Bezpečnostní chyba CVE-2019-3462 v APT

V balíčkovacím systému APT používaném v Debianu a z něj vycházejících linuxových distribucích byla nalezena bezpečnostní chyba CVE-2019-3462. Útočník může vzdáleně spustit libovolný příkaz pod právy roota.

22.1.2019 17:22 | Ladislav Hagara | Bezpečnostní upozornění

Komentáře

[trekker.dk]

Před půl rokem, možná rokem, se v mailové konferenci debian-security někdo ptal, jestli by nebylo dobré mít archivy dostupné přes HTTPS. Odpověď: "není třeba, balíky jsou podepsané, instalace podvrženého balíku není možná."

[Ladislav Hagara]

Chris Lamb, vedoucí projektu Debian, má registrovanou přímo doménu whydoesaptnotusehttps.com.

[trekker.dk]

Hm, možná by měl na tom webu nastavit HTTP 503 a měsíc chodit kanálama...

[R]

Ako HTTPS vyriesi tento problem (bug v kode)?

[Jendа]

Nemůže to exploitnout kdokoli po cestě, ale jenom mirror nebo někdo kdo umí zfalšovat jeho důvěryhodný certifikát.

[zrovna jedu vlakem]

Neni to ta distribuce co si kdysi zabugovala openssl?

[Xerces]

Tak opraví apt a pohoda ne? Tahat kvůli tomu kvanta balíku s https overheadem mi kvůli tomu přijde jako pitomost, když to může řešit bezpečnost jednodušeji by design. Docela jsem háklivej na tyhle ty sekuriťáky co řešeji bezpečnost lepením různých technik ve stylu čím víc, tím líp bez ohledu na efektivitu. Viz trapný pokus vymýtit za každou cenu odevšad http.