forum.opennet.ru

"Уязвимости в Dnsmasq, позволяющие удалённо выполнить код ата..."

Форум Разговоры, обсуждение новостей
Версия для распечатки	Пред. тема \| След. тема

Исходное сообщение

[ Отслеживать ]

Присылайте удачные настройки в раздел примеров файлов конфигурации на WIKI.opennet.ru.

. "Уязвимости в Dnsmasq, позволяющие удалённо выполнить код ата..."	+/–
Сообщение от пох (?), 03-Окт-17, 09:38
> Правильно ли я понимаю, что для эксплуатации CVE-2017-14491 нужно, чтобы сначала dnsmasq > быть явно настроен на форвардинг DNS-запросов на DNS-сервер злоумышленника? я бы проверил, не сожрет ли он любое гуано, пришедшее ему в 53й порт. В крайнем случае - придется потрахаться, выясняя, какие в нем настроены форвардеры (обычно выбирай один из одного - 8.8.8.8, не промахнешься - заодно оно объедет файрвол, даже если он и был, а не dnsmasq на недоразумении в роли фиревола, selinux, stack protector и прочие нежности не поместились в виду недостатка мощности и памяти). Это udp, детка. Если 8.8.8.8 не работает, то, конечно, придется поискать мишень попроще - а эту оставить скрипткиддям из соседнего блока (провайдер общий, так что они точно знают, какой у него dns, зачем тратить свое время и отбирать у детей сладости ;-)
Ответить \| Правка \| Наверх \| Cообщить модератору

Оглавление

Уязвимости в Dnsmasq, позволяющие удалённо выполнить код ата..., opennews, 02-Окт-17, 22:00 [смотреть все]

Как-то и не торопился его применять где-либо , Michael Shigorin, 02-Окт-17, 22:03 (2) //
- это типовое решение для г-нороутеров Как всякой длинковой дряни, так и сделанны, пох, 02-Окт-17, 22:22 (5) //
  - А какое, по вашему мнению, правильное решение , andy, 02-Окт-17, 22:40 (6) //
    - unbound не , Sw00p aka Jerom, 03-Окт-17, 00:36 (17)
      - не Этого неуловимого джо пока особо не ломают просто потому, что никому не сдал, пох, 03-Окт-17, 09:57 (30)
        
        11-12 года , Sw00p aka Jerom, 03-Окт-17, 14:50 (52)
        Использую в high visibility проде, в котором dns-запросов в минуту больше, чем т, Аноним, 03-Окт-17, 19:48 (58)
        
        нос задираешь не по разуму откуда тебе знать, чего я там видел Соответственно, и, пох, 03-Окт-17, 23:12 (59)
      - bind же, ну , Аноним, 03-Окт-17, 13:50 (48)
    - systemd-resolved - в нем дыр ровно в 7 раз меньше , Аноноим, 03-Окт-17, 12:03 (37)
      - За в 49 раз меньшее время , Andrey Mitrofanov, 03-Окт-17, 12:23 (38)
        
        Время роли не играет Можно за 20 лет не найти ни одной дыры, а можно за неделю , Аноним, 03-Окт-17, 12:28 (40)
        resolved уже года три минимум Получается, dnsmasq еще при Екатерине работал , Аноноим, 03-Окт-17, 12:36 (41)
        
        Да 28 05 2014 23 39 Новая версия systemd 213 с поддержкой ,,, Добавлен фонов, Andrey Mitrofanov, 03-Окт-17, 13:23 (42)
        
        2017-3 49 1870Окей, при Александре II, значит , Аноноим, 03-Окт-17, 13:40 (45)
        
        Няша, перелогинься , Led, 03-Окт-17, 23:24 (61)
        
        Ну, если вы так хотите учитывать _всё_ время dnsmasq - 19 уязвимостей за 16 ле, Аноним, 03-Окт-17, 13:47 (47)
        
        А это ненужно кто-то аудитил , Аноним, 03-Окт-17, 13:52 (50)
        А во всём s-d а в переложении на человеко-голово-час пользователей и на, Andrey Mitrofanov, 03-Окт-17, 13:55 (51)
- dnsmasq wildcard - удобная штука для разработки, особенно когда субдоменов полно, KonstantinB, 02-Окт-17, 22:46 (8)
- ваше мнение ну оооочень важно для нас 0, Аноним, 02-Окт-17, 22:51 (9)
- А зря Очень удобная штука ему можно легко прописать, куда за чем ходить Ещё м, Серёга, 02-Окт-17, 23:32 (14) //
  - Нет, из под nobody , Аноним, 02-Окт-17, 23:47 (15) //
    - На OpenWrt может и так, а на вендорских прошивках вряд ли , Аноним, 03-Окт-17, 10:12 (33)
      - И там я не видел от рута , Аноним, 03-Окт-17, 13:37 (43)
      - В LEDE - из-под собственного юзера dnsmasq , Аноним, 04-Окт-17, 21:57 (64)
- зря, исключительно правильная и удобная штуказы уязвимости во всём забодали, жи, glebiao, 03-Окт-17, 07:27 (24)
- я применяю на серевере, а там 7ой альт будет обновление или самому собирать , Аноним, 03-Окт-17, 10:03 (32) //
  - Ну повесьте на него что-нить в bugzilla, но если backup dist-upgrade неохота , Michael Shigorin, 07-Окт-17, 17:03 (66)
- А сделай-ка всё-таки pgrep dnsmasq, Аноним, 03-Окт-17, 12:24 (39) //
  - И кто бы мне его поставил - , Michael Shigorin, 07-Окт-17, 17:00 (65)
- Самое то для поднятия на ноуте Wi-Fi Access Point P S А где же одна из ваших ко, Ilya Indigo, 04-Окт-17, 11:58 (62) //
  - Оно не его мопед, да Мне кажется, Михаилу хватило вкуса не штамповать шабло, Andrey Mitrofanov, 04-Окт-17, 12:26 (63)
Правильно ли я понимаю, что для эксплуатации CVE-2017-14491 нужно, чтобы сначала, Аноним, 02-Окт-17, 22:42 (7) //
- Для эксплуатации нужно иметь какой-нибудь домен, DNS сервер для него и на каком-, Аноним, 02-Окт-17, 22:53 (10) //
  - По минимуму достаточно просто выпилить его, но без кеша все будет чуток медленне, Elhana, 03-Окт-17, 02:16 (19) //
    - только у стардальцев с опенсорсием В современные операционные системы собственн, пох, 03-Окт-17, 09:50 (28)
- Нет It allows an attacker who can make DNS requests to dnsmasq, and who control, Аноним, 02-Окт-17, 22:54 (11) //
  - libdns из bind ответы PoC-скрипта рубит name too long То есть, по меньшей м, Аноним, 02-Окт-17, 23:06 (12) //
    - Точно, днсмаск же не голой задницей в интернет смотрит, фффууууух Паника отменя, Аноним, 02-Окт-17, 23:19 (13)
      - Ну-ну Из своей локальной сети заходишь на форум с любимыми котиками Один из кот, ACCA, 02-Окт-17, 23:52 (16)
        
        На провайдерский, гугловский или офисный рекурсивный он пошлёт Дефолтные днсмас, Аноним, 03-Окт-17, 00:38 (18)
        
        Ну, атака против умников, которые li не хотят получать от провайдера подсказки , ACCA, 03-Окт-17, 23:21 (60)
- я бы проверил, не сожрет ли он любое гуано, пришедшее ему в 53й порт В крайнем , пох, 03-Окт-17, 09:38 (26) //
  - Вот только придется повозиться, ловя момент запроса Нужен либо снифф, либо конт, Аноноим, 03-Окт-17, 12:01 (36) //
    - зачем Просто потоком туда слать полезные пакеты от имени гугля, рано или поздно, пох, 03-Окт-17, 13:41 (46)
      - Отсекается стандартной конфигурацией фаервола --state ESTABLISHED,RELATED да, c, Аноним, 03-Окт-17, 13:51 (49)
        
        нет, не отсекается, наоборот, пробивает даже nat поскольку мне надоело бороться, пох, 03-Окт-17, 15:31 (54)
        
        именно за счет conntrack а, разумеется впрочем, upnp тоже пробьет , пох, 03-Окт-17, 15:32 (55)
Слушайте, когда нужно перегружать систему после обновления пакетов С кернелом п, qsdg, 03-Окт-17, 03:50 (20) //
- Так же как с Gimp , Анонисмус, 03-Окт-17, 04:40 (21)
- needrestart oldstable 1 2-8 deb8u1 all check which daemons need to be restarted, Аноним, 03-Окт-17, 05:24 (22) //
  - Спасибо , qsdg, 09-Окт-17, 23:27 (67)
  - lsof 124 grep DEL 124 egrep lib 124 bin 124 grep -v prelink , Andrey Mitrofanov, 10-Окт-17, 09:57 (68)
- поставь себе уже _нормальную_ систему, а suse умеет сказать, когда именно и что , пох, 03-Окт-17, 09:53 (29) //
  - Переведите, пожалуйста Похороны дохлой собаки Гомофил плз не удаляйте, пок, анон, 03-Окт-17, 10:01 (31) //
    - Чтобы понять это, вам нужно было тусоваться на ОпенНете ежедневно с 8 до 24 в те, Аноним, 03-Окт-17, 10:13 (34)
    - Догадываюсь, что собака - это Yellowdog Update Manager Насчёт остального не зна, Аноним, 03-Окт-17, 10:29 (35)
    - ну да, про собаку правильно поняли, а звездочками из-за которых стало, действит, пох, 03-Окт-17, 13:39 (44)
      - спасибо за пояснения , анон, 03-Окт-17, 15:23 (53)
      - Ох i5 пох, needrestart был замечен в свежей федоре помогал тут одному 8 Су, _, 03-Окт-17, 17:18 (56)
        
        в 2009м там уже все давно было То есть любое штатное действие через zypper или , пох, 03-Окт-17, 17:26 (57)
вай вай, openwrt обновлять теперь нужно, Аноним, 03-Окт-17, 06:51 (23)

Форумы | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру