Závažná bezpečnostní chyba v X

Včera bylo firmou Coverity vyhlášeno, že našli a opravili nejzávažnější bezpečnostní chybu v X Window Systemu za posledních šest let. Chybějící závorka v kódu verzí X11R6.9.0 a X1R7.0.0 umožňovala lokálně vykonat libovolný kód s právy roota.

3.5.2006 15:31 | Jan Grmela | Bezpečnostní upozornění

Komentáře

[JiK]

to je docela ostuda.

[belisarivs]

Proc ostuda? Takove zapichy se deji normalne. Neni zas az tak tezke prehlednout jednu zavorku.

[JiK]

no, podle mne to jen vrha ponekud spatne svetlo na proklamovanou bezpecnost Open Source programu. Takovy ten argument, ze kazdou radku kodu ctou tisice oci, ze tisice lidi prohlednou vse a vse je 100x zkontrolovano. Rekl bych ze v realu tu radku cte casto jen jeji autor. Je to jako ve vede, muj sef, stary profesor pred duchodem rika, ze casto i multimilionove projekty jsou posuzovany podle jejich abstraktu protoze i recenzenti jsou jen lidi a casto nemaj cas ani chut je procitat, takze to projedou nekde v letadle cestou na konferenci...podivaj se na zacatek a konec, zkontroluji par obrazku a udelaj si nazor...

Vedecke clanky jsou totez, kolegovi prosel a vysel clanek ve velmi renomovanem zahranicnim casopise s hrubou chybou v druhem slove abstraktu. Bylo to zjevne a jednoznacne, chyba byla Z misto S v mnoznem cisle anglickeho slova NanotubeZ. Je tedy zjevne, ze to poradne necetl on (autor), jeho spouautori, recenzenti, etitor ani sazec.

Otazkou potom zustava, zda je podobne 'nedbale' napsany trebas i crypto software, takze asymetricke sifry jsou sice neprolomitelne, ale 'nekdo' nekde prehlidl zavorku a misto nahodneho klice je to klic pseudonahodny, dobre predikovatelny a NSA si cte sifrovane maily a smeje se pod vousy...

[Quactuda]

Mozna to pochopis, az nekdy udelas neumyslne nejakou botu. Pripomina mi to pribeh, ktery mi vykladal otec o jednom cloveku. Ten se vzdy chlubil tim, jak v zivote nic nezapomnel, az jednou zapomnel do nove masiny za 5 milionu nalit olej a ta zhorela.

[Jozef Vondrák]

rika se shorela

[Jindřich 'GoldenShit' Plešinger]

   Přesně tak. Je dobré používat software s otevřeným kódem, ale tato vlastnost není zárukou kvality a správnosti aplikace. Ty tisíce programátorů a kontrolorů bych rád podkal a rád bych poznal ty, co opustili programování v Bashy, PHPku, Perlu, Pythonu a jedou natvrdo a s maximální dokonalostí a pečlivostí v Cčku a C++ku. Každý má své práce dost a tak jediné čeho je většina Linuxáků schopná je kompilace, tvorba balíčků a jejich instalace. Kolik kompilačních expertů si pozorně projde .log a hledá příčiny jednotlivých warningů a snaží se najít jejich příčinu a snaží se ji odstranit? Nikoho takového neznám. Jen pečlivý autor programátor řeší každou sebemenší hovadinu.

PS: Většina asi používá gcc. To by bylo, kdyby někdo otestoval icc a hledal všechny možný i nemožný zádrhele.

[Abraxis]

Naopak, tohle vrha dobre svetlo na OSS:

1, Bez dostupnych zdrojovych kodu by chyba nebyla nalezena - tzn. teoreticka vyhoda closed-source, dokud si neuvedomis, ze ti OPRAVDU nebezpecni pirati (ala Cina )) uz daaavno zdrojaky Windows maji! Nemluve o tom, ze oprava je dostupna v podstate okamzite a ze kdo OPRAVDU potrebuje bezpecny system, tak ze si ji muze OKAMZITE zaplatovat.

2, To, ze udelas preklep "NanotubeZ/S" je normalni - jak ukazal nedavny vyzkum, tak kydz psies sovla prezahene, tak to lidi "normalne" proctou - proste "provozni slepota". Podivej se naschval do opravy: http://xorg.freedesktop.org/releases/X11R7.0/patches/xorg-server-1.0.1-geteuid.diff - jedna se opravdu o hnusne prehlednuti.

3, Crypto SW - tady se jedna o dost odlisny kus SW - Xka jsou hroznej balast (at uz protokol, tak implementace). Crypto SW byva vetsinou relativne (!) jednoduchy, spravnost algoritmu se dokazuje "na papire" matematicky a pak se kontroluje implementace vuci "papirovemu algoritmu".

[JiK]

ad 1) V zadnem pripade jsem neobhajoval windows a closed source. Nicmene mission critical systemy (avionika bojoveho letadla, zbranove systemy, sonary, jaderne elektrarny, satelity,...) myslim moc Linux ani OSS nepouzivaji, budou mit hadam nejakou specialni implementaci, ale je to myslim casto closed source. Pokud nekdo vi vic, jsem lacny se neco naucit.

ad 2) To, ze je to normalni prilis nemeni na tom, ze mit chybu v druhem(!) slove clanku je blbou vizitkou nejen autora, ale predevsim vsech referee a editora. Casopis vazne nebyly nejake Chemicke listy, ale spise neco jako Phys. Rev. B, Science ci Nature. Jmenovat ho nechci, prestoze nejsem spoluautor.

ad 3) Proc bych mel verit, ze v crypto SW neni umyslne vlozena chybka. Pokud by nebyla, je jiste dost lidi (NSA, Mossad, cinani, rusove) co by dali trebas cely rocni rozpocet na to aby byla. Ja do crypto vidim jen velmi, velmi malo, a vim, ze bych nenasel ani chybu v implementaci, a uz tuplem ne tak umyslne vlozenou nenapadnou prebivajici zavorku. Nemusis utocit na algoritmus, ten je dokonaly, stacilo by nejak 'trochu' snizit nahodnost klice, nebo ho trebas mit perfektne nahodny, ale 1 ze skupiny 10.000 klicu, ktere by se nejak opakovali. Kdo jich generuje 10k a srovnava je proti sobe? Navic nerikam, ze to tak je, jen zdrave pochybuju o dokonalosti implementace jinak dokonalych algoritmu...

[Abraxis]

1, No, prikladem budiz davno kriznik, ktery museli odtahnout, protoze mu zhavarovaly Windows... Ale u ruznych spec. systemu se nejspise pouzivaji veci typu VxWorks. Rozhodne nema cenu vymyslet OS od zacatku - proste tam budes mit vic chyb nez v nejakem jinem, uz odzkousenem, projektu. To, ze se tam pouzivaji tyto RT O/S vyplyva spise z podstaty veci (potrebuji hard-realtime OS a Linux/Windows holt neni na tohle designovan).

2, Ja vim, ale jak rikam - tyhle veci se hrozne snadno prehlednou, zvlast kdyz se jedna o slovo, ktere kazdy pouziva velmi bezne, tak si tam rovnou "doplni" to, co tam ma byt. Druha vec je, ze by tohle mel odchytit obycejny spell-checker.

3, No, zalezi jaky crypto-SW mas na mysli... Ale jak se rika, zakladem kazdeho kryptoanalytika by mela byt zdrava paranoia

[Messa]

Rekl bych ze v realu tu radku cte casto jen jeji autor.

Na podobný chytrý výplody si vzpomenu vždycky, když si čtu kód nějakého programu, abych se z něj něco naučil nebo abych zjistil, jak je něco konkrétně uděláno Ale chybu bych asi moc nerozpoznal… No, když se tak dívám na ten patch, možná škoda, že jsem si nepročítal zdrojáky Xek

[Martin Povolný]

Že kód čte jen autor samozřejmě ve většině případů u používaného software pravda nebude. Ale že to bude poměrně úzký okruh lidí to pravda bude. Nicméně čím kritičtější kus kódu, tím ho velmi pravděpodobně bude číst více lidí.

