Red Hat, CentOS и Debian десять лет разрешали нелегально стать администратором

Модератор: LinuxNEWS
Аватара пользователя

Автор темы
rogoznik
Сообщения: 10015
Зарегистрирован: 27 июн 2017, 13:36
Решено: 128
Откуда: Нижний Тагил
Благодарил (а): 776 раз
Поблагодарили: 1950 раз
Контактная информация:

Red Hat, CentOS и Debian десять лет разрешали нелегально стать администратором

#1

28 сен 2018, 19:12

В течение десяти лет в ядре Linux скрывалась уязвимость, допускавшая повышение привилегий в системе. Затронуты некоторые корпоративные версии Red Hat, CentOS и Debian.

Ядерные мутанты из космоса

Во всех версиях ядра ОС Linux, выпущенных в 2007-2017 гг., выявлена серьезная уязвимость, которая позволяет рядовому пользователю повысить свои привилегии в системе до уровня администратора системы root. Уязвимость, получившая название Mutagen Astronomy, затрагивает дистрибутивы Red Hat, CentOS и Debian.

Уязвимость CVE-2018-14634 обнаружили эксперты компании Qualys, которые опубликовали и технические подробности, и два экспериментальных эксплойта к этому «багу». Проблема затрагивает версии ядра, выпущенные между июлем 2007 г. и июлем 2017 г., — 2.6.x, 3.10.x, 4.14.x.

Как выяснили эксперты, «баг» присутствует в функции create_elf_tables(), используемой для управления таблицами памяти.

«Мы обнаружили ошибку целочисленного переполнения в функции ядра Linux create_elf_tables(): в 64-битной системе локальный пользователь может использовать эту уязвимость через процесс, запускаемый с правами root (SUID-root), чтобы получить себе привилегии суперпользователя», — говорится в бюллетене Qualys.

Эксперты отмечают, что уязвимыми являются только те версии ядра, где есть коммит b6a2fea39318 от 19 июля 2007 г., и при этом отсутствует коммит da029c11e6b1 от 7 июля 2017 г. «В большей части дистрибутивов в поддерживаемые версии ядра произведено бэкпортирование da029c11e6b1; но не в Red Hat Enterprise Linux и не в CentOS (и не в Debian 8, текущую “старую стабильную” версию), поэтому они уязвимы и эта уязвимость можно эксплуатировать», — говорится в бюллетене.

Ни для CentOS, ни для Debian 8 патчи еще не вышли.

Только для 64-битных

В бюллетене, опубликованном Red Hat, отмечается, что уязвимость не затрагивает 32-битные системы, и практические не поддается эксплуатации в системах с объемам памяти менее 32 Гигабайт.

В том же бюллетене говорится, что «баг» не встречается в Red Hat Enterprise Linux версии 5, однако версии 6, 7 и MRG 2 — уязвимы. В ближайшее время планируется опубликовать обновления ядра для них.

«В очередной раз приходится убедиться, что какой бы ни была проверенной программная разработка, и в ней могут встречаться — и годами оставаться неисправленными — серьезные ошибки, — отмечает Тарас Татаринов, эксперт по информационной безопасности компании “Информационные технологии будущего”. — Корпоративные версии Linux не страдают от недостаточности аудита безопасности, и все равно время от времени в них обнаруживают неожиданные уязвимости. Остается надеяться, что исправления будут внесены в самое ближайшее время, и что конечные пользователи также не станут затягивать с их установкой».

Источник
ИзображениеИзображение

Аватара пользователя

AlexZ
Сообщения: 1395
Зарегистрирован: 06 янв 2018, 21:06
Решено: 3
Откуда: Горно-Алтайск
Благодарил (а): 212 раз
Поблагодарили: 177 раз
Контактная информация:

Red Hat, CentOS и Debian десять лет разрешали нелегально стать администратором

#2

28 сен 2018, 19:37

darkfenix писал(а):
28 сен 2018, 19:12
Во всех версиях ядра ОС Linux, выпущенных в 2007-2017 гг., выявлена серьезная уязвимость
Который раз уже.. И как тут ядро не обновлять?.. :hoho:

Аватара пользователя

Автор темы
rogoznik
Сообщения: 10015
Зарегистрирован: 27 июн 2017, 13:36
Решено: 128
Откуда: Нижний Тагил
Благодарил (а): 776 раз
Поблагодарили: 1950 раз
Контактная информация:

Red Hat, CentOS и Debian десять лет разрешали нелегально стать администратором

#3

28 сен 2018, 19:39

AlexZ, в данном случае не сильно критично. Тут надо иметь физический доступ к машине.
ИзображениеИзображение

