форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка

Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"В реализациях VFAT и TMPFS из состава ядра Linux выявлены уя..."	+/–
Сообщение от opennews on 27-Фев-13, 12:51
В реализации файловой системы VFAT, входящей в состав ядра Linux, выявлена (http://www.openwall.com/lists/oss-security/2013/02/26/5) уязвимость (CVE-2013-1773), связанная с возможностью переполнения буфера при обработке определённым образом оформленных имён файлов в кодировке UTF-8. Проблема проявляется только при преобразовании символов UTF8 в UTF16, которое выполняется при монтировании раздела с опцией "utf8". Указанная опция, в частности, используется при монтировании внешних накопителей в платформе Android и в Ubuntu 10.04. Проблема проявляется для ядра Linux до версии 3.2 (многие Android-устройства подвержены уязвимости). В настоящий момент в Сети доступен эксплоит (http://www.exploit-db.com/exploits/23248/), инициирующий перезагрузку устройств на базе платформы Android при одновременной записи нескольких файлов с именами, размер которых превышает 2048 байт. Эксплоит был разработан ещё летом 2012 года и ограничивается проведением DoS-атаки. В основном ядре Linux проблема была молча исправлена (http://git.kernel.org/?p=linux/kernel/git/torvalds/linux.git...) в ноябре 2011 года, без информирования разработчиков дистрибутивов о том, что она связана с устранением уязвимости. После публикации информации об уязвимости родилась дискуссия (http://www.openwall.com/lists/oss-security/2013/02/26/8) о возможных путях решения сложившейся ситуации с отсутствием оценки влияния исправляемых в ядре проблем на безопасность.  Сейчас разработчики ядра не делают различий в том, связано исправление с уязвимостью или только влияет на стабильность. По словам одного из членов Red Hat Security Response Team в настоящее время нереально провести полный аудит всех вносимых в ядро исправлений, их слишком много, например, среди десятков тысяч изменений трудно выявить именно те единичные случаи, которые могут привести к нарушению безопасности. В качестве одного из вариантов выхода из сложившейся ситуации было упомянуто (http://www.openwall.com/lists/oss-security/2013/02/27/3) создание отдельной группы для рецензирования всех вносимых в ядро изменений на их возможное влияние на безопасность. Отдельно обсуждается (http://www.openwall.com/lists/oss-security/2013/02/25/14) внесённое на днях исправление (http://git.zx2c4.com/linux/commit/?id=5f00110f7273f9ff04ac69...) в ядро Linux, связанное с возможностью обращения к областям памяти после их освобождения при манипуляции с разделами TMPFS. Рассматривается, что данное исправление связано с устранением потенциальной уязвимости (CVE-2013-1767). URL: http://www.openwall.com/lists/oss-security/2013/02/26/5 Новость: https://www.opennet.ru/opennews/art.shtml?num=36238
Ответить | Правка | Cообщить модератору

Сообщения по теме

[Сортировка по времени | RSS]

6. "В реализациях VFAT и TMPFS из состава ядра Linux выявлены уя..."	–20 +/–
Сообщение от Аноним (??) on 27-Фев-13, 12:57
Вот вам и линукс. Хорошо что хоть закрывают, но на Debian и CentOS заплаток фиг дождешься.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	29. "В реализациях VFAT и TMPFS из состава ядра Linux выявлены уя..."	+5 +/–
	Сообщение от Аноним (??) on 27-Фев-13, 14:08
	Не знаю, как у красношляпников, но у дебианщиков подобные заплатки регулярно выходят.
	Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

	40. "В реализациях VFAT и TMPFS из состава ядра Linux выявлены уя..."	–2 +/–
	Сообщение от ы on 27-Фев-13, 15:08
	Количество заплаток deb-based уже зашкаливает все разумные пределы.
	Ответить | Правка | ^ к родителю #29 | Наверх | Cообщить модератору

	50. "В реализациях VFAT и TMPFS из состава ядра Linux выявлены уя..."	+/–
	Сообщение от pavlinux (ok) on 27-Фев-13, 16:39
	Кстати, начиная с самого появления UTF-8 и NLS в ядре, при монтировании FAT/VFAT с параметром iocharset=utf8 всегда вываливается вот такое предупреждение:    FAT-fs: utf8 is not a recommended IO charset for FAT filesystems, filesystem will be case sensitive! Но гугля же крутая, им покласть болт и на людей и на законы природы.
	Ответить | Правка | ^ к родителю #40 | Наверх | Cообщить модератору

