abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
včera 00:22 | Pozvánky

Richard Stallman, zakladatel hnutí svobodného softwaru, projektu GNU a Free Software Foundation, vystoupí 6. června od 17:30 v Brně v kině Scala se svou přednáškou Free Software Movement and GNU/Linux Operating System. Přednášku organizuje Ústav práva a technologií Masarykovy univerzity.

Ladislav Hagara | Komentářů: 30
17.5. 21:11 | IT novinky

Hewlett Packard Enterprise (NYSE:HPE) kupuje společnost Cray Inc. (Nasdaq:CRAY) za přibližně 1,3 miliardy dolarů. Výrobce superpočítačů Cray má v seznamu 500 nejvýkonnějších superpočítačů na světě TOP500 aktuálně 52 superpočítačů. S Intelem staví další superpočítač Aurora. S AMD staví superpočítač za 600 milionů dolarů s názvem Frontier. Ten by měl v roce 2021 převzít vedení v TOP500.

Ladislav Hagara | Komentářů: 3
17.5. 19:44 | Zajímavý projekt

Ondřej Kokešpodcastu Dataři představuje projekt Česká otevřená data. Jedná se o sadu skriptů, které stahují především finanční data poskytovaná státními institucemi. V rozhovoru vysvětluje, že ke správné interpretaci dat jsou potřeba doménové znalosti, a popisuje zkušenosti, jak získat dokumentaci, která u datových sad často chybí.

Fluttershy, yay! | Komentářů: 0
17.5. 10:11 | Zajímavý projekt

Nadace XPRIZE vyhlásila před pěti lety soutěž Global Learning XPRIZE o nejlepší open source výukový program nebo inovativní způsob výuky, který umožní dětem v rozvojových zemích samostatně se naučit číst, psát a počítat. Tento týden byly vyhlášeny výsledky (YouTube). O první místo a 10 milionů dolarů se podělili Kitkit School a onebillion. Pět vítězných výukových programů bylo zveřejněno na GitHubu.

Ladislav Hagara | Komentářů: 19
17.5. 06:00 | Komunita

Dalších šest produktů od společnosti ThinkPenguin získalo certifikaci RYF (Respects Your Freedom, Respektuje vaši svobodu) udělovanou Nadací pro svobodný software (FSF). Certifikaci RYF má nově například také převodník z USB na paralelní port (LPT). Certifikace RYF byla představena v říjnu 2012.

Ladislav Hagara | Komentářů: 9
16.5. 23:11 | Pozvánky

Dnes je Světový den přístupnosti, anglicky Global Accessibility Awareness Day (GAAD, Wikipedie). Světový den přístupnosti vznikl v roce 2012. Jeho smyslem je šířit osvětu v této oblasti mezi širokou veřejností a motivovat ji k diskusím, přemýšlení a chuti dozvědět se o tématice přístupnosti webu, dokumentů, software, mobilních aplikací, asistivních technologiích či potřebách lidí s nejrůznějším postižením něco nového. O víkendu

… více »
Ladislav Hagara | Komentářů: 0
16.5. 19:55 | Pozvánky

Spolek OpenAlt zve příznivce otevřených řešení a přístupu na 164. brněnský sraz, který proběhne v pátek 17. května od 18:00 v restauraci Přístav u Vodů u Brněnské přehrady aneb v hantecu u Prýglu.

Ladislav Hagara | Komentářů: 2
16.5. 07:00 | Nová verze

Byla vydána nová major verze 9.0 svobodného systému pro řízení přístupu k síti (NAC) PacketFence (Wikipedie). Přehled novinek v oznámení o vydání. Pro uživatele předchozích verzí jsou k dispozici poznámky k aktualizaci.

Ladislav Hagara | Komentářů: 2
16.5. 06:00 | Bezpečnostní upozornění

K názvům Microarchitectural Data Sampling (MDS) a ZombieLoad Attack aktuálních bezpečnostních chyb v procesorech Intel přibyly nové názvy RIDL a Fallout. Na stránce RIDL and Fallout: MDS attacks jsou k dispozici další videoukázky, technické informace nebo i nástroj pro otestování, zda je konkrétní systém zranitelný. Ke stránkám ZombieLoad Attack, RIDL a Fallout lze přistupovat ze stránky CPU.fail.

Ladislav Hagara | Komentářů: 17
15.5. 18:22 | Zajímavý článek

V Edici CZ.NIC vyšla kniha Porty, bajty, osmibity od Martina Malého. Koupit ji lze tištěnou nebo zdarma stáhnout ve formátech PDF (3,6 MB), EPUB (10,8 MB ) a MOBI (28,7 MB). Jedná se o volné pokračování knihy Hradla, volty, jednočipy. Další informace ke knihám, odkazy na zdrojové kódy nebo errata na webových stránkách Porty, bajty, osmibity a Hradla, volty, jednočipy.

Ladislav Hagara | Komentářů: 25
GPU kterého výrobce aktuálně preferujete pro provoz Linuxu?
 (48%)
 (25%)
 (25%)
 (2%)
Celkem 298 hlasů
 Komentářů: 26, poslední dnes 08:36
Rozcestník

Vážné bezpečnostní chyby v Ghostscriptu

V Ghostscriptu, tj. interpretu PostScriptu (PS) a Portable Document Formatu (PDF), bylo nalezeno několik vážných bezpečnostních chyb. Při zpracovávání útočníkem připravovaného PS nebo PDF souboru může dojít ke spuštění libovolného příkazu. V závislosti na nastavení může být Ghostscript spouštěn z prohlížečů obrázků jako ImageMagick, Evince nebo GIMP. Například při pouhém nahlédnutí do Stažených souborů pomocí GNOME Soubory (Nautilus) jsou automaticky vytvářeny náhledy souborů pomocí evince-thumbnailer, což může vyvolat nejenom spuštění kalkulačky. Na opravě chyb se pracuje. CERT/CC doporučuje spouštění Ghostscriptu dočasně zakázat.

23.8.2018 12:44 | Ladislav Hagara | Bezpečnostní upozornění


Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

Komentáře

Vložit další komentář

23.8.2018 13:58 bagrista
Rozbalit Rozbalit vše Re: Vážné bezpečnostní chyby v Ghostscriptu
Tak schvalne kdy updatujou vsechny ty dockery co bundlujou napr. wordpress s https://wordpress.org/plugins/gs-only-pdf-preview/.

Je to vtipne, jak si to rozbiji samy, kdyby nemeli potrebu vse bundlovat tak to za ne distro opravi behem hodin/dnu.

So long and thanks for all the botnets.
23.8.2018 14:12 cotyjsizapokemona
Rozbalit Rozbalit vše Re: Vážné bezpečnostní chyby v Ghostscriptu
Uplne stejne, jako aktualizace v jakekoliv distribuci. Az bude prislusny opraveny balicek dostupny v distru, ze ktereho image kontejneru vychazi, tak se to proste jenom rebuildne (to zahrnuje i stazeni novych balicku) a pusti z noveho image. Radsi bych si zjistil, jak ty veci funguji, nez bych zacal plkat nesmysly. :D
23.8.2018 14:26 bagrista
Rozbalit Rozbalit vše Re: Vážné bezpečnostní chyby v Ghostscriptu
To ze to docker umoznuje, neznamena ze se to tak v praxi pouziva ty pokemone.
23.8.2018 18:20 Kate | skóre: 9
Rozbalit Rozbalit vše Re: Vážné bezpečnostní chyby v Ghostscriptu
To že můžeš updatovat svůj server neznamená že to dělají všichni. Pokud na to admin kašle, je asi celkem jedno jestli kašle na docker nebo na distro…
23.8.2018 18:33 bagrista
Rozbalit Rozbalit vše Re: Vážné bezpečnostní chyby v Ghostscriptu
Naposledy. Cele je to o tom jak se to pouziva v praxi. Verejny linuxovy server neupdatuji jen nejvetsi neschopaci, prakticky kazdy updatuje. Docker containery jsou *v praxi* jeden velky bordel, kde se na to kasle (cest vyjimkam). To si muze kazdy overit sam treba nat tom dockerhubu. Badavejsi se muzou zamyslet proc to tak je. Docker jako technologie za to nemuze.

Ty uz ghostscript ve vsech docker container (jestli pouzivas) vypnuty mas? Kolik s tim bylo prace?
23.8.2018 18:44 cotyjsizapokemona
Rozbalit Rozbalit vše Re: Vážné bezpečnostní chyby v Ghostscriptu
Ano, ja uz jej vypnuty mam. Pro zajimavost jsem to udelal naprosto identicky, jako na ostrem systemu, jen s tim rozdilem, ze Dockerfile kopiruje dalsi novy config, rebuild image, spustil jsem novy deploy a je hotovo. :-) Mej se krasne.
23.8.2018 19:00 bagrista
Rozbalit Rozbalit vše Re: Vážné bezpečnostní chyby v Ghostscriptu
Tak z tveho setupu si srandu rozhodne nedelam, naopak to mas ocividne vychytany.

Ted uz jen kdyby takto ucili pouzivat docker vetsinu "devops" a nesirili ty bludy, ze nainstaluji hotovy kontejner, a tim to pro ne konci.
23.8.2018 19:24 Kate | skóre: 9
Rozbalit Rozbalit vše Re: Vážné bezpečnostní chyby v Ghostscriptu
ghostscript v ničem používat nepotřebujem, ale jednak nepoužíváme dockerhub, ale udržujeme si vlastní repo kontejnerů (debian máme aktualizovaný každý den) a druhak je to pro nás v kubernetes clusuteru prostě triviální update kontejnerů. Takže to pro nás může mít v podstatě jen bezpečnostní výhodu – v případě 0day útoku má aspoň hacknutá komponenta v kontejneru omezené možnosti kam se může dostat.

Jinak těch serverů co někdo nainstaluje a pak se na ně vykašle je bohužel celkem dost, s tím „prakticky každý“ bych si nebyla úplně jistá :(
Heron avatar 24.8.2018 10:23 Heron | skóre: 51 | blog: root_at_heron | Olomouc
Rozbalit Rozbalit vše Re: Vážné bezpečnostní chyby v Ghostscriptu
To jistě, ale mnoho vývojářů považuje docker za skvělý právě proto, že tam mají přesně definované verze, které se jim nijak nemění. A nemusí nadávat na admina, který jim pod rukama neustále mění verze (rozuměj: updatuje os).

I já v tom vidím velké bezpečnostní riziko, zatímco distra mají své repositáře, podepsané, zkontrolované, reproducible builds, tak do kontejnerů si někteří zvykli stahovat věci náhodně z internetu (a to i v podobě celých image).
24.8.2018 11:31 Kate | skóre: 9
Rozbalit Rozbalit vše Re: Vážné bezpečnostní chyby v Ghostscriptu
Tak vždycky jde o přístup :) Mně naopak v produkci docker vyhovuje občas i z toho důvodu, že mě v případě potřeby nelimituje podkladový OS a jeho starší verze balíků. S balíčkovacím systémem zase jde donutit adminy k zmražení některých verzí… Prasit se bude s čímkoliv.
24.8.2018 13:19 bagrista
Rozbalit Rozbalit vše Re: Vážné bezpečnostní chyby v Ghostscriptu
Rozhodne nepopiram ze sa da docker pouzit i spravne, a funguje pak vse lib a bezpecneji, nez bez kontejneru.

Narazim ale na to, ze lide kolem dockeru to praseni dost propaguji, protoze nezminuji co vsechno je potreba resit.

Nakonec cely ten "devops" pristup, kde se prenasi zodpovednost za ops na vyvojare. Co jsem mel cest s vyvojari v ruznych firmach, tak az na jednotky vyjimek, linux absolutne neznaji a o bezpecnosti vedi kulovy.
24.8.2018 13:53 Harvie.CZ
Rozbalit Rozbalit vše Re: Vážné bezpečnostní chyby v Ghostscriptu
Jsme porad na linuxovem portale, kde nejlepsim nastrojem je vlastni hlava? Nebo musi sam Vekly Soros zridit nejakou komisi pro dohled na dockerem, abys byl spokojenej? A co treba zakazat gcc, jeho autori prece propaguji, ze se v nem sa prelozit cokoliv, klidne i skodlivy kod...! Vubec nemaji nejaky audit, co v nem kdo prelozi, vzdyt to je strasidelne... Chtelo by to vubec zakazat vsechny x86 instrukce krome mov, aby nikdo nemohl psat ty zle programy (i kdyz mov je turingovsky uplna, takze co ted?)
24.8.2018 15:41 bagrista
Rozbalit Rozbalit vše Re: Vážné bezpečnostní chyby v Ghostscriptu
distro kolem ktereho by byla kultura "nainstaluj a nic nemusis resit, aktualizace jsou zbytecny" by si pouzival?
24.8.2018 16:03 Harvie.CZ
Rozbalit Rozbalit vše Re: Vážné bezpečnostní chyby v Ghostscriptu
Jakou kulturu si udelas, takovou ji mas, nejpouzivanejsi obrazy vidim ty oficialni, nechapu proc by minoritni pripady mely bejt reprezentativni.
24.8.2018 16:39 bagrista
Rozbalit Rozbalit vše Re: Vážné bezpečnostní chyby v Ghostscriptu
tak az na tvoje servery pujde naky ddos tak si vzpomen
24.8.2018 16:53 Harvie.CZ
Rozbalit Rozbalit vše Re: Vážné bezpečnostní chyby v Ghostscriptu
Nenut tu vsem svoji nekompetenci... Predstav si ze ne kazdej je teoretik a velkou cast z nas adminstrace systemu dobre zivi... A nestahujeme si do systemu kazdou blbost jen protoze je nekde na dockerhubu. Jak jsem psal na zacatku, nejlepsim nastrojem je vlastni kebule a kdo ji nema, toho uz stejne nic nespasi...
24.8.2018 21:34 bagrista
Rozbalit Rozbalit vše Re: Vážné bezpečnostní chyby v Ghostscriptu
Srovnejme si treba https://docs.docker.com/engine/security/security/ s https://www.debian.org/security/:

docker - dlouhe povidani o tom, proc je vse skvele a bezpecne, a to teda jeste hodne marketingove, plne kecu jako " This means that since July 2008 (date of the 2.6.26 release ), namespace code has been exercised and scrutinized on a large number of production systems.", ve skutecnosti user namespaces je az 3.x kernel

debian - prvni nadpis "Keeping your Debian system secure" a povidani o tom co vse musis udelat aby to bezpecne bylo (sledovat alespon mailing listy, updatovat).

Samozrejme, pro docker je potreba delat to stejne (a s tema updatama pak je trochu vic prace).
24.8.2018 21:46 Harvie.CZ
Rozbalit Rozbalit vše Re: Vážné bezpečnostní chyby v Ghostscriptu
Aha, takze trolling, puvodne dobre zamaskovane
23.8.2018 14:30 docker
Rozbalit Rozbalit vše Re: Vážné bezpečnostní chyby v Ghostscriptu
Muzes to sledovat treba tady https://hub.docker.com/search/?isAutomated=0&isOfficial=0&page=1&pullCount=0&q=ghostscript&starCount=1 :-D
23.8.2018 18:58 docker
Rozbalit Rozbalit vše Re: Vážné bezpečnostní chyby v Ghostscriptu
Taky je dobry podivat se jak se pak doopravdy builduji ty zdrojove obrazy - treba rootfs.tar.xz debianu, z ktereho je pak ofiko python a django je mesic bez updatu.
23.8.2018 14:21 debian   
Rozbalit Rozbalit vše Re: Vážné bezpečnostní chyby v Ghostscriptu
Věnuj se raději tomu bagrování, ty dockere
23.8.2018 15:08 bagrista
Rozbalit Rozbalit vše Re: Vážné bezpečnostní chyby v Ghostscriptu
Tak ja uz mam opraveno (jeden prikaz), jak ses na tom ty?

23.8.2018 17:03 debian
Rozbalit Rozbalit vše Re: Vážné bezpečnostní chyby v Ghostscriptu
Kolik si jako myslíš, že na to docker/docker-compose/kubectl potřebuje příkazů? Že jsi technofob a žiješ v době kamenné to pro nás ostatní nedělá složitější.
23.8.2018 18:24 bagrista
Rozbalit Rozbalit vše Re: Vážné bezpečnostní chyby v Ghostscriptu
Takze vsechny docker containery, ktery pouzivas (jestli vubec naky) uz jsou prebuildovany s vypnutym ghostscriptem jo? Z dockerhubu to tak vubec ale vubec nevypada. Tak aspon ze sis zaurazel.
23.8.2018 19:48 debian   
Rozbalit Rozbalit vše Re: Vážné bezpečnostní chyby v Ghostscriptu
Proč s vypnutým, stačí když je aktualizovaný, což je naprosto stejné jako aktualizace systému.Navíc se dá samozřejmě v definici obrazu odinstalovat, když na něj máš pifku a neumíš si postavit vlastní obraz třeba na Debianu. Tak alespoň, že ses ztrapnil.
23.8.2018 20:01 bargista
Rozbalit Rozbalit vše Re: Vážné bezpečnostní chyby v Ghostscriptu
Takze nemas, aktualizace na to v distrech nejsou. Ale aspon ze zas urazis.

Jinak ano, je pak potreba spravovat vlastni obrazy.
23.8.2018 20:07 debian    
Rozbalit Rozbalit vše Re: Vážné bezpečnostní chyby v Ghostscriptu
Lol, ty děláš, jako by snad Wordpress byla nějaká výsada. Gratuluji, že se ti ho povedlo horko těžko nasadit, když to považuješ za úspěch. Já mám na dockeru postaveny vlastní systémy a nedělá mi nejmenší problém je udržovat zabezpečnéné a aktuální.

Pokud na to aktualizace nejsou, tak to není problém dockeru - když si někdo postaví image na nějakém no-name bundlu, tak bude z hlediska znalosti bezpečnosti na podobné úrovni jako někdo, kdo si WP hodí někam na VPS a už na to v životě nesáhne. To je ale problém vás amatérů, docker nemůže za vaše po*raný životy.
23.8.2018 20:19 bagrista
Rozbalit Rozbalit vše Re: Vážné bezpečnostní chyby v Ghostscriptu
Problem dockeru to neni, ale je to problem zpusobeny dockerem, napriklad tim, ze nejde nastavit aby docker pracoval pouze s oficialnimi obrazy.
23.8.2018 20:25 bagrista
Rozbalit Rozbalit vše Re: Vážné bezpečnostní chyby v Ghostscriptu
Je to analogicke jako kdyby debian dovolil komukoliv nahrat cokoliv do debian repositaru (akorat by balicky tretich stran nemeli u sebe hvezdicku). Ale oni to jsou vlastne ty magicke kontejnery, tak to bude bezpecny.
23.8.2018 20:31 debian   
Rozbalit Rozbalit vše Re: Vážné bezpečnostní chyby v Ghostscriptu
Lepší analogie by byla, že si někdo musí takové repozitáře explicitně dát do sources.list. Protože magicky se ti v obrazech neobjeví.
Jendа avatar 27.8.2018 04:27 Jendа | skóre: 75 | blog: Výlevníček | JO70FB
Rozbalit Rozbalit vše Re: Vážné bezpečnostní chyby v Ghostscriptu
V debian-security o tom stále nebyla zmínka a já mám plně aktualizovaný Sid (ano, vím, že na unstable není security support, ale typicky tam někdo tu novou verzi nahraje, když pak backportuje opravu) a odkazovaný dokument mi stále spouští xcalc.

Netušíte někdo co jako bude?
I was just trying to exit Vim and all of this happened!
7.9.2018 14:05 anton
Rozbalit Rozbalit vše Re: Vážné bezpečnostní chyby v Ghostscriptu
Ide zrejme o túto chybu:
https://security-tracker.debian.org/tracker/CVE-2018-16509
Zdá sa, že ešte nebola opravená (mám jessie). Ale možno ju zatiaľ blokujú inak. Napr. GIMP mi už nespúšťa kalkulačku z tiff obrázka, ale Vami odkazovaný pdf v Okulari stále funguje.

Založit nové vláknoNahoru


ISSN 1214-1267   www.czech-server.cz
© 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.