Аватара пользователя

slant
Сообщения: 4469
Зарегистрирован: 21 июн 2017, 18:09
Решено: 95
Благодарил (а): 51 раз
Поблагодарили: 1966 раз
Контактная информация:

Red Hat, CentOS и Debian десять лет разрешали нелегально стать администратором

#4

28 сен 2018, 21:02

А еще и зависимость от количества памяти. Ну, в серверах оно конечно критично. Но признайтесь, у кого даже сейчас на десктопе дома 32Гб+ памяти? У меня вот, только этим летом такой объем появился... А, скажем, в 2010-ом? :)

Аватара пользователя

AlexZ
Сообщения: 1395
Зарегистрирован: 06 янв 2018, 21:06
Решено: 3
Откуда: Горно-Алтайск
Благодарил (а): 212 раз
Поблагодарили: 177 раз
Контактная информация:

Red Hat, CentOS и Debian десять лет разрешали нелегально стать администратором

#5

28 сен 2018, 21:17

Ну я в общем как бы, не только про этот случай..
https://www.securitylab.ru/news/495734.php
https://yandex.ru/yandsearch?text=%D0%B ... 38158188.1

Аватара пользователя

slant
Сообщения: 4469
Зарегистрирован: 21 июн 2017, 18:09
Решено: 95
Благодарил (а): 51 раз
Поблагодарили: 1966 раз
Контактная информация:

Red Hat, CentOS и Debian десять лет разрешали нелегально стать администратором

#6

28 сен 2018, 22:10

Да как-бы дырки и ошибки в ядре - достаточно регулярно находят. Как и патчат. Тихо и спокойно, в рабочем порядке. Тут просто иронию вызывает сам стиль конкретной статьи: "Вах - катастрофа, вах - мутанты в ядрах, вах - патчей где-то еще нету :)". Смешно, право слово. Место таким статейкам в желтой прессе. :)

Аватара пользователя

root
Сообщения: 938
Зарегистрирован: 16 фев 2017, 20:03
Решено: 5
Откуда: г. Хабаровск
Благодарил (а): 268 раз
Поблагодарили: 262 раза
Контактная информация:

Red Hat, CentOS и Debian десять лет разрешали нелегально стать администратором

#7

28 сен 2018, 22:21

darkfenix писал(а):
28 сен 2018, 19:12
Ядерные мутанты из космоса
Чаво?
Вы не готовы! :pc2:
Изображение

Аватара пользователя

AlexZ
Сообщения: 1395
Зарегистрирован: 06 янв 2018, 21:06
Решено: 3
Откуда: Горно-Алтайск
Благодарил (а): 212 раз
Поблагодарили: 177 раз
Контактная информация:

Red Hat, CentOS и Debian десять лет разрешали нелегально стать администратором

#8

28 сен 2018, 22:25

slant писал(а):
28 сен 2018, 22:10
Как и патчат.
Я больше о том что надо регулярно обновлять ядро. Если говорить о безопасности.
Тут просто много реплик было что не нужно это..

Аватара пользователя

vir0id
Сообщения: 2757
Зарегистрирован: 19 дек 2017, 18:48
Решено: 15
Откуда: Рига
Благодарил (а): 163 раза
Поблагодарили: 305 раз
Контактная информация:

Red Hat, CentOS и Debian десять лет разрешали нелегально стать администратором

#9

29 сен 2018, 05:40

Ай! Столько еще дырок о которых мы пока не знаем? Друшлак да и только.

Аватара пользователя

Unborn
Сообщения: 1920
Зарегистрирован: 03 сен 2016, 13:36
Решено: 24
Благодарил (а): 5 раз
Поблагодарили: 264 раза
Контактная информация:

Red Hat, CentOS и Debian десять лет разрешали нелегально стать администратором

#10

29 сен 2018, 08:22

AlexZ писал(а):
28 сен 2018, 22:25
Я больше о том что надо регулярно обновлять ядро. Если говорить о безопасности.
Тут просто много реплик было что не нужно это..
То, что касается обычного пользователя - реальные уязвимости находятся раз в пятилетку. Последняя - с самбой. И то нужно ее голой жопой в мир выставить. Даже известная парочка ни у кого на десктопе не проявилась. А раздули на весь мир. Правильно slant говорит.
Больше бестолковой суеты просто. Потому что людям заняться нечем, вот и пишут.

Аватара пользователя

AlexZ
Сообщения: 1395
Зарегистрирован: 06 янв 2018, 21:06
Решено: 3
Откуда: Горно-Алтайск
Благодарил (а): 212 раз
Поблагодарили: 177 раз
Контактная информация:

Red Hat, CentOS и Debian десять лет разрешали нелегально стать администратором

#11

17 окт 2018, 20:14

Unborn писал(а):
29 сен 2018, 08:22
реальные уязвимости находятся раз в пятилетку.
это факты из прошлого, совсем не значит что так будет всегда..

Аватара пользователя

Unborn
Сообщения: 1920
Зарегистрирован: 03 сен 2016, 13:36
Решено: 24
Благодарил (а): 5 раз
Поблагодарили: 264 раза
Контактная информация:

Red Hat, CentOS и Debian десять лет разрешали нелегально стать администратором

#12

23 окт 2018, 08:02

AlexZ писал(а):
17 окт 2018, 20:14
это факты из прошлого, совсем не значит что так будет всегда..
Так было, есть и будет.

Аватара пользователя

AlexZ
Сообщения: 1395
Зарегистрирован: 06 янв 2018, 21:06
Решено: 3
Откуда: Горно-Алтайск
Благодарил (а): 212 раз
Поблагодарили: 177 раз
Контактная информация:

Red Hat, CentOS и Debian десять лет разрешали нелегально стать администратором

#13

25 окт 2018, 22:19

Unborn писал(а):
23 окт 2018, 08:02
Так было, есть и будет.
Ну так и не обновляй ядро совсем, или раз в 5 лет.. :-D
В винде тоже многие так делают, живут же как-то..

Аватара пользователя

Unborn
Сообщения: 1920
Зарегистрирован: 03 сен 2016, 13:36
Решено: 24
Благодарил (а): 5 раз
Поблагодарили: 264 раза
Контактная информация:

Red Hat, CentOS и Debian десять лет разрешали нелегально стать администратором

#14

26 окт 2018, 10:10

AlexZ писал(а):
25 окт 2018, 22:19
Ну так и не обновляй ядро совсем, или раз в 5 лет..
Обновляйте, когда это реально нужно, а не бестолково, поддержку какой-нибудь железки, которой не то что у тебя нет и никогда не будет , а про которую ты даже не слышал, добавили, а дурак увидел новый фантик - и мне надо, да ещё вдобавок ОС на железе надцатилетней давности, или вообще с помойки принесут и давай крайние версии дистрибутивов устанавливать и на каждом столбе объявлять, что то тормозит, то не работает. Ну да, ядро же нужно обновить.

Аватара пользователя

AlexZ
Сообщения: 1395
Зарегистрирован: 06 янв 2018, 21:06
Решено: 3
Откуда: Горно-Алтайск
Благодарил (а): 212 раз
Поблагодарили: 177 раз
Контактная информация:

Red Hat, CentOS и Debian десять лет разрешали нелегально стать администратором

#15

27 окт 2018, 00:31

Unborn писал(а):
26 окт 2018, 10:10
Обновляйте, когда это реально нужно
А когда нужно?
Этот вопрос постоянно всплывает на форуме, но даже здесь никто толком ответить не может.
Я уж молчу про новичков, будут они тебе копаться-разбираться в этих ядрах, ага..
Ты везде пишешь одно и то же, по-моему сильно усугубляя ситуацию с обновлением ядер.
У тебя уже спрашивал (ответа не последовало) - имею "железяку" 14-го года (поколение вин8 и минт17), значит я должен (судя по твоим словам) использовать только эти оси?
К твоему сведению, на моем ноуте исправно работают все системы начиная от XP - линукса 3.16 до новейшей 10-ки - линукса с ядром 4.18. Так что версию твою считаю абсолютно несостоятельной.

Аватара пользователя

027
Сообщения: 358
Зарегистрирован: 31 авг 2017, 09:05
Решено: 1
Благодарил (а): 26 раз
Поблагодарили: 53 раза
Контактная информация:

Red Hat, CentOS и Debian десять лет разрешали нелегально стать администратором

#16

27 окт 2018, 01:39

darkfenix писал(а):
28 сен 2018, 19:12
Red Hat, CentOS и Debian десять лет разрешали нелегально стать администратором
darkfenix писал(а):
28 сен 2018, 19:12
Ядерные мутанты из космоса
Я невероятно извиняюсь, я тут новенький. Тут публичные приступы желтухи у журналистов-любителей нормой считается? Если да, тогда ладно.

Аватара пользователя

Chocobo
Сообщения: 10015
Зарегистрирован: 27 авг 2016, 22:57
Решено: 215
Откуда: НН
Благодарил (а): 815 раз
Поблагодарили: 3008 раз
Контактная информация:

Red Hat, CentOS и Debian десять лет разрешали нелегально стать администратором

#17

27 окт 2018, 03:23

027, не настолько уж и новенький :hoho:
А публиковать на суд коммьюнити разрешается многое.
Тут уже по месту пережуем до мелочей коллективным разумом :-D
Изображение
   
Изображение

Аватара пользователя

027
Сообщения: 358
Зарегистрирован: 31 авг 2017, 09:05
Решено: 1
Благодарил (а): 26 раз
Поблагодарили: 53 раза
Контактная информация:

Red Hat, CentOS и Debian десять лет разрешали нелегально стать администратором

#18

27 окт 2018, 04:01

Новенький, новенький, я тут редко бываю, суммарный стаж околонулевой.
И — прошу понять правильно, я не выступаю против, я просто спросил.
Резкость же диагноза оценочного мнения насчет синдрома журнализда прошу считать естественной лютой неприязнью ненавистью профессионала ко всякого рода борзописцам сочинителям сенсаций и тому подобного словоизвержения выражения мнения.
Допустимо, значит, допустимо, нужно просто запомнить, чтоб не агриться понапрасну.
Я просто спросил.

Аватара пользователя

Unborn
Сообщения: 1920
Зарегистрирован: 03 сен 2016, 13:36
Решено: 24
Благодарил (а): 5 раз
Поблагодарили: 264 раза
Контактная информация:

Red Hat, CentOS и Debian десять лет разрешали нелегально стать администратором

#19

27 окт 2018, 10:22

AlexZ писал(а):
27 окт 2018, 00:31
мею "железяку" 14-го года (поколение вин8 и минт17), значит я должен (судя по твоим словам) использовать только эти оси?
Не нужно дураком прикидываться. Не годы, а аппаратная конфигурация в целом. По годам просто легче примерно ориентироваться, постоянно про красное, розовое поле вверху напоминают, не каждый даже сподобиться показать железо. И разрабы предупреждают о возможных регрессиях, и тем полно - обновился - отвалился вай-фай, черный экран и т.д. и т.п.
Я всегда говорю, что версию дистрибутива нужно устанавливать адекватно железу.
А кто заявляет, что на железе моделей 10-ти летней давности у него прекрасно работает крайние версии хоть Виндовс хоть Линукс - просто ЛПП. Они не работают - карячутся.
Не говоря уж, что для Вин10 драйверов на старое железо просто нет у вендоров. Про видяшки АМД вообще промолчим. Про броадкомовские вафли. И т.д.
Что там у тебя работает на ноуте, это не значит, что у всех точно такой же ноут.
Новички, не новички, не в этом дело, а в том, что люди настолько бестолковые, что не понимают, - ишак не увезет камазовский прицеп груженый цементом. Это не наличие или отсутствие знаний, это врожденное отсутствие ума, ума нет - знания не к чему прикладывать.
Ты когда ядро обновляешь, или еще чего в системе, ты хотя бы по диагонали смотришь, что там и чего? Может там мелким шрифтом написано, что ты согласен на кастрацию, ну или согласен свою почку отдать в фонд развития свободного ПО?

Аватара пользователя

AlexZ
Сообщения: 1395
Зарегистрирован: 06 янв 2018, 21:06
Решено: 3
Откуда: Горно-Алтайск
Благодарил (а): 212 раз
Поблагодарили: 177 раз
Контактная информация:

Red Hat, CentOS и Debian десять лет разрешали нелегально стать администратором

#20

02 ноя 2018, 21:46

Unborn писал(а):
27 окт 2018, 10:22
И разрабы предупреждают о возможных регрессиях, и тем полно - обновился - отвалился вай-фай, черный экран и т.д. и т.п.
Обратных тем никак не меньше, когда после обновки ядра заработало или исправили то или это..
Unborn писал(а):
27 окт 2018, 10:22
А кто заявляет, что на железе моделей 10-ти летней давности у него прекрасно работает крайние версии хоть Виндовс хоть Линукс - просто ЛПП. Они не работают - карячутся.
Вот ведь опять же, отвечаешь на четкий конкретный вопрос, а пишешь про какие-то 10-летние железки в вакууме..
Unborn писал(а):
27 окт 2018, 10:22
Ты когда ядро обновляешь, или еще чего в системе, ты хотя бы по диагонали смотришь, что там и чего?
Смотрю и что я там вижу?
ядро 4.14.png
Я вижу огромную проделываемую работу, всевозможные улучшения-исправления на уровне ФС, управлении памятью, драйверов и т.д. и т.п. что волей-неволей хочется накатить новое ядрышко. При этом там ни словечка, что именно с этого ядра на моей железяке заработает бамблби (а это более важно для меня). Всё это познается опытным путем. И примеров таких мильён. Послушай тебя, до сих пор сидел бы на 4.4 ядре и репу чесал почему он не работает. Люди же читают форум, доходит уже до курьезного что на прошлогоднее железо опасаются 4.15 ядро ставить (была тут темка недавно)

Ответить

Вернуться в «Другие новости»

Кто сейчас на конференции

Сейчас этот форум просматривают: useful и 11 гостей