-22, (57) +5 // В твоих влажных мечтах идеальных программистов не бывает и идеальных языков типа, Аноним (63), 13:25 , 21-Янв-22, (62) –3 От голода поумирали - не выдержали конкуренции с молодой порослью, которая хоп-х, YetAnotherOnanym (ok), 13:29 , 21-Янв-22, (64) +3 доказывали растовикам что те макаки, и нафига им помощь от компилятора , Аноним (28), 14:00 , 21-Янв-22, (68) +9 код для легаси всё равно скоро выкинут так что я не проверял С какой целью интр, Аноним (72), 14:11 , 21-Янв-22, (72) Они писали компилятор Раста со всеми теми детскими ошибками, которые им доступны, BorichL (ok), 15:28 , 21-Янв-22, (89) // Компилятор Rust изначально писался на OCaml , freecoder (ok), 15:48 , 21-Янв-22, (92) –2 // И что это дало Ты в поиск по понятным причинам не умеешь но я тебе дам ссылку h, Аноним (95), 15:57 , 21-Янв-22, (95) –1 Потрудись прочитать ветку обсуждения, в которую ты отвечаешь , freecoder (ok), 16:02 , 21-Янв-22, (96) –1 Да ему и тут Вас жаль, а теперь ещё и там будет , Michael Shigorin (ok), 21:01 , 21-Янв-22, (138) –1 Прекрасно, знаком математический термин транзитивность https github com ocam, BorichL (ok), 16:09 , 21-Янв-22, (98) +1 Правильно я понял вашу мысль, что лучшие программисты на Си ушли транзитивно пис, freecoder (ok), 16:17 , 21-Янв-22, (99) он до сих пор писается, Аноним (154), 10:06 , 22-Янв-22, (154) +1 И какается периодически, что уж там , Аноним (-), 01:30 , 23-Янв-22, (175) Они в соседней новости про Rust, пытаются написать Hello World на С без ошибок , Аноним (52), 19:48 , 21-Янв-22, (127) –1 // Занавес Вам знакомо значение слов время и событие Судя по попытке нахрапом, Michael Shigorin (ok), 21:08 , 21-Янв-22, (140) –1 // Я несколько дней думал, как же должны быть вывихнуты мозги, чтоб сопровождать ве, Ordu (ok), 09:09 , 24-Янв-22, (185) +1 в смысле недоступно вчера еще завезли sys-kernel gentoo-sources Lates, Mike Lee (?), 14:44 , 21-Янв-22, (84) Тоесть надо рута Или в быдлодистрах CAP используют не для ограничевания прав ro, Аноним (88), 15:27 , 21-Янв-22, (88) –1 В комментариях царит хруст французской булки , Аноним (95), 15:49 , 21-Янв-22, (93) А почему вы упорно пишете эксплоит вместо эксплойт я пробовал править, но п, passerby (??), 16:29 , 21-Янв-22, (100) –2 // Нормальным людям пох АндроЙд, линуксоЙд, эксплоЙт Хочешь поправить, пиши в ско, псевдонимус (?), 17:45 , 21-Янв-22, (114) По правилам русского языка правильно эксплоит и в обиходе всегда было эксплоит, , Аноним (149), 00:15 , 22-Янв-22, (149) +2 // Самое забавное, что правильно таки с й https ru wiktionary org wiki эксплойт , Аноним (1), 08:29 , 22-Янв-22, (151) –1 когда в слове exploit предпоследняя буква станет j или y т е пример, john_erohin (?), 18:20 , 22-Янв-22, (163) Скрыто модератором, Аноним (103), 16:41 , 21-Янв-22, (103) +1 // Скрыто модератором, ИмяХ (?), 16:54 , 21-Янв-22, (106) // Скрыто модератором, john_erohin (?), 17:09 , 21-Янв-22, (108) Скрыто модератором, Аноним (146), 23:47 , 21-Янв-22, (146) Да что ж такое , pavlinux (ok), 02:51 , 23-Янв-22, (179) +1 Вот вы подставляете жестко , че за школьник это нашел Дело в том что если так , Griggorii (?), 22:35 , 26-Янв-22, (187) Прикольно, у crusaders of rust эксплойты почему-то на сишке написаны Стран, Аноним (-), 05:18 , 27-Янв-22, (188) // Думаю это с величиной награды связано - 31337 За такие деньги они напишут на ч, Аноним (183), 05:39 , 27-Янв-22, (189) Предполагаешь у них уязвимость в эксплойте найдется , Аноним (183), 05:40 , 27-Янв-22, (190) 1,2,6,29,41,56,57,84,88,93,100,179,187,188

Сообщения

[Сортировка по времени | RSS]

1. "Уязвимость в VFS ядра Linux, позволяющая повысить свои приви..."	+2 +/–
Сообщение от Аноним (1), 21-Янв-22, 11:06
Дней с прошлой обнаруженной уязвимости в user namespaces: 0. Отключать их не очень хорошая идея, даже если вы не пользуетесь контейнерами. Например, они используются в песочницах и для изоляции процессов браузера, и прекрасно с этим справляются.
Ответить | Правка | Наверх | Cообщить модератору

	3. "Уязвимость в VFS ядра Linux, позволяющая повысить свои приви..."	–2 +/–
	Сообщение от Аноним (1), 21-Янв-22, 11:08
	Альтернативой будет являться суидный бинарник запускающий программу от рута и это куда хуже.
	Ответить | Правка | Наверх | Cообщить модератору

	10. "Уязвимость в VFS ядра Linux, позволяющая повысить свои приви..."	+6 +/–
	Сообщение от . (?), 21-Янв-22, 11:41
	Да, ведь макаки не умеют сбросить привиллегии правильно. Это ж книжку надо читать, 84го года издания,а где они ее найдут, гугль ведь не проиндексировал. Поэтому вместо юникс технологий будем использовать "API Filesystem Context" и прочую бредятину, а потом предоставлять туда доступ от рута но как бы не совсем от рута, чтобы потом в очередной раз изумляться дырам на ровном месте.
	Ответить | Правка | Наверх | Cообщить модератору

	11. "Уязвимость в VFS ядра Linux, позволяющая повысить свои приви..."	–2 +/–
	Сообщение от Аноним (1), 21-Янв-22, 11:45
	Для начала ядро просто изолирует процесс и дело не в сбросить права. Ядро следит за наличием/отсутствием доступа на определённые операции у процесса и не сам процесс пытается изолировать себя.
	Ответить | Правка | Наверх | Cообщить модератору

	12. Скрыто модератором	+5 +/–
	Сообщение от . (?), 21-Янв-22, 11:49
	> Для начала ядро просто изолирует процесс и дело не в сбросить права. я же говорю, макаки вы... "сбросить права" - это именно сказать ядру, что процесс выполнил уже все операции, которые требовали рутовых прав, и дальше их у него просто нет и возвращению до перезапуска не подлежат. А не ядро следит за тем, сем, пятым, десятым - а если в такой вот позе - можно? А в такой? А в такой и вот такой? - Ой, не уследило, опять. Кто бы мог подумать и было ли ему - чем.
	Ответить | Правка | Наверх | Cообщить модератору

	14. Скрыто модератором	–1 +/–
	Сообщение от Аноним (1), 21-Янв-22, 11:52
	Не* ну и потом, запускать каждую скаченную из интернета программу это так дальновидно… Какие рутовые права? Рут используется чтобы лишить запускаемый от имени пользователя процесс лишних прав и это проконтролировать.
	Ответить | Правка | Наверх | Cообщить модератору

	31. Скрыто модератором	+5 +/–
	Сообщение от . (?), 21-Янв-22, 12:25
	Так ведь безопастно же ж запускать! Сам Бредон Уйк мамой клялся что жопоскрипт не будет, не будет, не будет уметь ничего поменять в вашей системе! Он, кстати, в принципе, по сей день не особо может - зато может поменять в браузере, содержимое которого для вас часто ценнее всей вашей системы - ведь все ваши данные и денежки уютно хранятся в облачках. А обеспечить изоляцию двух соседних вкладок разработчики браузеров ну никак не могут - они ж хлебушки. За них это должна делать операционная система с нескучными апи! Ой, в результате рут. Т.е. теперь поимели не браузер, и даже не локального юзера (который мог бы быть и изолированным от основного при большой паранойе-то), а всю систему. Так держать!
	Ответить | Правка | Наверх | Cообщить модератору

	35. Скрыто модератором	+3 +/–
	Сообщение от Аноним (1), 21-Янв-22, 12:34
	Но, кстати, насколько я знаю, если в неймспейсе у тебя рута нет,то ты его в неймспейсе уже никак не получишь. Права только в одну сторону меняются и 1 раз. По этой причине прошлые уязвимости неймспеймов были не совсем чтобы страшные.
	Ответить | Правка | Наверх | Cообщить модератору

	38. Скрыто модератором	+1 +/–
	Сообщение от . (?), 21-Янв-22, 12:46
	Ты не пробовал хотя бы читать ссылки? Вся идея "user namespace", что рут не нужен для  "unshare(CLONE_NEWNS|CLONE_NEWUSER)" И херак - ты в нем с CAP_SYSADMIN.
	Ответить | Правка | Наверх | Cообщить модератору

	45. Скрыто модератором	+/–
	Сообщение от Аноним (1), 21-Янв-22, 12:53
	Неа, только если от рута или с cap_sysadmin выполнишь. Это будет виртуальный рут (вне неймспейса дополнительных прав не появится). Если админских прав изначально не было, в неймспейсе их тоже нет.
	Ответить | Правка | Наверх | Cообщить модератору

	66. Скрыто модератором	+2 +/–
	Сообщение от . (?), 21-Янв-22, 13:57
	бть... НЕТ, это _user_ namespace. Не нужен для этого вызова рут. Да, он будет - виртуальный, внутри нового ns где ничего кроме твоего же и нет. Опа - и через дырку в vfs он становится общесистемным. Вот так сюрприз. А если это выключить - то опаньки, Браузер паламаитца. На одном стуле - пики точены,а на другом еще похуже ассортимент. Я ж говорю - уровень впопеннета...
	Ответить | Правка | Наверх | Cообщить модератору

	75. Скрыто модератором	+/–
	Сообщение от Аноним (1), 21-Янв-22, 14:23
	Рут не юзер? Ещё какой юзер. Ты можешь зайти рутом в неймспейсе только при наличии админских прав (выставленные права суид или сисадмин у файла), далее ты можешь сбросить права в нейпспейсе. При этом система на хосте будет воспринимать все действия от имени пользователя и предоставлять изолированного админа, откуда и сбегают до хоста. Если же прав нет и не было (а для user-ns они не нужны), прав админа из ниоткуда не появится. Скажем даже если ты попробуешь прикинуться рутом, ты будешь рутом, но ядро тебя обламает. Я только что проверил, unshare -r setcap cap_sys_admin+ep выставляет права на файл, а unshare -c setcap cap_sys_admin+ep ожидаемо обламывается и ничего ты с ним не сделаешь. Зачем кто-то будет мапить себе рута в неймспейсе, когда целью стоит изоляция песочницы? Хотя там несколько видов изоляции. Скажем при изоляции сети может быть необходимо поднять локалку и тут проверяет права на хосте. Придётся сначала делать файл админом опять же и перезапускать. Если порезать setcap в неймспейсе, то такой уязвимости и не будет. В случае с песочницей браузера, мапиться в неё рутом выглядит контрпродуктивно, именно эти случаи и обсуждаются когда говорят об уязвимостях в user_namespace.
	Ответить | Правка | Наверх | Cообщить модератору

	82. Скрыто модератором	+/–
	Сообщение от Аноним (1), 21-Янв-22, 14:43
	Чёт длинно, и мало по сути вышло. Почитал man user_namespaces, там написано более понятно: >When a nonuser namespace is created, it is owned by the user namespace in which the creating process was a member at the time of the creation of the namespace.  Privileged operations on resources governed by the nonuser namespace require that the process has the necessary capabilities in the user namespace that owns the nonuser namespace.
	Ответить | Правка | Наверх | Cообщить модератору

	54. Скрыто модератором	+1 +/–
	Сообщение от YetAnotherOnanym (ok), 21-Янв-22, 13:13
	> если в неймспейсе у тебя рута нет, то ты его в неймспейсе уже никак не получишь А новость о чём?
	Ответить | Правка | К родителю #35 | Наверх | Cообщить модератору

	60. Скрыто модератором	–1 +/–
	Сообщение от Аноним (1), 21-Янв-22, 13:20
	Новость о уязвимости в контейнерах, запускаемых с правами админа, и зачем-то предлагают отключать неймспейсы. Ндя.
	Ответить | Правка | Наверх | Cообщить модератору

	107. Скрыто модератором	+/–
	Сообщение от d (??), 21-Янв-22, 16:56
	> безопастно Ыксперта можно заметить сразу.
	Ответить | Правка | К родителю #31 | Наверх | Cообщить модератору

Часть нити удалена модератором

	70. Скрыто модератором	+1 +/–
	Сообщение от . (?), 21-Янв-22, 14:08
	> Монстры "всё в одном, включая апи 50-летней давности но стильные и молодёжные", вроде SELinux'ов ну вот это ты зря - это как раз не модное и не молодежное, это надежная схема распределения привиллегий, причем опирающаяся на уже существовавшие в ядре механизмы. Но у нее есть один недостаток, ага: юникс-софт с ней оказался напрочь несовместим. А другой не написали, все как-то было знаете, недосуг. То есть в mandate реализации оно неживое чуть более чем совсем. А в режиме ан@льного огораживания (targeted) феерически бесполезна и никогда не угадаешь что еще сломается. apparmor это ровно то же самое, но только изначально "targeted" - от неосиляторов для неосиляторов. Но оно хотя бы НОВЫХ дыр не образует, в отличии от модных "user ns". И отключаемо без катастрофических последствий, если уж совсем никак не настроить правильно.
	Ответить | Правка | К родителю #60 | Наверх | Cообщить модератору

	86. Скрыто модератором	–1 +/–
	Сообщение от сипипи (?), 21-Янв-22, 15:04
	>> Монстры "всё в одном, включая апи 50-летней давности но стильные и молодёжные", вроде SELinux'ов > ну вот это ты зря - это как раз не модное и > не молодежное, это надежная схема распределения привиллегий, причем опирающаяся на уже > существовавшие в ядре механизмы. Ну да, только их там пучок, и о каком-то "подходе к решению нынешних проблем", который бы выгодно смотрелся на фоне апи 50-летней давности говорить не приходится. Одно "устаревшее", другое "переусложненное". Они канеш помогают на своём месте, но только это скучно. Безопасность, где люди работают -- это скучно. Вот раст -- оно и не устаревшее, и не переусложненное, и нескучное! > Но у нее есть один недостаток, ага: > юникс-софт с ней оказался напрочь несовместим. А другой не написали, все > как-то было знаете, недосуг. > То есть в mandate реализации оно неживое чуть более чем совсем. А > в режиме ан@льного огораживания (targeted) феерически бесполезна и никогда не угадаешь > что еще сломается. apparmor это ровно то же самое, но только > изначально "targeted" - от неосиляторов для неосиляторов. С ними случился типичный компромис между удобством и безопасностью. Все выбирают удобство, и растамани sos-нут и в этой битве бобра с козлом. Хз сколько продлится этот карго-культ, но надеюсь подольше. Люблю когда разочарование входит по капле.
	Ответить | Правка | Наверх | Cообщить модератору

	52. Скрыто модератором	–4 +/–
	Сообщение от Аноним (52), 21-Янв-22, 13:00
	Я лично видел как это делают на курсе по вирусам / взлому. Правят бинарники, перепрыгивают на свой участок кода в PE под Windows для обхода проверок лицензий. Ты не языком мели, покажи почему это нельзя сделать. На, ознакамливайся для общего развития https://stackoverflow.com/questions/14921735/write-a-jump-co...
	Ответить | Правка | К родителю #107 | Наверх | Cообщить модератору

	91. Скрыто модератором	+4 +/–
	Сообщение от сипипи (?), 21-Янв-22, 15:36
	> Я лично видел как это делают на курсе по вирусам / взлому. > Правят бинарники, перепрыгивают на свой участок кода в PE под Windows > для обхода проверок лицензий. > Ты не языком мели, покажи почему это нельзя сделать. > На, ознакамливайся для общего развития https://stackoverflow.com/questions/14921735/write-a-jump-co... курсы по вирусам :-D жжёшь.
	Ответить | Правка | Наверх | Cообщить модератору

	115. Скрыто модератором	+/–
	Сообщение от Likern (?), 21-Янв-22, 18:02
	А ты и не знал, что в институтах курсы? Ясненько. Курс в МИФИ, факультет "Б" "Информационная безопасность", курс (доп. факультатив) по взлому вроде. Да, и взлом, и вирусы и много чего ещё в институтах проходят. Не благодари.
	Ответить | Правка | Наверх | Cообщить модератору

	132. Скрыто модератором	+/–
	Сообщение от Michael Shigorin (ok), 21-Янв-22, 20:38
	> А ты и не знал, что в институтах курсы? Ясненько. Да тут за морскую милю видно дятла, который "лично видел" и ни хрена не разглядел. Ну то есть даже моей ни разу не черношляпной недоквалификации такое видеть хватает. "Бинари правят", my ass. Он-то съест, да хто ж ему даст. А кто не "проходил", а вникал -- тот лютый бред на публике даже анонимно нести постыдится.  Тем более хамить вместо того, чтоб поспрашивать, раз уж удобный случай подвернулся.
	Ответить | Правка | Наверх | Cообщить модератору

	133. Скрыто модератором	+/–
	Сообщение от Аноним (52), 21-Янв-22, 20:45
	Забавно, что такие эксперды не в состоянии по существу ответить. Ни на один вопрос технический. И опять. Нельзя бинарник поправить? Или в Linux они с цифровой подписью и как-то защищены? Я, конечно, говорю про любые бинарники.
	Ответить | Правка | Наверх | Cообщить модератору

	139. Скрыто модератором	+/–
	Сообщение от Аноним (52), 21-Янв-22, 21:04
	Этот дурачок про безопасность не понимает. Но я объясню. > Да, ведь макаки не умеют сбросить привиллегии правильно. Это ж книжку надо читать, 84го года издания,а где они ее найдут, гугль ведь не проиндексировал > А не ядро следит за тем, сем, пятым, десятым - а если в такой вот позе - можно? А в такой? А в такой и вот такой? - Ой, не уследило, опять. Кто бы мог подумать и было ли ему - чем. > я же говорю, макаки вы... > "сбросить права" - это именно сказать ядру, что процесс выполнил уже все операции, которые требовали рутовых прав, и дальше их у него просто нет и возвращению до перезапуска не подлежат. Объясняю местным дурачкам. Если приложение получило root - считай что у всего кода приложения есть root. Отдавай, не отдавай. Что тут непонятного? При чем тут "запуск из под root-а" и suid? Что тут местным дурачкам непонятно?
	Ответить | Правка | Наверх | Cообщить модератору

	141. Скрыто модератором	+/–
	Сообщение от Аноним (-), 21-Янв-22, 21:24
	> Объясняю местным дурачкам. Если приложение получило root - считай что у всего > кода приложения есть root. Отдавай, не отдавай. И откуда у приложения _вдруг_ появится рут, если его запускали не под рутом? > Что тут непонятного? При чем тут "запуск из под root-а" и suid? Что тут местным дурачкам непонятно? При этом: >> Альтернативой будет являться суидный бинарник запускающий программу от рута и это куда хуже. С чего и началась ветка.
	Ответить | Правка | К родителю #139 | Наверх | Cообщить модератору

	142. Скрыто модератором	+1 +/–
	Сообщение от Likern (?), 21-Янв-22, 21:57
	А это уже хороший вопрос, по существу. Товарищ спорил с > Ядро следит за наличием/отсутствием доступа на определённые операции у процесса и не сам процесс пытается изолировать себя Типа это процесс должен сам сбрасывать привелегии рута, а иначе рукожопая макака. Откуда они у него это другой вопрос - но раз их надо сбрасывать то они есть. И выходит что ядро и не должно следить (он напрямую этого не говорил, но по его ответам напрашивается этот вывод, раз рукожопая макака). Мой ответ именно на это. Конечно сильно желательно сбрасывать, особенно когда он уже не нужен. Но это защитит только от выполнения недоверенного кода под рутом. Но для обычного бинарника эту область можно всегда расширить. Но root это, если честно, вообще неинтересно. Все мои данные под обычным пользователем, включая ssh ключи, вообще вся информация критичная. И тут получается я запускаю ЛЮБОЙ код (даже случайно), и он сразу может свистнуть сразу ВСЁ, все SSH ключи, зашифровать весь /home/user и т.д. Алё, это не JavaScript обо*рался, это модель безопасности Linux обо*ралась. Кому вообще нужен этот root? Я спокойно переставлю всю систему. Модель безопасности изменилась полностью, а Linux со своими uid, gid из прошлого века.
	Ответить | Правка | К родителю #141 | Наверх | Cообщить модератору

	143. Скрыто модератором	+/–
	Сообщение от Аноним (-), 21-Янв-22, 22:25
	> Мой ответ именно на это. > Конечно сильно желательно сбрасывать, особенно когда он уже не нужен. Но это > защитит только от выполнения недоверенного кода под рутом. > Но для обычного бинарника эту область можно всегда расширить. Нюанс в том, что стандартно установленные бинари лежат в /usr/* и доступны на запись только руту. > Алё, это не JavaScript обо*рался, это модель безопасности Linux обо*ралась. Кому вообще > нужен этот root? Я спокойно переставлю всю систему. > Модель безопасности изменилась полностью, а Linux со своими uid, gid из прошлого века. Да есть все это - Trusted Path Execution, EVE (extended verification что-то там), firejail, где как раз зарезан доступ к SSH ключам https://github.com/ptoomey3/firejail/blob/master/etc/disable... https://github.com/ptoomey3/firejail/blob/master/etc/disable... blacklist ${HOME}/.ssh tmpfs ${HOME}/.gnome2_private blacklist ${HOME}/.gnome2/keyrings и проверка цифровой подписи бинаря и запуск только проверенных бинарей - тоже есть. Только в основном нафиг все это никому не сдалось, потому что "неудобно пользоваься - и так сойдет".
	Ответить | Правка | К родителю #142 | Наверх | Cообщить модератору

	101. Скрыто модератором	+3 +/–
	Сообщение от Аноним (-), 21-Янв-22, 16:33
	> Я лично видел как это делают на курсе по вирусам / взлому. > Правят бинарники, перепрыгивают на свой участок кода в PE под Windows для обхода проверок лицензий. Круто, чо. Учитывая, что "править бинарники" для несовсем тривиальных программ еще 15 лет назад уже приходилось в памяти, с помощью загрузчика и code injection, перенаправляя на свой код с вызовов WinAPI _в вендовых DLL_, потому что проверка целостности бинаря была в любом захудалом "защитнике", а продвинутые контроллировали еще и целостность в рантайме ... > Ты не языком мели, покажи почему это нельзя сделать. Ты головой подумай - поправить рутовый бинарник ты можешь только из под рута. Ну или загрузив свою ОС/воткнув носитель с данными в другой комп.
	Ответить | Правка | К родителю #52 | Наверх | Cообщить модератору

	71. Скрыто модератором	+2 +/–
	Сообщение от . (?), 21-Янв-22, 14:09
	Мне кажется все еще хужее, и это не школота, а уже цельный тимлид. С опытом чтения статей на хабре без попыток понять что на самом деле там написано.
	Ответить | Правка | К родителю #107 | Наверх | Cообщить модератору

	87. Скрыто модератором	+1 +/–
	Сообщение от john_erohin (?), 21-Янв-22, 15:26
	> С опытом чтения статей на хабре без попыток понять что на самом деле там написано. всегда так делаю.
	Ответить | Правка | Наверх | Cообщить модератору