	56. "В реализациях VFAT и TMPFS из состава ядра Linux выявлены уя..."	+1 +/–
	Сообщение от Аноним (??) on 27-Фев-13, 17:04
	Заодно некрофаги получат лишний стимул прекратить уже наконец свое гнусное занятие и пользоваться таки уже свежими ядрами.
	Ответить | Правка | ^ к родителю #50 | Наверх | Cообщить модератору

	66. "В реализациях VFAT и TMPFS из состава ядра Linux выявлены уя..."	+/–
	Сообщение от pavlinux (ok) on 27-Фев-13, 18:48
	> Заодно некрофаги получат лишний стимул прекратить уже наконец свое гнусное занятие и > пользоваться таки уже свежими ядрами. Это ты вендузятников мордой в какашки суй, и приговаривай "strcasecmp() в 21 веке юзают только ламеры"
	Ответить | Правка | ^ к родителю #56 | Наверх | Cообщить модератору

	55. "В реализациях VFAT и TMPFS из состава ядра Linux выявлены уя..."	+1 +/–
	Сообщение от Аноним (??) on 27-Фев-13, 17:03
	> Вот вам и линукс. А никто и не обещал что некромансия - это просто.
	Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

	64. "В реализациях VFAT и TMPFS из состава ядра Linux выявлены уя..."	+/–
	Сообщение от anonymous (??) on 27-Фев-13, 18:17
	>на Debian и CentOS заплаток фиг дождешься https://bugzilla.redhat.com/show_bug.cgi?id=916115 5й RHEL (и соответсвенно CentOS) не подвержен уязвимости, 6й подвержен, но исправление скоро будет.
	Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

	65. "В реализациях VFAT и TMPFS из состава ядра Linux выявлены уя..."	–5 +/–
	Сообщение от odesk on 27-Фев-13, 18:24
	А вот не надо относиться к Linux как $$женной Винде. Нужно всегда быть внимательным при принятии решений о использование определенной ОС или конкретного ПО в конкретном контексте. Каждый контекст имеет и уровни ответственности и уровни гарантии. И в каждом конкретном случае должна быть "четко" видна "линия" ответственности за качество и гарантии ПО. Linux ничего не гарантирует и не требует. Он живет за счет "влияний" спонсоров и волонтеров. Однако никто не гарантирует что нет дер. Просто их не ищут. То, что находят иногда публично афишируют, но чаще наоборот. Более того разбирая исходники openssh со студентами в качестве "обучающего" предмета, находили ляпы и "удивленно" восхищались.
	Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

	68. "В реализациях VFAT и TMPFS из состава ядра Linux выявлены уя..."	+/–
	Сообщение от ВовкаОсиист (ok) on 27-Фев-13, 21:13
	> Вот вам и линукс. У знакомого на винде каждый день приходят тонны исправлений уязвимостей, и что? Человеческий фактор, уязвимостей не может не быть. Их может быть минимальное количество и оперативное исправление.
	Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

	76. "В реализациях VFAT и TMPFS из состава ядра Linux выявлены уя..."	+/–
	Сообщение от hummermania (ok) on 01-Мрт-13, 09:46
	Причем большая часть звучит так - Эта уязвимость позволяет злоумышленнику НЕ прошедшему проверку подлинности выполнить произвольный код на машине....
	Ответить | Правка | ^ к родителю #68 | Наверх | Cообщить модератору

9. "В реализациях VFAT и TMPFS из состава ядра Linux выявлены уя..."	+4 +/–
Сообщение от Аноним (??) on 27-Фев-13, 13:01
Сейчас у энтузиастов нет стимула искать уязвимости в ядре. Организовали бы на базе Linux Foundation отдельный фонд для финансирования выплаты вознаграждений за поиск уязвимостей и за каждую найденную дыру выплачивали бы несколько тысяч долларов, как это делает Google для Chrome. После такого не только бы толпы людей стали внимательно изучать на предмет безопасности каждый коммит, но и сами коммитеры и разработчики ядра по другому бы взглянули на проблему (несколько тысяч долларов не для кого не лишние) и не отмахивались бы как сейчас.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	15. "В реализациях VFAT и TMPFS из состава ядра Linux выявлены уя..."	+7 +/–
	Сообщение от Аноним (??) on 27-Фев-13, 13:26
	Ага, вот только кому-нибудь обязательно придёт в голову по-тихому вносить хитрые уязвимости, чтобы знакомый "выявлятель уязвимостей" через некоторое время эту уязвимость "находил" и делился гешефтом.
	Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

