Laboratoře CZ.NIC odhalily závažnou zranitelnost linuxového jádra

V rámci vývoje a testování softwaru pro nový router sdružení CZ.NIC – Turris, odhalili členové vývojového týmu nebezpečnou chybu v linuxovém jádře. Ta umožňuje vzdáleně způsobit kernel panic. Pád jádra lze vyvolat posláním vhodně zformátovaných IPv6 fragmentů. Podle názoru Tomáše Hlaváčka z CZ.NIC může být chyba základem pro DoS útoky.

„Ve skutečnosti se jedná o dvě chyby v různých částech linuxového jádra, které mohou nastat při zpracování IPv6 datagramu s nekorektně vyplněným fragmentation headerem. První chyba je známá od května 2011 pod označením CVE-2011-1927 a byla opravena ve verzi 2.6.38.9 linuxového jádra. Nyní však pravděpodobně došlo k regresi této chyby. Druhá zranitelnost nebyla dosud známá a týká se Netfilteru - linuxového firewallu, který sestavuje IP packety. Tuto chybu jsme reportovali v patřičném mailinglistu a spolupracujeme na vytvoření patche s vývojáři linuxového TCP/IP stacku a Netfilteru,“ píše na blogu CZ.NIC Tomáš Hlaváček.

4.11.2013 13:59 | Vilem Sladek | Bezpečnostní upozornění

Komentáře

[drunkezz]

klobuk dole....velmi pekne CZ.NIC Labs..

D>

[Jose]

Parada, uz tohle je dobry vysledek vyvoje toho routeru.

Jinak k te regresi, ono to tak trochu vypada ze nekomu se hodilo tam tu zranitelnost mit tak ji po oprave casem znovu protlacil, ergo, kolik takovych zdanlive opravenych zranitelnosti v jadre existuje ?

[Zdenek Mazanec]

Nepochybne dostatek na to, aby ti znali meli moznost dostat se do libovolneho systemu

[ovoce]

Rychle si obalte server staniolem a ochranou vrstvu zajistěte samolapkami Aštara Šerana.

Ale hlavně nesmíte pít fluorovanou vodu, jinak si budete myslet, že už jste to udělali, zatímco váš systém bude ve skutečnosti zcela nechráněný...

[Mintaka]

Koukám, tenhle ten "OVoCE", zdá se, nikomu nepřeje trochu té zdravé paranoie a to nejen v této diskuzi.

Stojí vám ty pokusy o ironický výsměch za tu energii, nebo vám snad za to někdo platí?

[Vantomas]

Platí http://www.youtube.com/watch?v=SFdr4gWsGog

[pavlix]

Pěkný úlovek.

[Miriam]

Skvěle, nyní už by se snad mohli kernel panicové z CZ.NIC pořádně věnovat správě národní domény.

[alfonz mucha]

Z vašeho příspěvku mám dojem, že snad něco dělají špatně?

[xxxxxxxxxxx]

Náš administrátor shledal tento komentář závadným.

Vulgarismus

Zobrazit komentář

Náš administrátor shledal tento komentář závadným.

Vulgarismy

Zobrazit komentář

[xxxxxxxxxxx]

Náš administrátor shledal tento komentář závadným.

Vulgarismy

Zobrazit komentář

Náš administrátor shledal tento komentář závadným.

Vulgarismy

Zobrazit komentář

[kapo]

Neznalost zakona neomlouva. Vladimir je jeden z mala, co prave takovy lidi za GPL soft plati voe :D

[j]

Tak si bud rad ubozaku, a zaplatit si to bez se svyho. Neokradej o ty prachy lidi, kteri nic takovyho platit nechteji.

[mikirc]

Tak proc platite korupci a uplatky nasich politiku? Nebo je platite rad?

[Ivan]

Kdyz s tim nesouhlasis, tak kandiduj do dozorci rady. Dokonce muzes navrnout, ze budes domeny provozovat sam na kolene. Kecat umi kazdej, dokud neco nepredvedes tak to nikoho zajimat nebude.

PS: ani za .cz domenu platit nemusis. porid si nejakou jinou, kdyz myslis, ze je to jinde lepsi.

[zeff]

jasne, nebo se rovnou stat prezidentem sveta, ty kecale.

[xxxxxxxxxxx]

tak sem nelez ty anonymní špíno....

[Miriam]

Náš administrátor shledal tento komentář závadným.

Vulgární.

Zobrazit komentář

[xxxxxxxxxxx]

Člověk který píše o neexistující smrti někoho kdo má evidentně nějaký psychický problém je morální žumpa a hnůj...

[Miriam]

to seš

[potato]

Jako zbytečně rozvrtávat věci, které fungují, aby se vykazovala požadovaná míra aktivity při správě národní domény?

Děkuji, nechci. Raději ať dělají něco užitečného.

[xxxxxxxxxxx]

Náš administrátor shledal tento komentář závadným.

Vulgární

Zobrazit komentář

Náš administrátor shledal tento komentář závadným.

Vulgární

Zobrazit komentář

[Bedňa]

Na Slovensku správca ND berie len prachy a nič nevyvíja, čo je lepšie?

[Luk]

Co dělají konkrétně špatně při správě národní domény? Podle mých zkušeností dělají v posledních letech naopak prakticky všechno lépe než správci jiných TLD (zejména než správci generických TLD).

[Aleš Kapica]

Taky mám ten pocit.

[jkt]

A poslal to pres Trojitou, pekne :).

[pc2005]

Vida a pak že by se měla aktivita cz.nic (mimo domény) zrušit.

[Miriam]

měla

[pc2005]

A mít neobjevenou díru v kernelu?

[Bedňa]

Tie ČS IT názvy sú úžasné, neviem prečo, ale spomenul som si na moju

[Šangala]

V které díře bydlí?

[Bedňa]

Zrovna to som nemyslel

[kavol]

měla

až příště najdu chybu, co dostane nějaký CVE číslo, můžu si o tom sem napsat zprávičku a budou mě taky všichni vynášet do nebes?

[Luk]

Nejdřív najdi tu chybu a pak se o tom můžeme bavit (aneb jak říká Linus: „Kecat umí každý, ukaž kód!“)

[Michal Kubeček]

Řekl bych, že podstata příspěvku byla ve zdůraznění slova "příště".

[kavol]

chtělo by se říci "bingo"

[kavol]

stačí jedna? - ještě mám jiný věci na práci dneska večer(*) než ábíčkovej flejm, takže se mi nechce prohrabávat vše co jsem kde hlásil :-p

(*) neví někdo, kde zalevno v Brně koupit olej 5W-40 (API CF, ACEA B4, VW 505.0), abych neřešil poštovný a přítomnost na doručení?

[Luk]

A napsal sis tehdy zprávičku? Pokud ne, nestěžuj si, možnost jsi měl

[kavol]

příště

[xkucf03]

Zrovna tohle by chtělo nějak vychytat, aby zprávičky psal někdo jiný (objektivněji) než ten, kdo má odkazovanou věc na svědomí. Jenže nikomu se to asi nechce přepisovat a ověřovat…

[pc2005]

Fakt?

Tak to pak: All glory to hypnotoad kavol.

[kretén jsi ty]

kavol si zaslouží polovinu rozpočtu CZ NIC

[Rovano]

Někde kolem Teslova 15... beru ze sudu...

[kavol]

díky, a za kolik to tam mají a nevzpomeneš si, jak se jmenujou? - Seznam tu adresu nezná, jen ulici

já jsem našel, že e-oleje.cz maj teď pobočku u výstaviště, 84 za litr

[pc2005]

On někdo není vděčný testerům, kteří hledají/hlásí/opravují chyby?

[kavol]

no, asi ne ti, kteří těch chyb využívají

já jenom, že CVEček jsou ročně přiděleny tisíce (od 1.1.2014 se dokonce rozšiřuje číslování na vícemístné), řada z nich v kernelu, a běžně se o nich nedozvídáme touto formou; přičemž DoS jsou jedny z nejběžnějších zranitelností, a na této speciálně neshledávám nicmoc zvláštního, tedy krom toho, že jde o regresi, ale to se taky občas stane ... jako já vím, že témata nejsou omezená, sám jsem si tu nedávno udělal reklamu na docela běžnou věc, kterou jsem chtěl trošku zviditelnit, ale oznámení o tom, že někdo našel další problém (nepříliš závažný, nebavíme se o "všichni okamžitě updatujte!") v síťovém kódu jádra mi přijde už trošku moc - IMHO

[kolemjdoucí]

Nezlob se na mě, ale přijde mi to jako hádání se malých kluků, kdo si víc zaslouží poplácat po zádech. Máš pravdu, že ta objevená chyba není nic extra zvláštního, ale na druhé straně ty se "nemusíš" ospravedlňovat před lidmi jako Dvojité Wéčko, že pobíráš jeho těžce vydělané prachy úplně za nic.

[Miriam]

Náš administrátor shledal tento komentář závadným.

Vulgární

Zobrazit komentář

[Michal Kubeček]

Občas se člověk nestačí divit, co všechno dneska dostane CVE, namátkou si vzpomínám na CVE spočívající v tom, že TCP ISN generovaná pomocí MD4 mají jen 24 bitů entropie. Jenže zákazníci věří, že když je to CVE, tak to přeci musí být důležité, takže je potřeba to opravit a včera bylo pozdě…

[j]

To vis, stovky, mozna tisice lidi ty chyby reportujou gratis a zcela nepovsimnuti, NIC za to vydava desetimiliony, tak se to musi pekne rozmaznout, aby to vypadalo, ze za ty desetimililony taky neco delaj.

[pc2005]

Za objevení toho bugu NIC určitě x10M nevydala. Možná tak za vývoj toho routeru a i tak bych chtěl zdroje.

[trekker.dk]

Ale publicita a možnost ukázat, jak je tvoje práce důležitá, se hodí. Zejména v případě organizací typu CZ.NIC, kde mají zjevně hromadu peněz na rozhazování (a tudíž by ti mohli nějaké přihrát na další důležitou práci.)

[andrej]

este ze tu bajnu IPv6 nepouzivam...

[Bedňa]

NAT RULEZ!

[pavlix]

NAT behind NAT behind NAT rulezzz.

[Luk]

...až se uNATujeme k smrti smrťoucí

[Bedňa]

[Michal Kubeček]

Ano. Ideálem je mít všechny počítače uspořádané lineárně a na každém hopu maškarádu. Tím pádem by stačily i jednobitové adresy, jen by to asi chtělo trochu delší čísla portů…

[Tomas Hlavacek]

Já se obávám, že ta regrese starší chyby se tam dostala právě v důsledku patche, který zaváděl NAT pro IPv6. (Jen reprodukuju, co jsem četl na mailinglistu. Sám jsem ty patche nereviewoval.)

A navíc: NAT je zlo

[Bedňa]

Já se obávám, že ta regrese starší chyby se tam dostala právě v důsledku patche, který zaváděl NAT pro IPv6.

Tak to bude radosti, že NAT ULTRAS dosiahli svoje Načo to bude dobré?

A navíc: NAT je zlo

Ale že sa mu darí