Linux opravil 5 let starou bezpečnostní chybu

Vývojáři jádra opravili v aktualizaci 2.6.35.2 pět let starou chybu, která umožňovala lokálnímu útočníkovi získat práva roota. Bug popsal v roce 2005 Gael Delalleu, ale nikdo si ho moc nevšímal, dokud Rafal Wojtczuk nepředvedl způsob, jak chybu zneužít s pomocí Xorg serveru. SUSE mělo chybu ve svých distrech opravenu už od roku 2004. Píše The Register.

19.8.2010 21:22 | Robert Krátký | Zajímavý článek

Komentáře

[TomCat1]

To jsou v Suse dobří, že opravili chybu rok před jejím vznikem.

[danaketh]

No, on ji v roce 2005 popsal ale chyba tam mohla být mnohem déle. A SuSE to mělo opravené aniž by někdo považoval za nutné se o tom někde šířit.

[Roman Horník]

Nediv se, pracuje tam totiž...


Chuck Norris

[Mrkva]

Dobrá práce... Pět let? To je někde od 2.6.11. Už aby Xka nepotřebovaly roota...

[jiri.b]

na openbsd Xka aspon dropuji nektere privilegia a na real hw sahaji pres specialni driver.

[Ladislav Hagara]

Chyba byla opravena také v 2.6.34.4 a v 2.6.32.19.
Když Greg Kroah-Hartman použije slova "All users must upgrade", tak to myslí vážně.

[Mrkva]

Jo, no. Ale na druhou stranu, pokud to je bezpečnostní problém, tak snad existují nějaké obvyklé postupy (přiřadit k chybě CVE id, zmínit to v changelogu...). Tohle "schovávání bezpečnostních problémů" nikomu neprospívá.

[Mintaka]

Re. nikomu neprospívá: To já bych se obával že někomu to prospívá.

[gtz]

Ano, jenže si vem, že v tu dobu bylo Suse ještě zcela placené a free verze nebyly dostupné. Z jejich strany nebyl tehdy žádný důvod něco takového dělat.

[Mrkva]

Mluvím o fixu v současnosti.

[gtz]

tak to by bylo mělo být někde zvěřejněné včetně všech patchů apod.

[stativ]

CVE-2010-2240

[Hulka]

Jo zde všichni vidíme ony "výhody" opensource že? Bezpečnostní záplaty přece vycházejí téměř v horizontu jednoho dne od doby odhalení bezpečnostního problému. Bez urážky ale to by už snad windows měli dříve hotovej service pack.

[VSi]

Je podstatné, že mohou vyjít v horizontu jednoho dne, a to nezávisle na původním dodavateli software. U opensource je prostě větší množina lidí, kteří to mohou dělat. Nic ale už nezaručuje, že to skutečně kdokoliv udělá. Bohužel skalní propagátoři opensource ten krok "může udělat" - "někdo to udělá, a ještě správně" nekdy považují za automatický.

Ani jeden model vývoje SW nezaručuje bezpečnost nebo rychlé opravy chyb. V tomhle konkrétním případě to spíš vypadá, že nešlo o tak vážnou chybu, aby hned někomu stála za opravu.

Je asi pravda, že kód málokterého OSS programu kompletně kromě autorů systematicky studuje někdo schopný odhalit chybu. Kernel na tom bude dost možná nejlépe. Pracuje na něm sice hodně lidí, ale každý povětšinou na své relativně izolované části. Kód sice prochází přes více lidí, ale to je u uzavřeného softwaru stejné. U značné části OSS programů není dost lidí ani na opravu evidentních chyb a vývoj nových funkcí, natož na hledání bezpečnostních chyb.

[srigi]

OSS ma ale pre propiertarnym SW jednu obrovsku vyhodu - az je chyba odhalena, moze sa opravy ujat ktokolvek sa na to citi. To komercny SW nema a dost mi to vadi (napr. nejaky prog. ktory je pre mna na windooze dolezity ma nejaku formu "ohrozujucej" chyby - ostava iba cakat, ze to vyrobca co najskor opravi).

[qwert]

U Opensource jsou některé chyby opravovány ihned. Ve Windows nejsou žádné chyby opravovány ihned, většinou čekáte na slavné úterý blíže nespecifikovaného měsíce.

[stativ]

Otázka je, nakolik se věnovat potenciálním bezpečnostním problémům když jsou na pořadu dne jiné, často závažnější chyby. A v reálu jí využít asi nebude tak jednoduché, když se to povedlo až 5 let po jejím nalezení.

[Hulka]

Tak to ten člověk musel mít pevnou vůli že se snažil demonstrovat zneužití chyby ( dle Vás s malým potenciálem zneužití) že u toho strávil 5 let. Nebylo by spíš rozumnější tu chybu opravit než přemešlet jak ji zneužít? Pokud je to tak jak říkate tak se pak nedivim že se nestíhájí opravovat chyby.

[Jirka]

No u SUSE vysly v horizontu minus jednoho roku. A nikoho se nemuseli doprosovat ani za to nikomu platit.

[srigi]

Je viac ako pravdepodobne, ze zaplatili formou vyplat developerom u Novelu.

[Heron]

Dělat z jedné chyby (jejíž zneužitelnost je sporná) systémovou záležitost (věc celého opensource) je poněkud přehnané, nemyslíš?

Ve světě opensource se o tom alespoň dozvíš. I když je to nepříjemné. Která komerční firma by na sebe práskla, že měla v systém 5let chybu?

[Hulka]

Dělat z jedné chyby (jejíž zneužitelnost je sporná) systémovou záležitost (věc celého opensource) je poněkud přehnané, nemyslíš?

Co je na dané metodě získání práv roota sporného? Je to snad nainstalovaný xorg server? Nebo snad jste extremistického názoru že správný administrátor pracuje jenom v konzoli? A pokud jste někdy programoval tak by jste asi věděl že i z na první pohled nevinné chyby se může vyklubat celkem slušný bug. Dále pokud jste to moc nepochopil tak jsem se snažil upozornit na často milně vyzdvihované vlastnosti opensource protože se toho mnohdy více nakecá než tomu doopravdy je. Naopak téměř nikde se nedozvíte o nevýhodách.

Ve světě opensource se o tom alespoň dozvíš

Už jsem právě dozvěděl. Prošel jsem během cca. 7 let desítkami linuxových ditribucí a také i FreeBSD (ten jsem nikdy kvůli špatné podpoře HW nikdy dlouho na počítači neměl). Na začátku jsem byl přesvědčen (i předvědčován) že linux je mnohem stabilnější a bezpečnější než windows. Postupně jsem však zjišťoval že neexistuje žádný operační systém který by neobsahoval nějaké bezpečnostní chyby. Poslední výhodou opensource se tedy může jevit už jen desetitisíce dobrovolníků po celém světě jenž kód neustále prohlíží a tudíž může chybu rychle objevit a opravit. Jak je ovšem vidět tak i v tomto případě na tom opensource nemusí být o moc lépe.

Která komerční firma by na sebe práskla, že měla v systém 5let chybu?

A co zveřejněná zpráva o 17 let staré chybě ve 32 bitových verzích windows přímo v kernelu? Za další, není důležité jak stará chyba to je ale za jak dlouho vyjde oprava této chyby (resp. jak dlouho se už o chybě ví). Navíc vzhledem k tomu že ke zdrojovým souborům OSS programu má přístup kdokoliv, by měla být rychlost odhalení a opravy o to víc palčivější.

[Heron]

Nebo snad jste extremistického názoru že správný administrátor pracuje jenom v konzoli?

Extrémistický? Pokud už na serveru musí být (z nějakého opodstatněného důvodu) grafické prostředí, tak tam neběží X jako taková (k čemu by to taky bylo?), ale nějaké to prostředí ve vnc. Případně ty gui aplikace lze spouštět přes ssh X-Forward.

Dále pokud jste to moc nepochopil tak jsem se snažil upozornit na často milně vyzdvihované vlastnosti opensource protože se toho mnohdy více nakecá než tomu doopravdy je.

Ale jo, pochopil. Já nejsem fanatický zastánce ničeho, sám tu mám pár kritických komentářů proti opensource a linuxu. Jen jsem chtěl upozornit na drobný detail a to je dělání závěru z jednoho případu. A to já prostě nemám rád. On nikdo soudný nikdy netvrdil, že opensource programy jsou bez chyby. Ale ty chyby se zkrátka opravují a mluví se o nich.

Na začátku jsem byl přesvědčen (i předvědčován) že linux je mnohem stabilnější a bezpečnější než windows.

Njn. Když oni to srovnávali s Windows řady 95. O řadě NT někteří přesvědčovači ani nevěděli.

Postupně jsem však zjišťoval že neexistuje žádný operační systém který by neobsahoval nějaké bezpečnostní chyby.

To byla, s prominutím, hodně naivní představa.

A co zveřejněná zpráva o 17 let staré chybě ve 32 bitových verzích windows přímo v kernelu?

Jenže to je opět jeden případ. Na tom nelze stavět žádnou statistiku.

Za další, není důležité jak stará chyba to je ale za jak dlouho vyjde oprava této chyby (resp. jak dlouho se už o chybě ví). Navíc vzhledem k tomu že ke zdrojovým souborům OSS programu má přístup kdokoliv, by měla být rychlost odhalení a opravy o to víc palčivější.

No jasně. Nikomu ta chyba (tehdy bez možnosti zneužití) nepřišla tak závažná, aby to opravoval. Jakmile někdo přišel s exploitem, tak to někdo fixnul. Tedy na (v tu chvíli) již reálnou chybu rychle zareagoval patchem. Mě by se taky líbilo, kdyby se opravovalo všechno. Ale to by pak šíleně brzdilo vývoj. A současný stav zkrátka funguje. Navíc bezpečnost není stav systému, to je proces. Služby, jejich nastavení, firewall, fyzické zabezpečení. On se ten útočník k tý zneužitelný chybě často ani vůbec nedostane (resp. admin by měl pro to udělat své maximum).

[kavol]

Nikomu ta chyba (tehdy bez možnosti zneužití) nepřišla tak závažná, aby to opravoval. Jakmile někdo přišel s exploitem, tak to někdo fixnul. Tedy na (v tu chvíli) již reálnou chybu rychle zareagoval patchem.

dovolil bych si poopravit - nikoliv "jakmile někdo přišel s exploitem", nýbrž "jakmile někdo zveřejnil exploit", jinak s tím exploitem mohl někdo přijít dávno, otázkou je za kým ... mně zas přijde naivní představa, že chyba se stane "reálnou" teprv ve chvíli, kdy je veřejně znám exploit, jako kdyby se každej podloudnej živel hned chlubil u MITRE/CVE, co všecko používá k průniku do systému, a tudíž chyba nemohla být zneužívána předtím, než je exploit veřejně znám ...

[bender]

Jo zde vidíme ony "výhody" closedsource že? Co třeba nedávná chyba ve windowsím shellu datující se až někam k windows 1.0. Jak dlouho byla zneužívána aniž by se o tom vědělo? jak dlouho trvala microsoftu oprava takové triviality? Mezitím se siemensáci mohly zbláznit...

[Radovan]

V MS Excelu je prý jeden bug který pochází už z Visicalcu, tedy z roku 1979. Prý ho tam nechávají kvůli zpětné kompatibilitě

[gtz]

Copak VisiCalc je předchůdce Excelu?

[gtz]

Myslím, že ne, on přece dříve používal Multiplan, ale byl převálcován 123 od Lotusu a až hodně později vylezl M$ s Excelem. Max. se může jednat o zpětnou kompatibilitu pro Lotus 123 tedy používáním / menu.

[Dan Ohnesorg]

Zrejme se jedna o chybny vypocet prestupneho roku, kdy rok 1900 je v excelu povazovan za prestupny ackoliv nebyl. Chyba tam byla umele zanesena v dobe, kdy svetu dominoval Lotus 1-2-3 a excel potreboval pri otevreni souboru garantovat, ze zobrazi zcela presne stejna data jako lotus, protoze jinak byl excel nikdo nechtel. Vyvojari lotusu ale pri implementaci isleapyear zapomeli na tu cast se 400 lety.

Ta chyba je dokonce deklarovana jako vlastnost a je dokumentovana v ISO norme pro xlsx format a implementace teto normy se tak musi chovat.

Velmi podobna situace nastava s OOo, ktere pole deklarovana jako textova nescita, ani kdyz obsahuji cisla, kdezto Excel takova pole zkusmo prevadi na cislo a ta ktera jdou potom zahrnuje do sumy. Existuje velky tlak uzivatelu, aby OOo v tomto ustoupil excelu a okopiroval tuto chybnou implementaci a tak poskytl stejny vystup jako dominantni excel, byt je to v zasade chyba.

[Radovan]

To si piš že je, a nejen jeho, je to předchůdce všech dnešních spreedsheatů Zkusil jsem najít o který bug šlo, ale je jich v tom Excelu moc, takže nevím přesně. Ale možná je to tenhle:

-5^2 vyjde 25, místo správného výsledku -25

Otestoval jsem to a je to skutečně tak Zajímavé je že VisiCalc počítá v BCD, je to pomalejší, ale přesnější...

[Mintaka]

V tom případě má chybu i Xcalc i OpenOffice. A Python dokonce vypočítá -7, to mi dává větší smysl -101 XOR 010 = -111 Google to šalamounsky převede na -(5^2) a uvede -25

[Radovan]

Přesně tak, ale je to opravdu chyba? Jaký je rozdíl mezi bugem a feature... Google to spočítá správně, protože pro něj má mocnina větší prioritu než negace, v těch spreadsheetech je to naopak. Co z toho je správně matematicky?
Mimochodem, v C také vyjde -7, jenže tam tenhle výraz má úplně jiný význam :)

[Jendа]

My se na ZŠ i SŠ učili, že mocnina má větší prioritu.

[stativ]

Mě zase céčko učilo, že větší prioritu má unární minus

Popravdě zdá se mi to i logičtější. Unární mínus je vlastně důležitá část čísla,. Stejně jako 5 a 6 není to samé číslo, tak 5 a -5 není to samé číslo. Dalo by se říci, že - říká, že mám násobit číslo -1 krát. Proč rozdělovat -5^2 jako (-1)×(5^2). To bychom mohli stejně dobře říci, že 6^2 se bude počítat jako 2×(3^2).

[pexxi.sk]

Vasa interpretacia zaporneho znamienka (ako 'dolezita sucast cisla') by ale sposobila nejednoznacnost v matematike:

-x^2+2 [podla Vas (-x)^2+2] by davala iny vysledok nez 2-x^2, kedze v prvom pripade by sa jednalo o unarne minus ale v druhom pripade uz nie.

A to by uz bol velky pruser...

[stativ]

Jasně, že by to dávalo jiný výsledek. Ale nejednoznačné by to nebylo.

[Hulka]

Jak dlouho mohla být tato chyba v linuxovém jádře zneužívaná aniž by o tom někdo věděl než napadlo dobrochtivého típka demonstrovat její zneužití? 5 let známá chyba je dost na to že se jedná o opensource projekt.

[Robotics]

Je ještě nějaká důležitá bezpečnostní chyba o které se ví několik let a nic se s ní nedělá?

[Robert Krátký]

Ale ona nebyla důležitá

[Jirka]

Jak pisou na Registru, otazka je proc se oprava nedostala do upstreamu, kdyz to v SUSE opravali. Neposlali to tam a skudlili si to pro sebe? Nebo chyba byla opravena "omylem"? Nebo patch nebyl pro kernel dost dobry?

[gtz]

jak jsem psal výše, v tu dobu byl Suse placený a nebyl žádný důvod to poskytnout jinam.

[Jirka]

I kdybys mel pravdu a proste si to tenkrat pro sebe uskudlili, tak uz dlouho placeny neni a sadu patchu, ktere SUSE pouziva, uz jiste videla spousta lidi.

[gtz]

Asi ano, oni to delali hlavne pro stabilitu svych SLED/SLES. A tyto stroje jsou nadale placene. Myslim, ze Suse udelal jen patch pro ten kernel a v dalsich jiz ten pach byl integrovan primo. Ale i tam Suse mel udelat report, ze nasel nejakou douru ...

[JanM]

A neměla by tím důvodem ke zveřejnění být GPL?

[pavlix]

Neměla. GPL zveřejnění ničeho nepožaduje. Maximálně snad znemožňuje takové zveřejnění zakázat příjemci daného software.

[Amarok]

Muze mi nekdo kratce vyjasnit, jak je mozne, ze jen nektera distribuce ma opravenou chybu v jadru? Ja zil v domneni, ze jadro spravuje a organizuje velky Linus a ze jadro je tedy oficialne jen jedno a vsechna distra ho jen pretahuji k sobe. Od SuSE mi prijde docela nefer, ze chybu opravili a neposlali hotovy patch, aby byl implementovan v oficialnim jadru.

[Lubos Kopecky]

linus nepovoli zaradit uplne vse a pokud si spravci jadra v distru mysli, ze ten patch je pro ne prospesny nebo opravuje nejakou chybu, ktera jeste neni v upstreamu, pripadne to jadro uz neni podporovany ofico vyvojem vubec, tak ho tam zaradi; openoffice byl taky jeden od sunu, odmitali tam davat nejaky patche, tak novel vydaval svoji verzi s tema patchama a treba debian prebiral do svyho distra prave tu novelackou verzi...

[gtz]

OO od Novellu byla stabilnější, rychlejší a měla i více převodních formátů. Třeba již tehdy uměla otevřít/uložit xlsx/docx.

[Heron]

Vanilkové (Linusovo) jádro je jen jedno. Ovšem autoři distribucí si tam (do jádra své distribuce) přidávají patche podle svého uvážení. CentOS do 2.6.18 backportuje např. i ovladače nového HW.

Každé distribuční jádro je navíc kompilováno s jiným nastavením, takže chyba jádře jedné distribuce se u ostatních nemusí projevit (jednoduše tam ten modul vůbec není).

[d.c.]

Rozhodně to není "tu a tam", ale naopak často. Distribuce se tak předhánějí (bohužel většinou více v nových či "jen jejich" funkcích a ne v opravě chyb) mezi sebou, protože vymezovat se oproti někomu třetímu by bylo příliš těžké.

[wylda]

Líbí se mi, jak zde někteří říkají, že to je průšvih a 5 let apod. A přitom fix této bezpečnostní díry v 2.6.35.2 způsobil mnohem větší problémy (viz třeba bugzilla Ubuntu a jiné - stačí pohledat).

Musím říct, že mě ta né úplně povedená záplata potrápila mnohem víc. Zato ten security bug u mě za posledních 6let nezasáh ani jednou ;)

A ještě pro křiklouny, beroucí si do úst, že se linux neprávem chlubí tím, že jsou věci ihned fixnuty a přitom to trvá 5 let. Schvalně se mrkněte - po mém ohlašení to Linus fixnul za 5hod. A když si k tomu vemete, že byla sobota a asi 8hod časový posun (při nahlašení ještě spal), tak si říkám, že musel snídat s koblihou v jedné ruce a druhou psal tentokrát už perfektní patch. Opravdu jste vy křilouni při práci ještě víc pracovitější, makáte víkendy nevíkendy, nic neodkládáte a uděláte to hned... No nevím nevím.

https://bugzilla.kernel.org/show_bug.cgi?id=16588

A dokonce jsem se za to dostal i do changelogu 2.6.35.3 Tímto Vás křiklouny vyzývám k častějšímu testování -rc verzí místo remcání v diskuzi!

[Mintaka]

Pravdu díš. Díky za bug report.