	19. "В реализациях VFAT и TMPFS из состава ядра Linux выявлены уя..."	+/–
	Сообщение от Аноним (??) on 27-Фев-13, 13:42
	> Ага, вот только кому-нибудь обязательно придёт в голову по-тихому вносить хитрые уязвимости, > чтобы знакомый "выявлятель уязвимостей" через некоторое время эту уязвимость "находил" > и делился гешефтом. На поиске уязвимостей и сейчас можно неплохо заработать, продав эксплоит черным шляпам. Но продвинуть специально уязвимость в условиях сложившейся среди разработчиков ядра цепочке доверия невероятно сложно. По крайней мере прецедентов еще не было. Проблема то том, что часто данные об уязвимости сперва попадают не в те руки, Google блестяще перетянул на себя одеяло - можно неплохо заработать без какого-либо риска.
	Ответить | Правка | ^ к родителю #15 | Наверх | Cообщить модератору

	21. "В реализациях VFAT и TMPFS из состава ядра Linux выявлены уя..."	+/–
	Сообщение от Аноним (??) on 27-Фев-13, 13:43
	>> Ага, вот только кому-нибудь обязательно придёт в голову по-тихому вносить хитрые уязвимости, >> чтобы знакомый "выявлятель уязвимостей" через некоторое время эту уязвимость "находил" >> и делился гешефтом. > На поиске уязвимостей и сейчас можно неплохо заработать, продав эксплоит черным шляпам. > Но продвинуть специально уязвимость в условиях сложившейся среди разработчиков ядра цепочке > доверия невероятно сложно. По крайней мере прецедентов еще не было. Проблема > то том, что часто данные об уязвимости сперва попадают не в > те руки, Google блестяще перетянул на себя одеяло - можно неплохо > заработать без какого-либо риска. "В 2008м году оборот в сфере киберпреступлений превысил оборот наркобизнеса". Гуглить самостоятельно для пруфа. Так шта, я бы сказал, у черных шляп можно заработать риальни покруче.
	Ответить | Правка | ^ к родителю #19 | Наверх | Cообщить модератору

	23. "В реализациях VFAT и TMPFS из состава ядра Linux выявлены уя..."	+/–
	Сообщение от Аноним (??) on 27-Фев-13, 13:47
	> Так шта, я бы сказал, у черных шляп можно заработать риальни покруче. Во первых у людей есть определённые принципы (на продаже оружия/наркотиков можно курто заработать, но ведь только отморозки до этого спускаются). Во вторых вознаграждение Google по размеру сопоставимо с тем, что можно заработать на продаже эксплоита.
	Ответить | Правка | ^ к родителю #21 | Наверх | Cообщить модератору

	33. "В реализациях VFAT и TMPFS из состава ядра Linux выявлены уя..."	+6 +/–
	Сообщение от Crazy Alex (ok) on 27-Фев-13, 14:52
	Из этой новости: " В понятие киберпреступности входят сетевой промышленный шпионаж, детская порнография, манипуляции с акциями, пиратство и кража информации" В эту сумму они всё запихнули, включая "пиратство". А там суммы "недополученной прибыли" такие рисуют, что оно могло запросто оказаться больше оборота всей планеты.
	Ответить | Правка | ^ к родителю #21 | Наверх | Cообщить модератору

	18. "В реализациях VFAT и TMPFS из состава ядра Linux выявлены уя..."	–3 +/–
	Сообщение от Аноним (??) on 27-Фев-13, 13:41
	Энтузиасты здесь ну совершенно не при чем. Чтобы прыгнуть в высоту на 8 метров, надо одного прыгуна, прыгающего на 8 метров, а не 8 прыгающих на 1 метр. Опачки?
	Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

	22. "В реализациях VFAT и TMPFS из состава ядра Linux выявлены уя..."	+/–
	Сообщение от Аноним (??) on 27-Фев-13, 13:44
	> Энтузиасты здесь ну совершенно не при чем. Чтобы прыгнуть в высоту на > 8 метров, надо одного прыгуна, прыгающего на 8 метров, а не > 8 прыгающих на 1 метр. Опачки? Прыгуны есть, но сейчас им не интересно прыгать или они прыгают за чужую команду. Нужен стимул. Пример с Chrome я уже приводил - толпы людей постоянно ковыряют код для поиска уязвимостей, а для некоторых поиск дыр в Chome стал постоянным заработком.
	Ответить | Правка | ^ к родителю #18 | Наверх | Cообщить модератору

	26. "В реализациях VFAT и TMPFS из состава ядра Linux выявлены уя..."	–2 +/–
	Сообщение от Аноним (??) on 27-Фев-13, 14:04
	Код? Код Хрома? Где они его находят?
	Ответить | Правка | ^ к родителю #22 | Наверх | Cообщить модератору

	31. "В реализациях VFAT и TMPFS из состава ядра Linux выявлены уя..."	+/–
	Сообщение от Аноним (??) on 27-Фев-13, 14:13
	> Код? Код Хрома? Где они его находят? http://src.chromium.org/
	Ответить | Правка | ^ к родителю #26 | Наверх | Cообщить модератору

	67. "В реализациях VFAT и TMPFS из состава ядра Linux выявлены уя..."	+/–
	Сообщение от Аноним (??) on 27-Фев-13, 19:16
	>> Код? Код Хрома? Где они его находят? > http://src.chromium.org/ Хром != Хромиум
	Ответить | Правка | ^ к родителю #31 | Наверх | Cообщить модератору

	70. "В реализациях VFAT и TMPFS из состава ядра Linux выявлены уя..."	+2 +/–
	Сообщение от Аноним (??) on 27-Фев-13, 21:18
	> Хром != Хромиум Хром = Хромиум + несколько малозначительных мелочей, типа Flash в комплекте и поддержка синхронизации через сервисы Google.
	Ответить | Правка | ^ к родителю #67 | Наверх | Cообщить модератору

	73. "В реализациях VFAT и TMPFS из состава ядра Linux выявлены уя..."	–1 +/–
	Сообщение от Аноним (??) on 28-Фев-13, 00:41
	Если бы детали были малозначительными, то исходный код запросто бы публиковали. 3начит - детали не малознчительны.
	Ответить | Правка | ^ к родителю #70 | Наверх | Cообщить модератору

	74. "В реализациях VFAT и TMPFS из состава ядра Linux выявлены уя..."	+1 +/–
	Сообщение от Аноним (??) on 28-Фев-13, 01:29
	> Хром != Хромиум ...поэтому адоб патчит свое сито сам :)
	Ответить | Правка | ^ к родителю #67 | Наверх | Cообщить модератору

	41. "В реализациях VFAT и TMPFS из состава ядра Linux выявлены уя..."	+/–
	Сообщение от Аноним (??) on 27-Фев-13, 15:09
	> Ещё никто дважды награду за обнаруженные ошибки не получал. Так что брехня > "постоянный заработок" не более чем маркетинг. http://www.chromium.org/Home/chromium-security/hall-of-fame Посчитайте, сколько, например, Сергей Глазунов,  Aki Helin и miaubiz  заработали.
	Ответить | Правка | ^ к родителю #26 | Наверх | Cообщить модератору

	42. "В реализациях VFAT и TMPFS из состава ядра Linux выявлены уя..."	+2 +/–
	Сообщение от Michael Shigorin (ok) on 27-Фев-13, 15:25
	> Посчитайте Это был http://wiki.opennet.ru/MSSP -- похоже, читать, считать и думать не обучены. PS: престарелому студенту-прыгателю: уши торчат, кирпичом зацепить может.
	Ответить | Правка | ^ к родителю #41 | Наверх | Cообщить модератору

	48. "В реализациях VFAT и TMPFS из состава ядра Linux выявлены уя..."	+/–
	Сообщение от бедный буратино (ok) on 27-Фев-13, 16:07
	А давайте поощрять таких людей лицензией на Debian со скидкой! Надо только красивый артворк нарисовать, чтобы они прониклись.
	Ответить | Правка | ^ к родителю #42 | Наверх | Cообщить модератору

	58. "В реализациях VFAT и TMPFS из состава ядра Linux выявлены уя..."	+/–
	Сообщение от Аноним (??) on 27-Фев-13, 17:19
	> А давайте поощрять таких людей лицензией на Debian со скидкой! Это как? Доплачивать за скачку дебиана? :)
	Ответить | Правка | ^ к родителю #48 | Наверх | Cообщить модератору

	71. "В реализациях VFAT и TMPFS из состава ядра Linux выявлены уя..."	–1 +/–
	Сообщение от linux must _RIP_ on 27-Фев-13, 21:47
	а как же любимый аргумент шигорина что ядро смотрят милионы пользователей и ищут уязвимости и в этом прелесть GPL ?
	Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

	72. "В реализациях VFAT и TMPFS из состава ядра Linux выявлены уя..."	+1 +/–
	Сообщение от Michael Shigorin (ok) on 27-Фев-13, 22:18
	> а как же любимый аргумент шигорина Ух ты, а можно ссылочку или сразу оставим на Вашей совести?
	Ответить | Правка | ^ к родителю #71 | Наверх | Cообщить модератору

13. "В реализациях VFAT и TMPFS из состава ядра Linux выявлены уя..."	+6 +/–
Сообщение от Аноним (??) on 27-Фев-13, 13:18
Вот поэтому не нужно добавлять PE парсер в ядро :)
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	34. "В реализациях VFAT и TMPFS из состава ядра Linux выявлены уя..."	+/–
	Сообщение от Crazy Alex (ok) on 27-Фев-13, 14:53
	Напоминаю, если что: "в основном ядре Linux проблема была молча исправлена в ноябре 2011 года".
	Ответить | Правка | ^ к родителю #13 | Наверх | Cообщить модератору

	44. "В реализациях VFAT и TMPFS из состава ядра Linux выявлены уя..."	+2 +/–
	Сообщение от pavlinux (ok) on 27-Фев-13, 15:40
	Что значит молча? Тише просто некуда! The utf8s_to_utf16s conversion routine needs to be improved.  Unlike its utf16s_to_utf8s sibling, it doesn't accept arguments specifying the maximum length of the output buffer or the endianness of its 16-bit output. ... Signed-off-by: Alan Stern <stern@rowland.harvard.edu> CC: Clemens Ladisch <clemens@ladisch.de> Signed-off-by: Greg Kroah-Hartman <gregkh@suse.de> После слов "it doesn't accept arguments specifying the maximum length of the output buffer" даже ежыку понятно, что переполнение буфера можно соорудить. Более того, под якобы исправлением, может скрываться алгоритмическая дыра, "special for CIA, FBI, NSA", особо если патчик из Гарварда за именем Alan :)   Так что, если вас действительно напрягают проблемы безопасности, в Вашей конторе должен быть отдел безопасности, в крайнем случае отдельный человек.
	Ответить | Правка | ^ к родителю #34 | Наверх | Cообщить модератору

	49. "В реализациях VFAT и TMPFS из состава ядра Linux выявлены уя..."	+/–
	Сообщение от Crazy Alex (ok) on 27-Фев-13, 16:39
	Ну, я больше о том говорил, что обсуждается давно (больше года назад!) исправленная дыра. Да и вторую запатчили не после рапортов о взломах, а сами нашли и прикрыли. Нечего панику разводить.
	Ответить | Правка | ^ к родителю #44 | Наверх | Cообщить модератору

	53. "В реализациях VFAT и TMPFS из состава ядра Linux выявлены уя..."	+/–
	Сообщение от pavlinux (ok) on 27-Фев-13, 16:53
	> Ну, я больше о том говорил, что обсуждается давно Там реально немерено патчей, практически из любого можно создать подобную новость с подробным разбором полётов и рекурсивным анализом. В идеале патч должен быть не только с изменёнными строками, но и с деревом всех затрагиваемых функций.
	Ответить | Правка | ^ к родителю #49 | Наверх | Cообщить модератору

	57. "В реализациях VFAT и TMPFS из состава ядра Linux выявлены уя..."	+/–
	Сообщение от Аноним (??) on 27-Фев-13, 17:10
	Речь про то что "Новая функциональность => Новые баги". Соответственно включать малополезную функциональность в ядро не нужно
	Ответить | Правка | ^ к родителю #34 | Наверх | Cообщить модератору

69. "В реализациях VFAT и TMPFS из состава ядра Linux выявлены уя..."	+1 +/–
Сообщение от DFX (ok) on 27-Фев-13, 21:14
>> После публикации информации об уязвимости родилась дискуссия о возможных путях решения сложившейся ситуации с отсутствием оценки влияния исправляемых в ядре проблем на безопасность. Сейчас разработчики ядра не делают различий в том, связано исправление с уязвимостью или только влияет на стабильность. По словам одного из членов Red Hat Security Response Team в настоящее время нереально провести полный аудит всех вносимых в ядро исправлений, их слишком много, например, среди десятков тысяч изменений трудно выявить именно те единичные случаи, которые могут привести к нарушению безопасности. В качестве одного из вариантов выхода из сложившейся ситуации было упомянуто создание отдельной группы для рецензирования всех вносимых в ядро изменений на их возможное влияние на безопасность. либо можно просто не slowpoke'чить со своими fork'ами и backport'ами в них, а поставлят свежее ядро в своих полу'proprie'растных поделках. но нет, пусть этим разрабы Linux'а бесплатно позанимаются, ага.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема