Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Локальная root-уязвимость в реализации сокетов AF_PACKET в я..., opennews (ok), 10-Май-17, (0) [смотреть все] и опять userns в альте подумали и перевели в вид если хочешь сидеть на э, Michael Shigorin (ok), 22:21 , 10-Май-17, (1) // Эти user namespaces, как и контейнеры со своим root-ом, просто раздолье для атак, Аноним (-), 22:30 , 10-Май-17, (3) +3 // Именно , Michael Shigorin (ok), 09:32 , 11-Май-17, (42) // Причём тут namespaces, нехера преобразовывать типы в середине кода, чтоб заткнут, pavlinux (ok), 05:17 , 17-Май-17, (106) Для контейнеров задавать Capabilities таки нужно , Аноним (-), 11:51 , 11-Май-17, (54) Я же говорил альт эта крута Шигорин обясни им, Аноним (-), 22:38 , 10-Май-17, (4) +7 // Спрашиваю не ради флейма а ради интереса альт реально чем-то хуже десятка други, Аноним (-), 22:52 , 10-Май-17, (5) +1 // Иногда мне кажется, что Шигорин на самом деле сотрудник не альта, а какого-то др, Аноним (-), 23:15 , 10-Май-17, (7) +15 Каким там годом помечены последние движения на сайте АлтЛинух , Sabakwaka (ok), 23:39 , 10-Май-17, (9) вы зря так , там очень прикольные обои, о6какатрон (?), 23:56 , 10-Май-17, (10) +2 Вы хотели сказать нескучные, нескучные обои , Аноним (-), 00:14 , 11-Май-17, (13) +7 Это же самое важное 1 В моём дистрибутиве очень ОЧЕНЬ скучные обои Срочно пере, Аноним (-), 08:07 , 11-Май-17, (26) –1 Ребята, давайте на чистоту вы не любите Мишу Альт тут вообще не при чём Сам, freehck (ok), 00:06 , 11-Май-17, (11) +8 Которую сравнить с поделкой попова, которую сравнить с результатом прыганья обез, cmp (ok), 00:19 , 11-Май-17, (16) +6 Любой национальный дистр плох по определению, если это не проект по допиливани, Crazy Alex (ok), 00:43 , 11-Май-17, (18) +1 Почему Вот федора, например, типичный американский национальный дистр, воплощающ, Аноним (-), 01:33 , 11-Май-17, (20) –1 А типичный российский нациоанальный дистр должен воплощать заморочки на тему рос, Аноним (-), 12:08 , 11-Май-17, (56) +1 Есть подозрение, что западные партнёры более продвинуты в этом распил вопросе , Аноним (-), 17:50 , 11-Май-17, (68) +5 Какой типичный американский национальный дистр Вы о чём The Fedora Project i, dq0s4y71 (ok), 13:18 , 11-Май-17, (59) All your globes are belong to US , Аноним (-), 15:39 , 11-Май-17, (62) Are не надо, просто belong А то вероятный противник вас сразу раскусит , dq0s4y71 (ok), 18:46 , 11-Май-17, (74) –1 Надо, Фёдор, надо http lurkmore to All_your_base_are_belong_to_ushttps en wi, Аноним84701 (ok), 18:59 , 11-Май-17, (78) popular Internet meme based on a broken English Engrish phrase , dq0s4y71 (ok), 13:53 , 12-Май-17, (92) Fedora полигон для тестирования новых фич RHEL Более того, сделан по индивидуал, Аноним (-), 08:54 , 12-Май-17, (89) –1 странное это у вас определение такие - и незачем, совершенно А универсальный -, пох (?), 08:47 , 11-Май-17, (34) +1 Национальный дистр должен быть сделан с нуля, используя уже имеющиеся наработки,, Адекват (ok), 14:03 , 11-Май-17, (60) –1 Нет, конечно Если патентное право какой-либо страны запрещает распространение и, freehck (ok), 17:21 , 11-Май-17, (66) Ну, насчет Астры я бы поспорил Вот МСВС - другое дело , Аноним (-), 08:43 , 11-Май-17, (33) –1 Согласен с анонимом чуть выше Вот я лично ничего против ни Шигорина на Альта не , ann (??), 08:53 , 11-Май-17, (35) Чего-чего, не видел здесь ни одной новости с упоминанием Alt Linux, кроме непоср, Аноним (-), 09:02 , 11-Май-17, (37) +1 Karpov, залогинься , Led (ok), 10:07 , 11-Май-17, (48) –1 Мне на утверждениях подобной степени категоричности только более взвешенных, ка, Michael Shigorin (ok), 09:37 , 11-Май-17, (43) По-моему, тут и так указано, что это имхо Мне кажется имхо и есть , Аноним (-), 18:07 , 12-Май-17, (96) +2 Самое забавное, что нет Местами даже лучше Посмотрите на сизиф, hasher, gears , freehck (ok), 00:10 , 11-Май-17, (12) +1 Смотрю 14-й год , Sabakwaka (ok), 00:15 , 11-Май-17, (14) –2 Ну почему -- порой заглядывает cas Skull , изредка видал boyarsh , sem и aen , Michael Shigorin (ok), 09:38 , 11-Май-17, (44) десятка - нет, ничем не хуже Чем вообще отличаются нормальные не узкоспециализи, пох (?), 08:31 , 11-Май-17, (30) Их можно включить, но именно волевым движением принимающего за это ответственнос, Michael Shigorin (ok), 09:56 , 11-Май-17, (45) А что нам еще остается Ведь с нашей экономикой уже все ясно , Онанимус (?), 10:35 , 11-Май-17, (50) Да, с экономикой достаточно неплохо И главное -- есть всё нужное, чтоб было не, Michael Shigorin (ok), 12:14 , 15-Май-17, (97) –1 Dear Netch это Валя Нечаев По поводу вменяемости сообществ, у net своих проблем, Сэмуэль (?), 11:47 , 11-Май-17, (53) +10 И даже был бы лучше того другого десятка, если бы не повелись на НенужноД , Аноним (-), 11:57 , 11-Май-17, (55) для тех кто так и не понял, разжевываем повелись не они, а разработчики приклад, пох (?), 12:33 , 11-Май-17, (57) –4 Вы могли бы уточнить, какой screen имеется ввиду Использую app-misc screen на Ge, WoT (?), 16:51 , 11-Май-17, (65) Поддерживаю во фре тоже есть sysutils screen при том что слава богу нет никак, Сэмуэль (?), 18:19 , 11-Май-17, (71) +3 там как бы и x11 gnome3 _пока_ есть А на мелочи типа тут отвалится, там не работ, пох (?), 18:35 , 11-Май-17, (73) –1 На самом деле, та же сёрфилка и проигрыватель ютубных котиков через HDMI на теле, Аноним (-), 19:42 , 11-Май-17, (79) +3 Именно Настройка Фри сводится к нескольким строчкам в паре конфигов, и работает, Сандибридж (?), 22:17 , 11-Май-17, (83) +2 ну да - привыкаешь что ничего до конца не работает в принципе, и успокаиваешься , пох (?), 00:14 , 12-Май-17, (84) Можно подумать, в окошках стояли поначалу на азусе и одном из тинкпадов все ра, Аноним (-), 01:16 , 12-Май-17, (88) +1 УМВР, ЧЯДНТ ну я вот - знаю, как Правда, никогда не требовалось нет пульсы - , пох (?), 12:54 , 12-Май-17, (91) –1 Ну дык, было бы странно, если бы до сих пор не починили Но идея была 171 гени, Аноним (-), 16:26 , 12-Май-17, (95) Необязательно же кидаться в крайности -- если не фря, так непременно убунта Дело, Michael Shigorin (ok), 12:21 , 15-Май-17, (99) –1 Давно пора Только причём здесь systemd , Аноним (-), 21:25 , 11-Май-17, (80) Так то ж Поттеринг изобрел Все знают, что до него никакой асинхронщины не было , Аноним (-), 21:37 , 11-Май-17, (81) +1 нет, он просто ловко включился в тренд до него - да, не было, были runlevel ы с , пох (?), 12:25 , 12-Май-17, (90) +2 вот ровно при том, что если старательно делать как в windows , то оно как в wi, пох (?), 00:24 , 12-Май-17, (85) –1 Да, затаскивание systemd как pid1 по умолчанию аргументируется именно им, наскол, Michael Shigorin (ok), 12:24 , 15-Май-17, (100) –1 Не нужно, как говорят на ЛОРе Да и вообще, мало ли дерьма в портах - В том-то, Сандибридж (?), 22:05 , 11-Май-17, (82) ну снеси эти полсистемы , и будет обратно почти фря Все равно в ней ты гом не , пох (?), 00:36 , 12-Май-17, (86) там utempter - который нынче, насколько я успел понять, уже совсем не то, что б, пох (?), 18:28 , 11-Май-17, (72) –1 В этой теме первой идёт ветка с обсуждением АльтЛинукса, так что мне показалось , WoT (?), 13:53 , 12-Май-17, (93) +1 ls -la which screen дай угадаю - он окажется suid Или он там вообще сессий н, пох (?), 15:52 , 12-Май-17, (94) CODE ls -la which screen -rwx--s--x 1 root screen 438408 мар 9 19 47 usr b, Michael Shigorin (ok), 12:34 , 15-Май-17, (101) http altlinux org starterkitshttp altlinux org sysvinitУМВР - Помимо эласти, Michael Shigorin (ok), 12:18 , 15-Май-17, (98) –1 ну чего-то это как-то уже овердохрена там подпилить, тут подрезать, и в результ, пох (?), 20:47 , 15-Май-17, (102) –1 Да усилиями непосредственно заинтересованных потихоньку допинываем https for, Michael Shigorin (ok), 15:24 , 16-Май-17, (103) –2 Они точно понимают значение слова предотвращение , A.Stahl (ok), 22:54 , 10-Май-17, (6) –2 // Это ж гугл, им напару с мс не западло порасшатывать экосистему линуксов, Аноним (-), 23:27 , 10-Май-17, (8) –5 Да, чувак, вот так вот предотвращают уязвимости выявляют, сообщают разработчика, Аноним (-), 00:31 , 11-Май-17, (17) +8 Вы точно понимаете значение слов устранено , выпущено , Аноним (-), 01:31 , 11-Май-17, (19) +2 Принцип security through obscurity неочень работает Особенно, если это скрыто , iPony (?), 08:12 , 11-Май-17, (27) А зачем тогда нужны механизмами защиты KASLR, SMEP и SMAP если они не защищают , Аноним (-), 02:21 , 11-Май-17, (22) –1 // А они должны защитить вот прямо от всего Для того, для чего они были придуманы , llolik (ok), 08:27 , 11-Май-17, (29) так, не понял эт что же получается с какого-то чёрта user_ns разрешает исполь, XX1asd (?), 08:14 , 11-Май-17, (28) –1   // он для этого и похожих вещей как раз и предназначен Сюрприз , пох (?), 08:34 , 11-Май-17, (32)   // а мне то казалось user_ns нужен чтобы имитировать повышенные привелегии, в то , XX1asd (?), 09:18 , 11-Май-17, (39) –2   // разумеется, нет - зачем тебе такая имитация Он именно для полноценных повышен, пох (?), 11:13 , 11-Май-17, (51)   раз в жизни для запуска ping -- можно и до настоящего root снизайти а в конте, X3asd (ok), 18:57 , 11-Май-17, (76) –2   банально не tcp и не udp, и подобных протоколов - мильен с тыщами и помимо icmp,, пох (?), 01:16 , 12-Май-17, (87)   ты б ещё сказал что USER_NS предназначен чтобы эксплуатировать локальные уязвимо, XX1asd (?), 09:26 , 11-Май-17, (40) –2   хстате, скромно забыли, что баг привнесен в ядре 3 2 http kernelnewbies org Li, _Anon (?), 08:53 , 11-Май-17, (36) –1 Бггг , AlexYeCu_not_logged (?), 10:05 , 11-Май-17, (47) –1 // И действительно, непонятно зачем медиасерверу AF_PACKET Ему вполне должно быть, Аноним (-), 14:08 , 11-Май-17, (61) // igmp, например Вообще, принимать или выдывать мультикастовый медиа-поток - одно, Alex (??), 18:04 , 11-Май-17, (70) +1 // для мультикаста не нужен AF_PACKET, X3asd (ok), 18:59 , 11-Май-17, (77) –1 Вставь сниффер перед цифровым теликом и удивись , pavlinux (ok), 04:56 , 17-Май-17, (104) У меня эксплоит не заработал https dpaste de DcvjСистема Slackware64-14 2, Аноним (-), 17:34 , 11-Май-17, (67) –2 // Потребуй, чтобы заменили по гарантии , Ordu (ok), 18:53 , 11-Май-17, (75) +3 Чтоб заработало нужно добавить пару строк в алгоритм прокладки , pavlinux (ok), 04:58 , 17-Май-17, (105) 1,6,22,28,36,47,67

Сообщения

[Сортировка по времени | RSS]

28. "Локальная root-уязвимость в реализации сокетов AF_PACKET в я..."	–1 +/–
Сообщение от XX1asd (?), 11-Май-17, 08:14
> должен иметь полномочия CAP_NET_RAW, которые необходимы для создания сокетов AF_PACKET. В Ubuntu и Fedora данные полномочия можно получить через использование пространств имён идентификаторов пользователей (user namespace) так, не понял.. эт что же получается? с какого-то чёрта user_ns разрешает использовать приложению raw-сокеты? не слишком ли жирно?
Ответить | Правка | Наверх | Cообщить модератору

	32. "Локальная root-уязвимость в реализации сокетов AF_PACKET в я..."	+/–
	Сообщение от пох (?), 11-Май-17, 08:34
	> так, не понял.. эт что же получается? с какого-то чёрта user_ns разрешает > использовать приложению raw-сокеты? не слишком ли жирно? он для этого (и похожих вещей) как раз и предназначен. Сюрприз?
	Ответить | Правка | Наверх | Cообщить модератору

	39. "Локальная root-уязвимость в реализации сокетов AF_PACKET в я..."	–2 +/–
	Сообщение от XX1asd (?), 11-Май-17, 09:18
	а мне то казалось user_ns нужен чтобы *имитировать* повышенные привелегии, в то время как по факту программа так и остаётся в рамках своих лимитов... например chroot сделанный через user_ns -- не способен навредить остальным (в отличии от обычного рутового chroot).. но ведь raw-сокеты -- они то как раз *способны* навредить?!
	Ответить | Правка | Наверх | Cообщить модератору

	51. "Локальная root-уязвимость в реализации сокетов AF_PACKET в я..."	+/–
	Сообщение от пох (?), 11-Май-17, 11:13
	> а мне то казалось user_ns нужен чтобы *имитировать* повышенные привелегии разумеется, нет - зачем тебе такая "имитация"? Он именно для полноценных повышенных привиллегий (с сохранением возможности их делегировать или, наоборот, сбросить), но замкнутых внутри песочницы. Чтобы не давать каждому пользователю, которому приспичило, полноценного рута, хотя бы даже и в виртуалке, сохранив хотя бы видимость контроля за инфраструктурой. Или не бегать за ними всеми выполнять их работу самому, не потому что они с  ней не справляются, а потому что побочные эффекты не могут предотвратить. Ну и как с любыми другими песочницами - песочек иногда высыпается сквозь дырки в бортиках. Поскольку именно эта a)новая b) модн...сложная - сыплется чаще, чем из примитивных. > но ведь raw-сокеты -- они то как раз *способны* навредить?! ну да. А без них - банальный ping не работает. И мы делаем его suid root, что, потенциально, способно навредить гораздо существенней, если вдруг в банальном парсере ключиков опять что-то прощелкали (а бывало). ping это, разумеется, утрированный пример - он простой, в нем проблем давно не видели. А когда задачка посложнее - неизвестно, какой подход окажется хуже.
	Ответить | Правка | Наверх | Cообщить модератору

	76. "Локальная root-уязвимость в реализации сокетов AF_PACKET в я..."	–2 +/–
	Сообщение от X3asd (ok), 11-Май-17, 18:57
	> банальный ping не работает раз в жизни для запуска ping -- можно и до настоящего root снизайти.. ..а в контейнерах-всяких -- вообще ping не нужен. > ping это, разумеется, утрированный пример - он простой, в нем проблем давно не видели. А когда задачка посложнее - неизвестно, какой подход окажется хуже. других задачек где требовался бы сырой socket, кроме ping, особо и не выдумать
	Ответить | Правка | Наверх | Cообщить модератору

	87. "Локальная root-уязвимость в реализации сокетов AF_PACKET в я..."	+/–
	Сообщение от пох (?), 12-Май-17, 01:16
	> других задачек где требовался бы сырой socket, кроме ping, особо и не > выдумать банально не tcp и не udp, и подобных протоколов - мильен с тыщами и помимо icmp, вот сюрприз-то, елки-палки... Можно использовать raw, можно - AF_PACKET, хрен редьки абсолютно не слаще (первое не очень переносимое, второе именно в линуксах может желать странного, что на совсем специфичных системах недоступно), обоим рута или CAP_эквивалент подавать.
	Ответить | Правка | Наверх | Cообщить модератору

	40. "Локальная root-уязвимость в реализации сокетов AF_PACKET в я..."	–2 +/–
	Сообщение от XX1asd (?), 11-Май-17, 09:26
	>> так, не понял.. эт что же получается? с какого-то чёрта user_ns разрешает >> использовать приложению raw-сокеты? не слишком ли жирно? > он для этого (и похожих вещей) как раз и предназначен. Сюрприз? ты б ещё сказал что USER_NS предназначен чтобы эксплуатировать локальные уязвимости 😂😂😂🤣
	Ответить | Правка | К родителю #32 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема