Mayhem odhalil 1200 problémů v Debianu

Vědci z Carnegie Mellon University zabývající se počítačovou bezpečností otestovali ve svém systému Mayhem (PDF) většinu ELF binárních souborů obsažených v Debianu Wheezy. Nyní se zajímájí o způsob, jakým mají nalezených přibližně 1200 problémů nahlásit.

28.6.2013 17:35 | Michal Karas | Bezpečnostní upozornění

Komentáře

[MMMMMMMMM]

lol

(ale nedělám si iluze, že v jiných distribucích tomu bude závratně jinak)

[Bedňa]

Bude to rovnaké, +-rovnaké knižnice a softvér. Asi by mali testovať extra LibreOffice, Gimp ... tie najpoužívanejšie programy a bugy najskôr nahlásiť u nich.

[soda123]

Chyby mozna budou stejne, co se tyce moznosti jejich zneuziti to bude mozna dost jine. Proti zneuziti chyb, ktere je schopen Mayhem odhalit se da do jiste miry branit zvolenim spravnych flagu pri kompilaci a linkovani. Tady je popsano jak to dela Ubuntu https://wiki.ubuntu.com/Security/Features , podobne je na tom i Fedora. U Debianu nevim, ale nepredpokladam ze by to bylo jinak. Firefox a dalsi do internetu hledici sluzby jsou skoro vzdy "hardened" jak je to jen mozne, nebot rizika zneuziti jsou tam vysoka. U ostatnich balicku je to vzdy rozhodnuti mezi bezpecnosti a performance. http://www.trapkit.de/tools/checksec.sh script, ktery zjisti jak je to z bezpecnosti aktualne spustenych sluzeb.

[d.c.]

Debian ma (prilis) mnoho balicku - tedy SW navic. Na jednu stranu je to pozoruhodne (jako sbirka motylu), na druhou stranu je vcelku zrejme, ze ne vsem balickum se dostava (dostatecne) pozornosti. Z tohoto pohledu - jestli tedy testovali vsechno - uz nevypada 1200 jako velke cislo.

[Aas]

Kedze sa jedna o "closed-source" testovaci nastroj, tazko mozu vyvojari overit, ci testuje spravne. Takze az tak cierne to nevidim. Skor by som hladal chybu v Mayheme (byt jeho vyvojarom).

[Michal Karas]

Vždyť společně s tím hlášením dodávají i ukázku toho, jak dokaží daný program zbourat...

[smazáno]

On taky expoit, ktery umozni code execution predanim urcitych argumentum pro "ps" nebo "iwconfig", neni zrovna neco ceho bych se bal . Kazdopadne ten MAYHEM system vypada zajimave, kde se da stahnout?

[dustin]

V diskusi ten chlápek z Carnegie Mellon píše, že to neni open source, ale že jej plánují zprovoznit přes webové rozhraní.

[pc2005]

ale že jej plánují zprovoznit přes webové rozhraní.

Wow to bude databáze mapování exploit-stroj .

[R]

Ako by to asi dopadlo vo Windows? :D

[Bedňa]

Asi by Mayhem skončil s stack overflow.

[Dreit]

Pokud by Mayhem běžel ve Windows, došlo by k "neočekávanému" zabití v zájmu zachování dobré pověsti systému Microsoft Windows

Pokud by Mayhem běžel na Linuxu s připojeným Windows diskem, tak by zřejmě skončil tím, že by po chvíli neměl kam ukládat reporty Hezkým vtipem by bylo uložit všechny reporty do Skydrive

[njn]

si delate prdel, ale kdo ma ty deravy a rozmazany hovna porad pouzivat. porad nejaky terminy a kvalita u pici. cela populace zemekoule je jedna velka quality assurance pokusna laborator. a kdo za ty sracky jeste dobrovolne plati a roztaci nekomu jinymu soukoli byznisu, tak bude driv nebo pozdeji semlen.

[Miriam]

Micorosoft má teď odměnu asi na $100k, když se někomu provede bezpečnost Windows 8.1 prorazit, takže si asi věří. Sotva tam někdo najde 1200 chyb

[Marv-CZ]

Řekl bych, že to není o tom, že by věřili, že to mají bez chyb. Ale že chtějí, aby nálezci chyby raději nahlásili, než prodali na černém trhu.

[dustin]

Těch 1200 chyb jsou úspěšné pády binárek spouštěné záměrně se všemožným bordelem. Ve většině případů nejde o přímé ohrožení bezpečnosti.

[aubi]

To je ta verze, co ji nikdo nema?

Posli, prosim, odkaz. Widle samy o sobe jsou vysmech bezpecnosti.

A to se bavime jenom o jadre a nejhloupejsim window manageru na svete.

[Miriam]

Okdaz na co, na preview verze 8.1 (kterou mimochodem mám a je volně ke stažení) či na článek s odměnou?

• MS Windows 8.1
• Odměna

[ZiGi]

to akoze pre win 8.1 uz nebue IE a Office? lebo nieco taketo mi pride kazdy mesiac:

https://www.us-cert.gov/ncas/alerts/TA13-168A https://www.us-cert.gov/ncas/alerts/TA13-134A https://www.us-cert.gov/ncas/alerts/TA13-008A https://www.cert.be/pro/advisories/microsoft-windows-kernel-multiple-privilege-escalation-vulnerabilities-0

vsimni si ze je tam aj "server software" a v tom poslednom je "priviledge elevation" a tyka sa v podstate VSETKYCH windows verzii.

A to samozrejme nehovorim o tom, ze si kazdy nainstaluje produkty od Oraclu a Adobe.

Takze porovnavajme porovnatelne.