Myslím si, že hlavní problém je v tom, že lidé většinou prostě nečtou kód jen tak. Například u nás ve firmě čteme ten kód, s kterým jsou nějaké problémy, nebo ho potřebujeme upravit -- ať už není dost rychlý, nepodporuje nějaké zařízení, nerozumí si s jiným softwarem, nebo není dost stabilní (řada RUBYovým knihoven, cyrus, samba, libnss-ldap, ...). Zákazníci nám nezaplatí za to, abychom jim přečetli to a to, protože to používají a je to pro ně důležité. Když něco funguje, tak se na to prostě nesahá.

Musím říct, že kvalita kódu se liší projekt od projektu, někdy je radost se podívat, jindy je to hrozný a člověk by raději nevěděl, jak moc.

Ale dřív jsem dělal u několika closed-source firem a tam to bylo velmi podobné. Spíš horší, protože programátoři často psali s vědomím, že po nich to určitě nikdo číst nebude.

[XXX]

á, bůh promluvil...

[JiK]

probuh, nevztekej se a nenapadej mne, ja jen napsal, ze pokud se ti nechce cist man a ucit se anglicky, jsou mozna vhodnejsi jine operacni systemy nez linux. Nebyla v tom ani jedna urazka, jen dobre minene doporuceni.

[XXX]

díky bože za ty rady. Pane GURU.

[Kníže Ignor]

Ano, právo napadat jiné je vyhrazeno jen a jen tobě.

[Quactuda]

to je docela ostuda.

Proc? Schvalne jsem navrhl anketu, abych zjistil, jestli uvedene verze s chybou nekdo pouziva. Ja osobne mam Ubuntu 5.10 se vsemi updaty a mam verzi X11R6.8.2, ktera vysla mimochodem minuly rok. To, ze se jedna o nejvetsi chybu za poslednich 6 let, neznamena, ze je 6 let stara

[JiK]

ok, tohle mi v prvnim okamziku nedocvaklo....

[camlost]

JiK: "to je docela ostuda."

ano, je ostuda. aspoň je na tom vidět, proč se nemají názvy funkcí shodovat s názvy proměnných a proč se názvy proměnných nemají lišit "velikostí" znaků (tmpstr vs. tmpStr).

[Kníže Ignor]

Mě naštěstí x-server pod rootem neběží. Takže jsem v klidu.

Ale fakt bych si přál, aby v linuxu bylo možné jemnější rozlišení uživatelský práv než root - bežný uživatel.

[Spike]

Dost možná se pletu... ale nemuselo donedávna X (resp. nějaká část) běžet jako setuid root...?

[Kníže Ignor]

Myslím, že ne. Mě X-ka běží pod běžným uživatelem odnepaměti.

K těm právům - představoval bych si něco jako Process Rights Management v Solaris 10.

[Spike]

A proto, aby ti ta Xka odnepaměti běžala pod normálním uživatelem, musely být ty binárky setuid root... ;)

[Lukáš Zapletal]

Jenže o tom ta chyba je - program získá práva roota. Nemusíte program (Xka) provozovat pod rootem... V klidu tedy nejste.

To s tou jemností nechápu, tohle je myslím jediné rozumné řešení (root/neroot).

[Kníže Ignor]

V klidu jsem a myslím si, že i oprávněně. xinit ani Xorg nemají nastaven suid bit, takže fakt nevím jak by toho roota mohli dostat. To by snad musela být chyba v jádře, ne?

[rastos]

myslím si, že i oprávněně. xinit ani Xorg nemají nastaven suid bit,

Fakt?

$ ls -l `which Xorg`
-rws--x--x  1 root bin 1830912 2005-09-26 02:37 /usr/X11R6/bin/Xorg*
$ ps axu |grep X
root 3860  0.4  4.3 182996 33364 ?   R    May03   5:01 /usr/X11R6/bin/X
...

(Slackware)

[Michal Kubeček]

Kolega přeci netvrdil, že u vás nemají ty soubory suid. Tvrdil, že on může být v klidu, protože u něj ho nemají.

[Kníže Ignor]

root/neroot je podle mě největší omyl linuxu, proč by měl mít program, kterej dělá řekněme ntp server práva číst a měnit data uživatelů

[Spike]

Jo, proč? Ještě že ho můžeš spustit pod jiným uživatelem.

[Kníže Ignor]

pak ale těžko poběží na portu, na jakém se to očekává

[Martin Beránek]

nejsem zadnej systemovej programator, ale mam pocit ze vetsina serveru, kere maji bezet na privilegovanych portech se nastartuje z pravy roota a pak se samy vzdaji prav. (proto se napriklad pousti tomcat az na 8080, protoze v Jave se nic takoveho udelat neda)

[cronin]

Apropos, v každom trochu slušnom unixovskom systéme sa predsa dá nastaviť, ktoré porty sú "nízke", t.j. rezervované pre root-a. Že sú to porty do 1023 vrátane, je dané historicky a je to defaultné nastavenie, ktoré je možné zmeniť.

[Josef Kufner]

$ ls -l `whereis X`
ls: X:: není souborem ani adresářem
-rwsr-sr-x 1 root root 7860 2005-09-02 00:44 /usr/bin/X11/X
-rwsr-sr-x 1 root root 7860 2005-09-02 00:44 /usr/X11R6/bin/X

Opravdu ne?

[Kníže Ignor]

startx mi spustí xinit a ten /etc/X11/X

-rwxr-xr-x  1 root root ... /usr/X11R6/bin/xinit*
lrwxrwxrwx  1 root root ... /etc/X11/X -> ../../usr/X11R6/bin/Xorg*
-rwxr-xr-x  1 root root ... /usr/X11R6/bin/Xorg*

[mimo4]

a mne

-rwxr-xr-x 1 ruut ruut ... /usr/X11R6/bin/xinit*

lrwxrwxrwx 1 ruut ruut ... /etc/X11/X -> ../../usr/X11R6/bin/Xorg*

-rwxr-xr-x 1 ruut ruut ... /usr/X11R6/bin/Xorg*

[Kyosuke]

Možná jsem blbej neprogramátor, ale je nějaký extra dobrý důvod pro to, aby tam dotyčná pasáž byla dvakrát a potenciálně i víckrát a nebylo tam jen něco jako

if (getuid() == 0 || geteuid() != 0) dangerous_privileged_mode=TRUE;

a pak jednak používat if(dangerous_privileged_mode) a taky to používat co nejmíň? Už jen fakt, že se takovýhle test dělá dvakrát (a možná i víckrát) ve mně nevzbuzuje moc důvěru, trošku mi to připomíná tu esej „How To Write Unmaintainable Code (Ensure a job for life )“. (No dobře, podle té eseje by to bylo spíš: Nejlépe testovat jednu a tutéž podmínku na více místech a třeba ještě ji pokaždé zapsat jinak, ale aby dávala stejný výsledek...a maintenancer ať si třeba dupe vzteky... )

[Michal Vyskočil]

Kdo z nás píše jenom čisté a elegantní kódy ? Je fakt, že když má člověk něco zveřejnit, tak se většinou snaží ten kód uhladit (to je výhoda OSS), ale ne vždycky se to povede.

[Kyosuke]

Nojo, člověk se občas nestačí divit...

[Michal Marek (twofish)]

Proč je ta chyba "nejzávažnější" za posledních šest let? Co třeba CVE-2004-0084 a další, které šlo zneužít i když X server neměl setuid bit?

[Michal Vyskočil]

Nejzávažnější je proto, že si společnost Coverity může do reklamních materiálů napsat - náš nástroj odhalil nejhorší bezpečnostní chybu v OpenSource produktu Xorg za posledních 6 let. A to už přeci zní, ne?