	130. Скрыто модератором	–1 +/–
	Сообщение от Michael Shigorin (ok), 21-Янв-22, 20:30
	> Ты совсем дурачок? Ты же и есть та самая необразованная макака. При том в худшем проявлении! Ну вот почему каждый такой малолетний олух просто обязан сделать такой каминаут, а? > Иди в школу, не позорься. Мамкин "хакирь". Он -- знает, что говорит. Вы -- брысь назад под мамкину юбку. Будете хамить, "по айпи вычеслю" (tm).
	Ответить | Правка | К родителю #14 | Наверх | Cообщить модератору

	111. "Уязвимость в VFS ядра Linux, позволяющая повысить свои приви..."	+/–
	Сообщение от псевдонимус (?), 21-Янв-22, 17:26
	>не сам процесс пытается изолировать себя. В этом-то и проблема.
	Ответить | Правка | К родителю #11 | Наверх | Cообщить модератору

	153. "Уязвимость в VFS ядра Linux, позволяющая повысить свои приви..."	+/–
	Сообщение от Аноним (1), 22-Янв-22, 08:59
	Процессу нельзя доверять, завтра в нём появится исполнение произвольного кода и привет. В случае изоляции вызовы просто не имеют доступа наружу и повысить привилегии никаких вариантов. Неймпспейсы намного интереснее, чем суид.
	Ответить | Правка | Наверх | Cообщить модератору

	110. "Уязвимость в VFS ядра Linux, позволяющая повысить свои приви..."	+/–
	Сообщение от псевдонимус (?), 21-Янв-22, 17:23
	Все правильно написал.
	Ответить | Правка | К родителю #10 | Наверх | Cообщить модератору

	109. "Уязвимость в VFS ядра Linux, позволяющая повысить свои приви..."	+/–
	Сообщение от псевдонимус (?), 21-Янв-22, 17:22
	Это совершенно нормально. И всем лучше иллюзорной защыты.
	Ответить | Правка | К родителю #3 | Наверх | Cообщить модератору

	152. "Уязвимость в VFS ядра Linux, позволяющая повысить свои приви..."	+/–
	Сообщение от Аноним (1), 22-Янв-22, 08:36
	Это реальная защита, ядро просто не позволит выполнить запрещённые операции при исполнении произвольного кода и не позволит получить права после изоляции.
	Ответить | Правка | Наверх | Cообщить модератору

	5. "Уязвимость в VFS ядра Linux, позволяющая повысить свои приви..."	+1 +/–
	Сообщение от Аноним (5), 21-Янв-22, 11:14
	Пора разделять user namespaces на привилегированные и нет, для песочниц будет идеальным если не давать больше прав, чем уже есть.
	Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

	13. "Уязвимость в VFS ядра Linux, позволяющая повысить свои приви..."	+5 +/–
	Сообщение от . (?), 21-Янв-22, 11:51
	> Пора разделять user namespaces на привилегированные и нет да, а то багов что-то маловато пока. Надо сделать все еще сложнее.
	Ответить | Правка | Наверх | Cообщить модератору

	59. "Уязвимость в VFS ядра Linux, позволяющая повысить свои приви..."	+/–
	Сообщение от YetAnotherOnanym (ok), 21-Янв-22, 13:18
	> не давать больше прав, чем уже есть А они сами возьмут.
	Ответить | Правка | К родителю #5 | Наверх | Cообщить модератору

	17. "Уязвимость в VFS ядра Linux, позволяющая повысить свои приви..."	+2 +/–
	Сообщение от Аноним (17), 21-Янв-22, 12:01
	а нормальный код писать не?
	Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

	33. "Уязвимость в VFS ядра Linux, позволяющая повысить свои приви..."	+5 +/–
	Сообщение от . (?), 21-Янв-22, 12:28
	> а нормальный код писать не? Ну не, чувак, это ты чего-то лишку хватил. Некогда его писать, и некому (те кто могут - в рабы к гуглю не пойдут). Давай лучше CoC напишем.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема