Badlock, závažná bezpečnostní chyba ve Windows i v Sambě

Vývojáři Samby oznámili, že ve Windows i v Sambě byla objevena závažná bezpečnostní chyba Badlock. Oprava bude zveřejněna 12. dubna.

24.3.2016 00:40 | Ladislav Hagara | Bezpečnostní upozornění

Komentáře

[Jendа]

Hmm, tři týdny, to je dost času (spolu s hintem, že to asi bude v kódu pro zamykání), aby to někdo objevil, odladil a vypustil nezávisle.

[Filip Jirsák]

Ta chyba je i ve Windows, takže se musí opravit i tam. Navíc tohle vypadá spíš na nějakou nedomyšlenost v protokolu. Takže „nápověda, že to bude v kódu pro zamykání“ asi nebude moc užitečná.

[Konqui]

Proč je na linuxovém portále oznámení o chybě ve widlích?

[j]

Kdybys ty tatare zvladnul precist jednu vetu, tak by ses dozvedel, ze ta chyba je v sambe.

[pavlix]

Protože je to oznámení o chybě (mimojiné) v Sambě, což je open source projekt používaný na Linuxu.

[procjekongui]

tak velkej blbec?

[pavlix]

Třeba ne, třeba jenom nezná Sambu.

[Heurekar]

Hipster fenomen... Netreba nic robit - hlavne o tom porozpravat, urobit skupinu, sedenie a polemizovat. Proste to nestaci fixnut a vydat spravu... :D

[Tomáš2]

důvody předčasného oznámení jsou jiné, admini se mají připravit na aktualizaci. Nevím jak u tebe, ale u nás jsou aktualizace systémů plánované a není možné jen tak jednoduše vše restartovat - je nutné koordinovat více lidí.

Další aspekt je, že sambu poměrně dost společností nabízí jako placenou službu a tam je aktualizace zase o fous složitější. Hned jak se vydá záplata je možné chybu zjistit a začít zneužívat. Představa, že jako admin se probudím a vidím kritickou bezpečnostní záplatu, která znamená pootáčet celý cluster, nebudu moc nadšený a spíš budu nadávat.

O podobných chyb je běžné, že vybrané velké společnosti opravu dostanou daleko dříve než ostatní.

[Michal Kubeček]

O podobných chyb je běžné, že vybrané velké společnosti opravu dostanou daleko dříve než ostatní.

Tohle zní trochu ošklivě, takže by asi bylo na místě upřesnit, že ti, kdo dostávají informace (včetně opravy) dříve, než je vše zveřejněno, jsou typicky security teamy jednotlivých distribucí, ne přímo zákazníci. Je to právě proto, aby měly možnost vydat updaty hned po zveřejnění.

[Rezza]

A i v ramci tech security teamu me prijde, ze se posledni dobou vede debata, jestli embarga pomahaji nebo vice skodi. Na jednu stranu je pekne se nekde "v klidu" pripravit, otestovat, vydat a hlavne zkoordinovat. Na druhou stranu je to doba, kdy chyba neni opravena a jeji opravu to muze ztizit, protoze ten mensi tym muze neco prehlednout. A podle me tu odpoved neni. No a pak kdyz si vzpomenu, kdy jsem byl v security teamu WebKitu a prisel Apple s padesatkou CVE a rekl, mate tri dny, tak to bylo stejne zbytecne :D.

[Michal Kubeček]

Oboje má své pro a proti a osobně na to nemám nějaký jednoznačný nástroj. Tři týdny mi ale přijdou docela dost a fakt, že je to kvůli MS a jeho úterkům to moc neomlouvá. Pochybuju, že na nás nebo na vás by někdo bral takové ohledy, kdybychom se rozhodli vydávat updaty jen o úplňku. Co je IMHO úplně hloupé, je rozjíždět kampaň ohledně embargovaného bugu takhle brzy. Ale to je holt doba, na jedné straně úplně nesmyslná CVE a na druhé straně se kolem těch nebezpečných musí udělat takový humbuk, aby se to dostalo pokud možno i do zpráv na Nově.

[Michal Kubeček]

…na to nemám nějaký jednoznačný nástroj

názor :-)

[j]

Osobne to vidim tak, ze kam az mi pamet saha, vzdycky existovalo dost lidi kteri o chybach vedi, a nereportujou je, protoze je pouzivaji. Takze tohle akorat vedek tomu, ze ti co vedi, tak vedi vocogo, a makaj na predelani svych nastroju na jiny chyby, pripadne ve velkym sosaj data "dokud to de" a ostatni netusej, jak se tomu branit.

Stejne si myslim, ze to zas bude neco na tema ... "a musi to byt 30. Unora, za predpokladu, ze je Mesic v uplnku".

[Michal Kubeček]

Zkušenost ukazuje, že je zatraceně velký rozdíl mezi tím, když o chybě ví pár black hatů, kteří se zaměřují spíš na konkrétní cíle a snaží se chovat pokud možno nenápadně, a když za to po zveřejnění vezme armáda script kiddies a začne s kobercovým bombardováním. Tím nechci říct, že se má tajit všechno, ale spíš že přístup "full disclosure, všechno, hned" má taky své mouchy. IMHO je potřeba případ od případu důkladně zvážit, jestli bug zveřejnit hned nebo nějakou (a jakou) dobu počkat.

[j]

Nikoli, ja to vidim zhruba tak, ze se prave reklo neco jako "jeden z municaku ma v plote diru jak krava, ale kterej to je, vam reknem az za 3 nedele" .... ovsem, pokud zvednu zadel a pojedu se podivat, tak ho mam slusnou sanci najit.

BTW: On nekdo pouziva sambu po netu? Naprimo? Bez nejakyho tunelu? Nejak si moc nedovedu predstavit jak na to utocit jinak, nez z interni site.

BTW2: Jo, a taky se reklo (logicky dovoditelne faktum), ze zaplatu mame, ale nedame, protoze by se z ni zjistilo, kde tesar nechal diru.

[Michal Kubeček]

ovsem, pokud zvednu zadel a pojedu se podivat, tak ho mam slusnou sanci najit.

Fajn, tak to tedy zkuste. Jsem zvědavý, jestli to stihnete.

Jo, a taky se reklo (logicky dovoditelne faktum), ze zaplatu mame, ale nedame,

Z čeho konkrétně je to logicky dovoditelné?

[trekker.dk]

BTW: On nekdo pouziva sambu po netu? Naprimo? Bez nejakyho tunelu? Nejak si moc nedovedu predstavit jak na to utocit jinak, nez z interni site.

http://kb.wedos.com/cs/disk/smb.html

Mám za to, že útok na počítačový systém je trestný čin a nabádání k trestnému činu taky, takže to dělat nebudu. Ale pokušení by bylo, to zase jo.

[Michal Kubeček]

Ono je hlavně naivní v dnešní době, kdy i když pominu chyby v prohlížečích, flashi a dalších nástrojích, zůstávají pořád uživatelé ochotni stahovat a spouštět cokoli z naprosto absurdních pohnutek, spoléhat na to, že ve vnitřní síti jsou vždy jen "ti hodní".

[j]

To neni o tom, ze tam sou nejaci "hodni", to je o tom, ze jich tam je o par radu min a tudiz i o tech par radu klesa ... pravdepodobnost.

[Filip Jirsák]

Navíc tohle je termín nejbližšího záplatovacího úterý u Microsoftu, takže je logické, že dřív oprava vydána být nemůže. Zveřejnit v čem přesně je problém vydáním nové verze Samby a nechat uživatele Windows na pospas hackerům by nebylo zrovna šťastné řešení. Zvlášť když drtivá většina uživatelů Samby jsou zároveň uživatelé Windows.

[Jendа]

Ale to je problém MS, že vydává záplaty jen při konjunkci Marsu s Venuší.

[hrrr]

+1

[chrono]

Už niekoľko krát tu bolo napísané, že nie každý môže inštalovať aktualizácie a reštartovať kedykoľvek.

[Jendа]

A co takový člověk bude dělat, když sem bez optání pastnu 0day na sshd?

[j]

Bude v pici ... a nebo stejne jako kazdej svepravnej clovek zvazi, jak moc ho to ohrozuje, a pripadne prijme opatreni => trebas docasne to ssh omezi.

Ale je pro nej daleko lepsi byt v nevedomosti a nechat se masirovat, idealne managorstvem, ktery si nekde na nove pusti uzasne nejpravdivejsi zpravodajsvi, a druhej den mu zacne mejt hlavu tim, ze prej je neco deravyho a ze by stim asi mel neco delat.

[Filip Jirsák]

Postaví se na levé ucho, bude zpívat Pozor boty! a popíjet u toho Martini. (Z nepravdy plyne cokoli.)

[Jendа]

Co je nepravda? Že se stává, že někdo vypustí exploit bez předchozího varování?

[Filip Jirsák]

Vy jste nepsal o někom, vy jste psal o sobě. Navíc tady diskutujeme o chybě, u které není známo, že by existoval exploit. Což je přesný opak vašeho příkladu s existujícím exploitem.

[Jendа]

Ach jo.

Co takový člověk bude dělat, když někdo bez optání vypustí červa zneužívajícího chybu, od jejíhož objevení ještě neproběhlo druhé úterý v měsíci?

[Filip Jirsák]

Zanalyzuje situaci, zjistí, jak vážný je problém, zda může použít nějakou záplatu, zda Microsoft vydal mimořádnou aktualizaci. Každopádně tohle zatím není ten případ. A pokud by náhodou někdo tu chybu objevil před zveřejněním, to současné prohlášení nijak nebrání přepnout řešení do režimu 0day exploit.

Každopádně z vašich komentářů soudím, že stav, kdy je znám 0day exploit, je horší, než stav, kdy 0day exploit znám není. Já si to myslím také. Dnes jsme v tom druhém stavu, předčasné zveřejnění záplaty by nás prakticky převedlo do prvního (tedy horšího) stavu.

[kralyk z abclinuxu]

Dnes jsme v tom druhém stavu, předčasné zveřejnění záplaty by nás prakticky převedlo do prvního (tedy horšího) stavu.

Vydání záplaty že by bylo to samé co zvěřejnění 0-day exploitu? Se mi úplně nezdá tato úvaha

[Filip Jirsák]

Ta úvaha, co se vám nezdá, je vaše. Moji úvahu máte o řádek nad tou svou, sám jste ji tam nakopíroval.

[kralyk z abclinuxu]

Nerozumim. Jak se teda liší vydání těch záplat řekněme třeba 30.3. od vyadání záplat 12.4.?

Z mého pohledu to první je lepší, protože je menší šance, že na to někdo přijde nezávisle a vytvoří 0-day.

[Filip Jirsák]

Pravděpodobnost, že někdo dokáže chybu prakticky zneužít, extrémně vzroste v okamžiku zveřejnění opravy – protože z opravy půjde snadno zjistit, v čem byl problém. Problém se vyskytuje v Sambě a Windows, tudíž je potřeba zveřejnit opravy pro obojí najednou – pokud by se oprava pro jednu aplikaci zveřejnila dřív, ohrožuje to tu druhou aplikaci. Termín pro vydání opravy Windows je znám, vydat opravenou Sambu ve stejném termínu není žádný problém, takže je to nejlepší varianta. Navíc – protože je chyba v protokolu – je možné, že by opravená Samba s neopravenými Windows nefungovala, takže dřívější vydání Samby by nejen ohrozilo uživatele Windows, ale také by rozbilo funkčnost uživatelům Samby.

[kralyk z abclinuxu]

Pardon, ale já jsem se neptal, čím by se lišilo vydání záplaty pouze pro jeden systém a pro druhý později. Ještě nejsem tak úplně idiot a umím si představit důsledky takového postupu Ptal jsem se:

Jak se teda liší vydání těch záplat řekněme třeba 30.3. od vyadání záplat 12.4.?

Tím bylo pochopitelně myšleno vydání záplat pro oba systémy.

[Filip Jirsák]

Vydání záplat pro oba systémy 30. 3. 2016 by bylo vydání záplaty v nestandardním termínu, se kterým nikdo nepočítá, takže by to byla komplikace, a průměrná doba mezi okamžikem vydání záplaty a její skutečnou aplikací by byla delší, než při vydání záplaty ve standardním termínu 12. 4. 2016. Přínos vydání té záplaty v dřívějším termínu by bylo ošetření hypotetické situace, že už o té chybě někdo ví a nenápadně ji hromadně zneužívá. Myslím, že také vidíte ten rozpor mezi „nenápadně“ a „hromadně“.

[kralyk z abclinuxu]

Nevidím důvod, proč by termín 30.3. měl být jakkoli méně "standardní" než 12.4. Nebo už si MS standardizoval i univerzálně platné dny vydávání bezpečnostních záplat?

[Filip Jirsák]

Už jsem to tady psal několikrát – standardní termín pro vydání záplat na produkty společnosti Microsoft je druhé úterý v měsíci. Platí to tak už nějaký pátek, a zřejmě to ještě nějaký pátek vydrží. Každý, kdo se stará o provoz produktů Microsoftu s tímhle termínem počítá. Může se vám to nelíbit, můžete s tím nesouhlasit, nemusíte to chápat, ale to je asi tak všechno, co s tím můžete dělat.

[kralyk z abclinuxu]

Ale jo, mně šlo spíš o to, že co se toho data týče, není to ani tak o bezpečnosti (admini MS systémů jistě umí aplikovat záplaty i v jiný den než úterý), ale o tom, že se prostě MS vyšlo vstříc. (Což neříkám, že je špatně, nakolik to můžu posoudit, tak není.)

[Filip Jirsák]

Nejde o to, jestli umí, ale jestli mohou. S tím, že vyjdou záplaty 12. 4. 2016 každý počítá. Pokud by teď bylo oznámeno, že záplaty vyjdou 30. 3. 2016, někde by to znamenalo třeba přeplánovat odstávky, někomu zrušit dovolenou, někde by se musela hledat náhradní řešení, jak bez záplaty přečkat až do nějakého vhodného termínu (v nehorším případě až do toho 12. 4.). Ve výsledku by se tedy prodloužila průměrná doba od zveřejnění záplaty do její aplikace. Přičemž přínos takového kroku by nebyl žádný. V důsledku tedy jde o bezpečnost, protože se tím na možné minimum zkrátí doba, kdy bude veřejně znám princip zranitelnosti ale ještě nebudou aplikované záplaty.

[kralyk z abclinuxu]

Linuxoví nebo jiní admini s tím naopak nepočítají a musí teď doufat, že nikdo tu chybu neobjeví do 12.4. Takže stále to vnímám jako vyhovění MS, případně jejich zákazníkům, aby si chudáci nemuseli přeplánovávat patchování... Zatímco všichni ostatní se musí přizpůsobit plánu MS.

[Filip Jirsák]

Nemusí doufat. Jak už jsem psal, to, že byla záplata oznámena na 12. 4., nezabraňuje vydat ji dřív, pokud by se ukázalo, že chyba je již aktivně zneužívána.

Pro uživatele Samby a Windows je nejlepší, pokud záplata bude vydána 12. 4. Pokud vám tolik vadí, že to datum vychází z termínu určeného Microsoftem, protože Samba žádné přesné termíny vydání záplat nemá a tudíž je pro ni 12. 4. stejně vhodné datum, jako kterékoli jiné, je to váš problém.

[kralyk z abclinuxu]

Datum od MS mi nevadí, oni zřejmě občas vydávají patche i poslední úterý - to by v tomhle případě IMHO bylo na místě. Jestliže trvají na 12.4., tak si měli IMHO buď zveřejnění téhle informace nechat na max. pár dní předtím, nebo pouze říct "Připravte se, 12.4. zveřejníme velice důležitou záplatu, tak s tím počítejte". Takhle všichni vědí, v jakém SW chyba je a mají dokonce i přibližné informace, čeho se zhruba týká, a k tomu navíc vědí, že nic nebude patchnuto ještě tři týdny. To je pro jisté skupiny přímo ideální situace. Pravděpodobně už na tom makají celé týmy.

Trochu hazard ze strany MS.

No, nezbývá než doufat, že to do toho 12.4. nesthinou...

[Michal Kubeček]

Jestliže trvají na 12.4., tak si měli IMHO buď zveřejnění téhle informace nechat na max. pár dní předtím, nebo pouze říct "Připravte se, 12.4. zveřejníme velice důležitou záplatu, tak s tím počítejte".

Marně přemýšlím, kdo je v tomto souvětí podmětem. Termín vychází z potřeb Microsoftu, ale oznámení provedl vývojový tým Samby.

Ale jinak souhlasím, že s ohledem na CRD 12.4. by bylo mnohem ohleduplnější a celkově vhodnější, kdyby veřejné oznámení proběhlo později a méně barnumským způsobem. A to už vůbec nemluvím o prohlášeních jako

What branded bugs are able to achieve is best said with one word: Awareness. Furthermore names for bugs can serve as unique identifiers, other than different CVE/MS bug IDs.

Ten bug dost možná ještě pořád nemá přidělené CVE id - nebo ho aspoň nikdo nezveřejnil.

Takže jakkoli tady vystupuji proti názoru, že se mělo všechno zveřejnit hned a naplno, naprosto souhlasím s tím, že způsob oznámení je velmi nešťastný a troufám si říct, že i nezodpovědný.

[Filip Jirsák]

Datum od MS mi nevadí, oni zřejmě občas vydávají patche i poslední úterý - to by v tomhle případě IMHO bylo na místě.

V případě, kdy je zranitelnost aktivně zneužívána, vydává Microsoft – stejně jako kdokoli jiný – co nejdřív. V současné době ale nikdo nemá informace o tom, že by tahle chyba byla aktivně zneužívána, takže není důvod to celé komplikovat dřívějším termínem vydání.

tak si měli IMHO buď zveřejnění téhle informace nechat na max. pár dní předtím

Jediný, komu to dřívější zveřejnění vadí, jsou někteří internetoví diskutéři – a ti by úplně stejně remcali, kdyby se dozvěděli, že se o chybě vědělo už dříve, ale tajila se i její existence.

nebo pouze říct "Připravte se, 12.4. zveřejníme velice důležitou záplatu, tak s tím počítejte".

Což se přesně stalo.

Takhle všichni vědí, v jakém SW chyba

Bez toho to nejde. To měl jako Microsoft oznámit, že v příští várce oprav bude i jedna oprava, o které zatím nechce říct nic dalšího, a že ve stejný termín bude zveřejněna i oprava nějakého software používaného na unixech? Lidem, kteří se na to potřebují připravit, by to neřeklo vůbec nic, ale ty konspirační diskuse, to by stálo za to.

mají dokonce i přibližné informace, čeho se zhruba týká

Ví se akorát software, který se vědět musí. Další už jsou jenom spekulace na základě toho, co má ten software společného. Pokud někdo na něco usuzuje podle názvu chyby, nechci radši vědět, jak by spekuloval o chybě nazvané heartbleed.

k tomu navíc vědí, že nic nebude patchnuto ještě tři týdny

Nevědí. Pokud by ta chyba začala být aktivně zneužívána, záplata se nepochybně zveřejní dřív, protože by nebyl důvod čekat.

To je pro jisté skupiny přímo ideální situace. Pravděpodobně už na tom makají celé týmy.

Proč by celé týmy makaly na chybě, o které už teď vědí, že jim za tři týdny bude k ničemu? Ano, pro jisté skupiny je to ideální situace – vědí, že touhle chybou už nemají ztrácet čas, a mají hledat jiné chyby, které budou moci zneužít i déle než za tři týdny. Tahle chyba by se hodila pouze někomu, kdo by chtěl zaútočit na nějaký konkrétní cíl (protože by neriskoval, že se zjistí, že se chyba aktivně zneužívá a záplaty budou vydány dříve) – jenže dotyčný by opět riskoval, že tu chybu nestihne za tři týdny najít nebo zneužít, a také to, že chybu sice najde, ale v jeho cílovém prostředí ji nedokáže zneužít.

Trochu hazard ze strany MS.

Právě naopak. Microsoft minimalizuje praktický dopad té chyby. Protože jediné, co hrozí, že tu chybu někdo objevil už dříve, zneužívá jí v malém (k útoku na nějaké konkrétní cíle) – a v takovém případě dotyčný dostane tři týdny k dobru (přičemž tu chybu může zneužívat už roky). Pokud by tu záplatu zveřejnil ukvapeně, dá tím do rukou nástroj pro scriptkiddies, který mohou použít pro plošný útok. Protože ti tu chybu budou zneužívat stejně, takže předčasným zveřejněním by dostali jen bonus v podobě spousty snadných cílů do začátku. Spousta systémů zůstane nezazáplatovaných, protože jsou to buď neudržované Windows, a také spousta domácích krabic až krabiček – dneska umožňují sdílet soubory po síti i záložní baterie, takže Sambu najdete v NASech, WiFi routerech, powerbankách… Takže ony ty tři týdny nejsou jen pro administrátory Windows, ale také pro všechny distributory Samby. Myslím, že když mají být Ubiquiti, MikroTik, TP-Link, D-Link, Zyxel, Tenda, Synology, QNAP a další připraveni vydat aktualizace firmware pro polovinu svých produktů, jsou pro ně tři týdny žalostně málo.

No, nezbývá než doufat, že to do toho 12.4. nesthinou...

Jak už jsem psal, to, že je oprava oznámena na 12. 4., neznamená, že nemůže být vydána dříve, pokud chyba začne být aktivně zneužívána.

[kralyk z abclinuxu]

Jediný, komu to dřívější zveřejnění vadí, jsou někteří internetoví diskutéři – a ti by úplně stejně remcali, kdyby se dozvěděli, že se o chybě vědělo už dříve, ale tajila se i její existence.

No ještěže se najde diskutér, který si vymyslí prakticky jakékoli důvodu pro to, aby vysvětlil těm prvním diskutérům, proč jenom remcají No nic, já už to nechám bejt, jestli chceš dál vysvětlovat někomu, že zbytečně remcá, pokračuj s p. Kubečkem nebo dalšími...

[trekker.dk]

Volně přeloženo protože existují tací, co nepočítali s tím, že závažná chyba se může obejvit kdykoliv, tak jsou zbytečně ohroženi i ti, kdo s tím počítali a jsou na takovou možnost připravení. To je fér.

Na druhou stranu to není ani první, ani poslední případ, kdy se připravenost a poctivá práce nevyplácí, zatímco lemply někdo drží za ručičku, aby si náhodou nerozbili kolínko.

[Jendа]

Dnes jsme v tom druhém stavu, předčasné zveřejnění záplaty by nás prakticky převedlo do prvního (tedy horšího) stavu.

Domluvené zveřejnění záplaty za tři týdny nás tam dovede taky. Možná by bylo lepší to tutlat navždy.

[Michal Kubeček]

Ne, nedovede. Při odtajnění v dohodnutém termínu budou připravené distribuční balíčky tak, aby je bylo možné téměř okamžitě vydat. Kdyby to někdo zveřejnil teď, budou muset všichni narychlo dávat dohromady balíčky pro všechny vydané verze a architektury distribucí, omezovat nebo úplně vynechávat QA atd. Pár anarchistů by z toho asi mělo škodolibou radost, ale globálně by to nikomu a ničemu neprospělo. Tedy kromě těch script kiddies.

[Jendа]

A distribuční balíčky se dělají tři týdny? U podobných chyb v minulosti to IIRC byly 2-3 dny.

[Michal Kubeček]

A distribuční balíčky se dělají tři týdny?

Kde jsem něco takového tvrdil? Hned na začátku jsem psal, že tři týdny jsou nezvykle dlouhá doba (i když mezitím vysvětlená, že se to vysvětlení někomu nelíbí, to je jeho problém).

U podobných chyb v minulosti to IIRC byly 2-3 dny.

Čemu podobných? Ty máš snad nějaké zákulisní informace, že víš, které byly podobné chyby v minulosti? Ale i kdyby, pokud by teď hned někdo leaknul informace, které by stačily k tomu, aby se během pár hodin začal šířit snadno použitelný exploit, byly by to zatraceně dlouhé 2-3 dny. Pokud k odtajnění dojde v dohodnutém termínu, mohou mít všichni připravené a otestované balíčky, takže vydání bude podstatně rychlejší. A kdo ne, bude si za to moci sám.

Okamžitá full disclosure má smysl tam, kde je bug méně závažný, nebo je naopak závažný hodně, ale je důvod si myslet, že už je aktivně zneužíván. Diskuse, jestli embargovat security bugy, je asi věčná a je na tom asi tak jako diskuse typu KDE nebo Gnome: spoustě lidí je odpověď naprosto jasná, jen jaksi ne každému stejná. Předčasný leak u bugu se stanoveným CRD je ale ten vůbec nejhorší scénář.

[kralyk z abclinuxu]

Tak nikdo to asi nechce zveřejňovat teď. Ale zas za 3 týdny?

[Michal Kubeček]

Odpovídal jsem na příspěvek, který tvrdil, že zveřejnění ve stanoveném termínu je v podstatě stejné jako zveřejnění teď. Co se tří týdnů týká, vysvětlení už tu padlo.

[kralyk z abclinuxu]

Odpovídal jsem na příspěvek, který tvrdil, že zveřejnění ve stanoveném termínu je v podstatě stejné jako zveřejnění teď.

Tohle nemůžu nikde v předchozích komentářích najít...

[Michal Kubeček]

Jenda, včera 23:58.

[xkucf03]

Nesmysl. Pokud děláš něco tak kritického, tak se odpoj od Internetu a zavři se někde ve sklepě.

[Filip Jirsák]

MS nevydává záplaty nahodile, jak se snažíte naznačit, ale právě naopak – vydává je pravidelně každý měsíc v termínu, který je znám dlouho dopředu.

Ona totiž existují některá prostředí, kde se dodržují určité postupy. A součástí těch postupů bývá, že se odstávky předem plánují, uživatelé jsou o nich informováni, a IT oddělení tomu například přizpůsobí rozpis služeb. V takovém prostředí se hodí vědět, že 13. prosince 2016 budou vydány záplaty na produkty Microsoftu.

Samba je nástroj zaměřený především na uživatele Windows – pravděpodobně bude minimum sítí, kde je provozována Samba, a nepřipojuje se k ní jediný počítač s Windows. Takže pokud má někdo s Microsoftími záplatovacími úterky takový problém, že raději nepoužívá žádný software od Microsoftu, není nejspíš ani uživatelem Samby a celý ten problém se jej vůbec netýká.

[Jendа]

MS nevydává záplaty nahodile, jak se snažíte naznačit

To mělo znamenat „jednou za dlouho“, ne „nahodile“, polohu planet jde taky spočítat dopředu ;)

Ona totiž existují některá prostředí, kde se dodržují určité postupy. A součástí těch postupů bývá, že se odstávky předem plánují, uživatelé jsou o nich informováni, a IT oddělení tomu například přizpůsobí rozpis služeb.

Co se v takových prostředích dělá, když se po Internetu začne ve středu po druhém úterku v měsíci šířit červ zneužívající novou díru? Čeká se měsíc?

[Michal Kubeček]

Just patch! :-)

[j]

Ceka se nejmin 1/2 roku, protoze mozna patej pokus M$ zaroven nezpusobi jako vedlejsi efekt navic jeste ztratu dat nebo jiny udaloste.

Sem se trebas dozvedel od EMC(v jejich polich sou bezny desktopovy widle), ze system, kterej vubec netusi, ze existuje nejaky diskovy pole, na to pole zapsal "logicky spravnou chybu", a proto ze prej to pole hlasi chybu parity a vadny disky ... ktery vlastne vadny nejsou ...

A tohle je vysledek prace "4hodinovyho" supportu po 14 dnech.

[Lol Phirae]

MS nevydává záplaty nahodile, jak se snažíte naznačit, ale právě naopak – vydává je pravidelně každý měsíc v termínu, který je znám dlouho dopředu.

Ano. A za dalších 14 dní další záplaty (obvykle ne bezpečnostní), a mezitím záplaty záplat záplat na to, co zkurvil těmi předchozími záplatami. A do toho nepravidelně tu a tam nějaká záplata na Adobe Flash, kteroužto sračku ta banda magorů neodstranitelně zadrátovala do systému, nebo třeba na nějakou potisící se opakující díru v Office nebo IE, kterou nikdy neopraví pořádně, ač se o to snaží už dvacet let.

Ona totiž existují některá prostředí, kde se dodržují určité postupy. A součástí těch postupů bývá, že se odstávky předem plánují, uživatelé jsou o nich informováni, a IT oddělení tomu například přizpůsobí rozpis služeb. V takovém prostředí se hodí vědět, že 13. prosince 2016 budou vydány záplaty na produkty Microsoftu.

Ano. A v žádném z takových prostředí nikdo ty záplaty nikam nehrne, protože než proklikají každoměsíční stovky záplat, aby zjistili, co vůbec dělají, než počkají pár dní na to, než se MS uráčí vůbec vytvořit k některé záplatě KB a než z bezcenného popisu vyluští, co tím básník chtěl říct, tak je pátek. Po víkendu to nasypou na pár testovacích strojů a začnou zvonit telefony nasraných uživatelů, kterým už počítač nenaběhl, nebo jim nefungují fonty, nebo jim nejde spustit Outlook apod. No, a když to hodně dobře jde, tak za 14+ dní se to dá reálně nasadit.

Samba je nástroj zaměřený především na uživatele Windows – pravděpodobně bude minimum sítí, kde je provozována Samba, a nepřipojuje se k ní jediný počítač s Windows. Takže pokud má někdo s Microsoftími záplatovacími úterky takový problém, že raději nepoužívá žádný software od Microsoftu, není nejspíš ani uživatelem Samby a celý ten problém se jej vůbec netýká.

No, hlavně bude minimum příčetných lidí, co by tu notorickou díru vystavovali do Internetu. Takže jim to je úplně jedno a celý tenhle tyjátr s logem ze zlomeným zámečkem a související pyj-ár kampaní je jim naprosto k ničemu.

[Jendа]

No, hlavně bude minimum příčetných lidí, co by tu notorickou díru vystavovali do Internetu.

I útoky z lokální sítě můžou být zajímavé…

[j]

Muzou, ale pokud mas utocnika v lokalni siti, tak mas ponekud vetsi problem nez deravou sambu.

[Lol Phirae]

No, hlavně bude minimum příčetných lidí, co by tu notorickou díru vystavovali do Internetu.

I útoky z lokální sítě můžou být zajímavé…

Tak jistě. Nicméně před malou šancí, že na mě bude někdo útočit přes LAN a hodem korunou, jestli si naprosto kriticky rozeseru file servery, zálohování, replikace a bůhvíco dalšího nasazením naprosto neotestované záplaty, si teda na 300 procent vyberu to první.

[Petr Tomášek]

Samba je nástroj zaměřený především na uživatele Windows – pravděpodobně bude minimum sítí, kde je provozována Samba, a nepřipojuje se k ní jediný počítač s Windows.

No, tak to je pěkný žvást, samozřejmě, že existuje spousta instalací Samby bez jediného PC s Windows - např. proto, že některé tiskárny jedné debilní značky neumožnují scannovat do FTP složky...

(Navíc, je velikou otázkou, zda-li chyba postihuje i klienty nebo jenom servery...).

Každopádně nevidím důvod, proč čekat na Mrkvoshit...

[Mti.]

Ten duvod je snad jasny, ne? Samba je implementaci protokolu, ktery navrhl a pouziva MS. I ten clovek, co chybu nasel, pokud sem dobre cetl, to nahlasil MS, protoze to (asi?) neni jen chyba samby, ale navrhu(?) a postihuje to i implementaci z windows.... a pry dokonce kooperuji.

Pokud by MS podrazili, priste muzou cekat oni totez. Osobne si myslim, ze v tomto pripade "pockat" na MS je vic nez jen slusnost. Na aroganci a naschvaly je casu dost. (zrovna u projektu jako je samba bych toto chovani povazoval za rozumne)

Predpokladam, ze az bude zverejnen podrobnejsi popis chyby, muzeme se k tomu vyjadrit konkretneji.. takhle je tu tech 50 komentu jen o tom kdo ma vetsi kristalove koule.

[Michal Kubeček]

Ono je potřeba strhnout ideologické brýle a přestat si nalhávat, že děláním naschválů MS může projekt jako Samba něco získat. Stačí si vzpomenout, jaké problémy s kompatibilitou a s implementací nových featur měla Samba předtím, než se podařilo s Microsoftem navázat aspoň nějakou spolupráci. Někteří fundamentalisté by se možná do té doby rádi vrátili, ale jsem docela rád, že vývojáři Samby ne.

[Filip Jirsák]

Navíc není úplně nepravděpodobné, že v tomto případě by dřívější vydání „opravené“ Samby byl naschvál především uživatelům Samby – protože uživatelům Windows by hrozilo, že je někdo napadne, zatímco uživatelům Samby by to jednoduše rovnou nefungovalo.

Víme, že chyba postihuje Sambu i Windows. Samba s Windows nesdílí žádný kód, takže nejde o programátorskou implementační chybu typu přetečení bufferu (takže hodně štěstí všem, kteří chybu hledají v kódu Samby). Chyba je v něčem, co spolu Windows i Samba sdílejí, tedy v protokolu. A tady už záleží na tom, v čem přesně ta chyba spočívá. Může to být něco, co se jen upřesní ve specifikaci a současné „hodné“ implementace budou dál fungovat bez problémů i s opravenými verzemi software. Také to ale může být chyba způsobená tím, že nějaký příkaz je navržen od základu špatně, a jediná možnost, jak to opravit, je přestat ten příkaz používat a navrhnout místo něj jiný příkaz, který bude správně. V takovém případě by dřívější vydání Samby znamenalo to, že daný příkaz jednoduše přestane fungovat – a záleželo by jenom na tom, jak často je ten příkaz používaný.

[Michal Kubeček]

Samba s Windows nesdílí žádný kód, takže nejde o programátorskou implementační chybu typu přetečení bufferu (takže hodně štěstí všem, kteří chybu hledají v kódu Samby).

To se tak úplně automaticky tvrdit nedá. Existují situace, kdy se určitá chyba "sama nabízí", takže není až tak nepravděpodobné, že stejnou chybu udělají dvě implementace vzniklé nezávisle.

[Filip Jirsák]

Navíc, je velikou otázkou, zda-li chyba postihuje i klienty nebo jenom servery...

Na tuto velikou otázku lze snadno najít odpověď například po přečtení zprávičky, pod kterou diskutujete. Windows i Samba implementují klienta i server, linuxové jádro implementuje pouze klienta, zranitelná jsou Windows a Samba – tudíž chyba se bude opravovat pouze na serveru.

[Michal Kubeček]

Ani tohle není úplně jasné. Samba už dlouho není jen CIFS, takže se nedá říct, že klientská část je jen v jádře.

[Filip Jirsák]

Já jsem ale nenapsal, že klientská část je jen v jádře – napsal jsem, že klientská část je i v jádře.

[Michal Kubeček]

To je sice pravdivé tvrzení, ale vůbec z něj nevyplývá, že se problém klientů týkat nemůže.

[rastos]

MS nevydává záplaty nahodile, jak se snažíte naznačit, ale právě naopak – vydává je pravidelně každý měsíc v termínu, který je znám dlouho dopředu.

when Windows 10 comes out, Microsoft is planning to change the update system. Instead of releasing a big chunk of updates all at once on a pre-set date every month, the company plans to make them available to users throughout the month as they’re ready.

http://www.gfi.com/blog/no-more-patch-tuesday/

[pc2005]

+1

[Rachejtle]

Mám rád, když chyby mají vlastní domény. Ještě hodinové talkshow v primetime nebo aspoň týden točit na bannerech na Times Square.

[sid]

suhlas, navrhujem ako dalsi krok zapojit nejakeho chytreho asistenta a umoznit aby si hocikto mohol v reale "pokecat" s bugom. Napr kao sa citi ked je konecne odhaleny atd. s tym, ze dementi co vymyslaju tieto stranky uz urcite vhodne temy doplnia.

[Petr Tomášek]

We are grateful to the Heartbleed team to use their template.

HA HA HA HA HA

[Petr Tomášek]

No, takže debilní mrkvosoft takhle sere na bezpečnost. Místo toho, aby se vydaly updaty za pár (3-5) dní, tak se bude idiotsky čekat 3 týdny ((

[Filip Jirsák]

Microsoft takhle pomáhá tomu, aby záplaty po zveřejnění mohly být co nejrychleji nainstalovány. Protože po zveřejnění záplaty už bývá snadné zjisti, jak chybu zneužít.

Vy si svůj domácí počítač můžete zaktualizovat, kdy vás napadne. Ale jsou systémy, které musí splňovat nějaké SLA a není možné je odstavit z ničeho nic hned, jak si někdo vzpomene, že vydá nějakou aktualizaci. Každý, kdo používá software od Microsoftu, a musí odstávky plánovat, už s pravidelnými záplatovacími úterky počítá.

[j]

A ty si jirsak naivne myslis, ze nejakej svepravnej admin isntaluje zcela libovolny zaplaty od M$ driv nez za par tejdnu? Az se pripadne provali, co za prusery to kde pusobi?

V pameti mam trebas uzasnou aktualizaci "zabezpeceni", ktera zpusobila, ze otevrit v opicich cokoli po siti (ano, pres sambu) znamenalo si 1/2 hodiny pockat ...

[biolog]

Nevím jak Filip Jirsák, ale já si to myslím - ale ne naivně. Admini Windows se se systémem nebabrají, takže půlka z nich záplaty neinstaluje nikdy, půlka je nechává nainstalovat automaticky. Automaticky lze instalovat buď snadno přepnutím combo-boxu (pak je to do 24 hodin) nebo zprovozněním Windows Server Update Services (tj. práce), pak se dá nastavit po jaké době se nainstaluje sama. Hádejte kterou možnost ta půlka zvolí.

(To platí pro bezpečnostní záplaty. Obyčejné opravy se defaultně neinstalují.)

Záplatu není potřeba revertovat skoro nikdy. A když už, tak to není katastrofa, jen opruz.

[Lol Phirae]

Záplatu není potřeba revertovat skoro nikdy. A když už, tak to není katastrofa, jen opruz.

Tak pochopitelně, za poslední cca 2 roky si pamatuju 4 záplaty týkající se OTF fontů. Jedna skončila BSOD a nenabootovatelným strojem, dvě tím, že jakékoliv OTF fonty byly nepoužitelné v aplikacích jako je Corel, Quark nebo Adobe. Nadšení grafiků z podobných záplat samozřejmě nezná mezí. Ta poslední size nějakým zázrakem nerozbila nic, nicméně již od té první přetrvává bug způsobující nemožnost aktualizovat jakýkoliv používaný font umístěný mimo %SystemRoot%\Fonts mimo nouzový režim - což je velká paráda. Asi to již nikdy nikdo neopraví.

Nedávno např. MS distribuoval záplatu, která totálně rozbila Outlook a síťové přihlašování. O měsíc později ten Outlook rozbili znova. O dva měsíce později super záplata typu CPU benchmark pro Office - Word, Excel nepoužitelné.

No, a takhle bysme si tady mohli psát ještě několik měsíců. Automaticky instalovat aktualizace od MS ve firmě dneska může skutečně akorát sebevrah a doma masochista, kterému k tomu ještě nacpou měsíc co měsíc novou verzi spamu nabízejícího aktualizaci na W10 teď hned nebo až večer.

[Petr Tomášek]

Tak ten sračkoidní systém nepoužívej a budeš v klidu...

[multi]

Někteří instalace záplat radši vypínají a radí to i dalšim, protože jejich instalace je takový oser, že málo kdo má na to je instalovat.

[Rachejtle]

Filip Jirsák je nějaká přzdívka pro partu blbů nebo to zvládne vymýšlet a psát jeden člověk?

Systémy které jsou důležité a mají nějaké skutečné garance neběží na čemkoliv od Microsoftu a většinou se dají po částech bez přerušení služeb aktualizovat.

[j]

Systemy ktery bezej na widlich se preventivne restartujou minimalne denne, nekdy i castejs. Zkus si nechat trebas takovy IISko bezet mesic ... specilne kdyz na tom bezi nejaka ta ASP.NET sragora ... nejen ze ti nebude ani 200GB ram stacit...

[Tomas]

Myslim, ze tys windows server v zivote nevidel... A jedine co tu ventilujes, jsou historky z hospody (aneb adminska latina)

[j]

Jsem si jistej, ze tys vzivote nevidel widle ... ja tu tech serveru na widlich mam cca 30. A denne se restartuje polovina z nich. Ta druha sou prevazne testovaci a nepodstatny.

[Tomas]

Tomu, cos napsal, opravdu veris?

[Jendа]

Tak to asi budou mít děravý…

[pc2005]

Ale jsou systémy, které musí splňovat nějaké SLA a není možné je odstavit z ničeho nic hned, jak si někdo vzpomene, že vydá nějakou aktualizaci.

Výmluvy :-P

[Petr Tomášek]

To, že to Mrkvosoft dělá neprofesionálně a debilně ještě nemusí znamenat, že to musí vnutit i ostatním systémům.

Čekat 3 týdny na upgrade je totální zmrdovina a neomluvíte to ničím!