abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
včera 23:33 | Zajímavý projekt

Na Humble Bundle byla spuštěna akce Humble Book Bundle: Web Programming by O'Reilly. Za 1 dolar a více lze koupit 5 elektronických knih, za 8 dolarů a více lze koupit 11 elektronických knih a za 15 dolarů a více lze koupit 17 elektronických knih věnovaných webovému programování od nakladatelství O'Reilly Media. Část ceny lze určit charitě.

Ladislav Hagara | Komentářů: 0
včera 23:00 | Pozvánky

Spolek OpenAlt zve příznivce otevřených řešení a přístupu na 162. brněnský sraz, který proběhne v pátek 22. března od 18:00 v restauraci Slatinský šenk na adrese Zlínská 12.

Ladislav Hagara | Komentářů: 0
včera 16:22 | Nová verze

Jonathan Thomas oznámil vydání nové verze 2.4.4 video editoru OpenShot (Wikipedie). Přehled novinek na YouTube. Zdrojové kódy OpenShotu jsou k dispozici na GitHubu. Ke stažení je také balíček ve formátu AppImage. Stačí jej stáhnout, nastavit právo na spouštění a spustit.

Ladislav Hagara | Komentářů: 0
včera 15:22 | Zajímavý článek

Mozilla.cz informuje, že Firefox bude mít nového správce hesel Lockbox. Lockbox bude integrován s Firefox Monitorem – službou pro varování při únicích dat.

Ladislav Hagara | Komentářů: 0
včera 11:33 | Nová verze

Webový prohlížeč Falkon založený na QtWebEngine (Blink) byl vydán ve verzi 3.1. Podle seznamu změn zlepšuje integraci v rámci KDE, opravuje několik chyb a stabilizuje podporu rozšíření v Python a přidává podporu QML.

Fluttershy, yay! | Komentářů: 2
včera 11:22 | Komunita

Česká Wikipedie je dnes vypnuta. Na protest proti evropské reformě autorského práva.

Ladislav Hagara | Komentářů: 13
20.3. 18:11 | Nová verze

Po půl roce vývoje od vydání verze 7.0.0 byla vydána verze 8.0.0 překladačové infrastruktury LLVM (Wikipedie). Přehled novinek v poznámkách k vydání: LLVM, Clang, clang-tools-extra, LLD a Libc++.

Ladislav Hagara | Komentářů: 0
20.3. 17:44 | Nová verze

Bylo vydáno Eclipse IDE 2019-03 aneb Eclipse 4.11. Nově vychází toto vývojové prostředí čtvrtletně. Představení novinek na YouTube.

Ladislav Hagara | Komentářů: 0
20.3. 01:11 | IT novinky

V říjnu loňského roku společnost Google představila hráčům počítačových her Project Stream umožňující streamování AAA her do webového prohlížeče Chrome. Včera na konferenci GDC 2019 (Game Developers Conference) společnost Google oficiálně představila (YouTube) pokračování projektu – herní platformu Stadia. V Česku a na Slovensku je služba Stadia zatím nedostupná.

Ladislav Hagara | Komentářů: 24
19.3. 23:11 | Nová verze

Byla vydána Java 12 / JDK 12. Nových vlastností (JEP - JDK Enhancement Proposal) je 8. Nová Java / JDK vychází každých 6 měsíců.

Ladislav Hagara | Komentářů: 2
Kolik balíčků (v tisících) máte nainstalovaných na svém systému?
 (4%)
 (13%)
 (33%)
 (30%)
 (20%)
 (3%)
 (2%)
 (1%)
 (3%)
Celkem 224 hlasů
 Komentářů: 21, poslední včera 23:40
Rozcestník

Tři bezpečnostní chyby v systemd

Byly zveřejněny informace o třech bezpečnostních chybách ve správci systému a služeb systemd. Jedná se o CVE-2018-16864, CVE-2018-16865 a CVE-2018-16866. Zneužít je lze k lokální eskalaci práv.

9.1. 23:55 | Ladislav Hagara | Bezpečnostní upozornění


Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

Komentáře

Vložit další komentář

10.1. 09:00 Xerces
Rozbalit Rozbalit vše Re: Tři bezpečnostní chyby v systemd
Ne! Tomu odmítám uvěřit. :-D
10.1. 09:03 run
Rozbalit Rozbalit vše Re: Tři bezpečnostní chyby v systemd
To bude nejaka ucelovka.
10.1. 09:25 Sten
Rozbalit Rozbalit vše Re: Tři bezpečnostní chyby v systemd
Není to tak zlé, jedna se v novějších verzích nevyskytuje a ty zbylé dvě bez ní využít nejdou.
10.1. 10:08 marbu | skóre: 30 | blog: hromada | Brno
Rozbalit Rozbalit vše Re: Tři bezpečnostní chyby v systemd
Zajímavé je taky tohle:
To the best of our knowledge, all systemd-based Linux distributions are vulnerable, but SUSE Linux Enterprise 15, openSUSE Leap 15.0, and Fedora 28 and 29 are not exploitable because their user space is compiled with GCC's -fstack-clash-protection.

This confirms https://grsecurity.net/an_ancient_kernel_hole_is_not_closed.php: "It should be clear that kernel-only attempts to solve [the Stack Clash] will necessarily always be incomplete, as the real issue lies in the lack of stack probing."
I think warning here is a bug. The biggest cloud service provider. There is no point in being so cool in a cold world.
joejoe avatar 10.1. 10:29 joejoe | skóre: 9
Rozbalit Rozbalit vše Re: Tři bezpečnostní chyby v systemd
Nechci uplne zacinat flame, ale neda mi to. Moc nerozumim jak je mozne vubec z systemd-journald udelat eskalaci prav. Proc logovaci daemon bezi s opravnenimi roota?
10.1. 11:14 lnykryn | skóre: 10 | Brno
Rozbalit Rozbalit vše Re: Tři bezpečnostní chyby v systemd
Kvůli tomu, aby mohl zjištovat metadata o procesech, které posílají zprávy.
10.1. 21:18 2017
Rozbalit Rozbalit vše Re: Tři bezpečnostní chyby v systemd
Nebylo by lepsi, aby mu to ty procesy rekli sami?
10.1. 21:34 lnykryn | skóre: 10 | Brno
Rozbalit Rozbalit vše Re: Tři bezpečnostní chyby v systemd
Doporučuji se kouknout na výstup journalctl --output verbose. Hodnoty, které nezačínají na _, jsou informace, které právě řekl journálu sám proces. Ale pak by databázový server klidně mohl tvrdit, že ve skutečnosti je mailový server. Proto journal sám zjišťuje nejaké informace o odesilateli a ty mají prefix _. O těch pak admin ví, že je proces nemohl podvrhnout.
11.1. 08:08 tomvec | skóre: 24 | Kojetín
Rozbalit Rozbalit vše Re: Tři bezpečnostní chyby v systemd
A kdo hlídá systemd, aby nic nepodvrhl? To už je linux v takovém rozkladu, že o sobě může databázový server tvrdit, že je mailový?
12.1. 09:39 Peter Golis | skóre: 58 | Bratislava
Rozbalit Rozbalit vše Re: Tři bezpečnostní chyby v systemd
Podvrhnúť správu dokáže aj nudiaci sa študent. To nemá s linuxom a ani rozkladom nič spoločné.
10.1. 20:02 Sten
Rozbalit Rozbalit vše Re: Tři bezpečnostní chyby v systemd
Aby mohl zjišťovat informace o procesech, které mu posílají data, aby mohl zapisovat do adresářů, kam může zapisovat jen root, a aby mohl zapisovat jako jiný uživatel, pokud mu posílá logy uživatelské sezení. Ze stejných důvodů běží pod rootem i syslog nebo rsyslog.
11.1. 14:46 R
Rozbalit Rozbalit vše Re: Tři bezpečnostní chyby v systemd
Uz sa da ta sracka restartovat? Nemoznost restartovat systemd-journald po "apt upgrade" (bez restartu celeho servera) bola posledna kvapka, po ktorej som ho odstranil aj z jedineho servera, kde bol na testovanie.
michich avatar 11.1. 15:25 michich | skóre: 51 | blog: ohrivane_parky
Rozbalit Rozbalit vše Re: Tři bezpečnostní chyby v systemd
systemd-journald je možné restartovat. Bez ukončení logování výstupů služeb zapisujících do stdout/stderr to jde od verze 219, kdy systemd začal poskytovat službám možnost uchování otevřených file deskriptorů během jejich restartu.
11.1. 15:29 cleaner
Rozbalit Rozbalit vše Re: Tři bezpečnostní chyby v systemd
Premyslime v praci, jak se vuci tomu branit nez budou existovat oficialni patche. V tom hlavnim dokumentu kde ty chyby popisuji zminuji, ze vyuzili faktu, ze journald je automaticky restartovan. Myslite, ze kdyz se zakaze autorestart v konfiguraci journald, tak to bude fungovat jako castecna obrana?
michich avatar 11.1. 16:53 michich | skóre: 51 | blog: ohrivane_parky
Rozbalit Rozbalit vše Re: Tři bezpečnostní chyby v systemd
Když jenom nastavíš Restart=no, pořád ti ho znovu spustí soketová aktivace. Tomu zabráníš stopnutím systemd-journald.socket. Potom při útoku nejspíš systemd-journald havaruje a už zůstane neaktivní.
11.1. 17:27 cleaner
Rozbalit Rozbalit vše Re: Tři bezpečnostní chyby v systemd
Jj, presne tak si to predstavujeme... ale blbe se overuje jestli to bude stacit. Kazdopadne dik za reakci.
12.1. 04:44 Sten
Rozbalit Rozbalit vše Re: Tři bezpečnostní chyby v systemd
Zatím by mělo stačit aktualizovat na systemd 240, tam není ta díra pro information leak
12.1. 16:45 cleaner
Rozbalit Rozbalit vše Re: Tři bezpečnostní chyby v systemd
Děkuji za radu, samozřejmě nejnovější verze systemd to již má vyřešené, ale takový skok ve verzi není pro nás schůdný postup, proto hledám nějaký způsob potlačení těchto útoků. Myslím, že většina serverů s Debian/Centos ve světě něco takového jako upgrade na nejnovější verzi projektu také nedělá - je s tím spojeno hodně práce s nejistým výsledkem, nová verze může mít nové nečekané problémy.
13.1. 17:23 R
Rozbalit Rozbalit vše Re: Tři bezpečnostní chyby v systemd
Debian Buster po upgrade z 239 na 240 pre istotu ani nenabootuje.
13.1. 18:56 Peter Golis | skóre: 58 | Bratislava
Rozbalit Rozbalit vše Re: Tři bezpečnostní chyby v systemd
Buster je Testing Release Debian. Ďakujeme za otestovanie.
12.1. 14:02 Bill
Rozbalit Rozbalit vše Re: Tři bezpečnostní chyby v systemd
all systemd-based Linux distributions are
vulnerable, but SUSE Linux Enterprise 15, openSUSE Leap 15.0, and Fedora
28 and 29 are not exploitable because their user space is compiled with
GCC's -fstack-clash-protection.
To by me zajímalo cim premyslite a radsi nechci vedet co je vase prace
12.1. 14:35 Peter Golis | skóre: 58 | Bratislava
Rozbalit Rozbalit vše Re: Tři bezpečnostní chyby v systemd
Typnem si: zdravotníctvo, jadrová energetika alebo daňový úrad.
k3dAR avatar 12.1. 21:08 k3dAR | skóre: 53
Rozbalit Rozbalit vše Re: Tři bezpečnostní chyby v systemd
nenapadlo te ze pouzivaji jine distro a zaroven v nem neni vhodne/mozne/chtene nahradit distribucni binarku vlastni s timto parametrem prekompilovanou?
porad nemam telo, ale uz mam hlavu... nobody
16.1. 10:41 cleaner
Rozbalit Rozbalit vše Re: Tři bezpečnostní chyby v systemd
Tak updaty jiz jsou v Debianu i v CentOS/RHEL.

POZOR: updaty ani nastroje apt/yum procesy nerestartuji, takze je nutne je restartovat rucne:
 systemctl restart systemd-journald; systemctl restart systemd-udevd
Na Centosu se da zjistit seznam procesu co vyzaduji restart prikazem
 needs-restarting

Založit nové vláknoNahoru


ISSN 1214-1267   www.czech-server.cz
© 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.