Dotaz: surfování se starým kernelem

[boycottsystemd]

V Debianu jsem omylem používal starý kernel 4.6.4 (září 2016) na web (maily, youtube, tv). Může to mít nějaké následky ?

Odpovědi

[NN]

Ne.

[boycottsystemd]

Dík. A za jakých podmínek by to mohlo mít následky ?

[NN]

Za zadnych, verze kernelu nema s prohlizecem nic spolecneho.

[Jendа]

V kernelu může být díra v TCP/IP stacku, například CVE-2016-10229, která by mohla jít přes prohlížeč (nebo jinou síťovou aplikaci) zneužít. Nicméně žádná taková díra se v posledních mnoha letech neobjevila (jestli vůbec někdy), například ta CVE-2016-10229 je v UDP a pro zneužití jsou potřeba speciální parametry soketů, které skoro nikdo nepoužívá.

[Michal Kubeček]

Zrovna CVE-2016-10229 tak, jak je formulované, je spíš výsledek nepochopení situace. Problém se rozhodně netýká "kernel before 4.5", týkal se jen některých stable větví (< 3.19), i tam jen po krátkou dobu, a v době, kdy tohle CVE vzniklo, byl už i tam rok a půl opravený.

[Josef Kufner]

V kernelu také mohou být díry a mohou být vzdáleně zneužitelné. Pokud by útočník prolomil prohlížeč a donutil ho spustit nějaký kód, díra v kernelu umožní mu získat oprávnění roota a nainstalovat uživatelem nezjistitelný backdoor. Moderní prohlížeče také spouští kód stránek v sandboxu a do jisté míry spoléhají i na jádro, že zobrazená stránka z toho sandboxu neuteče. Reálně se díry v jádře používají na rootnutí Androidích telefonů (stáhneš aplikaci, zmáčkneš čudlík, máš roota).

Ale nemá smysl nějak panikařit. Jádro je docela otestované a jeho bezpečnosti se věnuje hodně lidí. Že vněm je nějaká díra ještě neznamená, že je prakticky zneužitelná, a ani pak to ještě neznamená, že je na tvé konkrétní instalaci a konfiguraci zneužitelná. Tím ale neříkám, že není potřeba aktualizovat. Pokud jsi však měl aktuální prohlížeč, je velmi malá šance, že trochu starší jádro něčemu vadilo.

[boycottsystemd]

Zbytek systému byl aktuální.

Díky oběma za fundované odpovědi.

[M.]

Ano.

[DaBler]

To je houby starý kernel. Já na serfování používám 2.6.39-gentoo-r3.