The OpenNET Project / Index page

[ новости/++ | форум | wiki | теги | ]

26.09.2013 03:30  В ядре Linux выявлены две уязвимости, затрагивающие драйвер tun и IPSec

В ядре Linux обнаружены две уязвимости, проявляющиеся в свежих выпусках 3.10.12 и 3.11.1:

  • CVE-2013-4343 - обращение к уже освобождённому блоку памяти (Use-After-Free) в функции "tun_set_iff()" (drivers/net/tun.c) может быть использовано для повышения локальным пользователем своих привилегий в системе. Локальный пользователь с привилегиями CAP_NET_ADMIN может выполнить произвольный код с повышенными привилегиями в системе, ядро которой собрано с поддержкой универсального драйвера TUN/TAP (CONFIG_TUN). Исправление доступно в виде патча.
  • CVE-2013-4350: В реализации IPsec-туннеля выявлена уязвимость, проявляющаяся в отсутствии шифрования трафика при выборе транспорта AH + ESP в сочетании с использованием IPv6 и включением шифрования исключительно SCTP трафика. Атакующий, имеющий доступ к промежуточному шлюзу, может произвести атаку «человек посередине» и перехватить потенциально важные данные. Для IPv4 проблема не проявляется. Исправление доступно в виде патча.

  1. Главная ссылка к новости (http://secunia.com/advisories/...)
  2. OpenNews: Оценка возможного влияния АНБ на IPSEC и международные стандарты
Автор новости: Клыкастый
Тип: Проблемы безопасности
Ключевые слова: kernel, security
При перепечатке указание ссылки на opennet.ru обязательно
Обсуждение Ajax/Линейный | Раскрыть все сообщения | RSS
 
  • 1.1, anonymous (??), 11:32, 26/09/2013 [ответить] [показать ветку] [···]    [к модератору]
  • –2 +/
    >В реализации IPsec-туннеля выявлена уязвимость, проявляющаяся в отсутствии шифрования трафика при выборе транспорта AH + ESP

    В ключевых словах не хватает "АНБ".

     
     
  • 2.3, YetAnotherOnanym (ok), 12:26, 26/09/2013 [^] [ответить]    [к модератору]
  • +/
    от этого легче или тяжелей?
    сухой остаток новости в том, что а) надо проапгрейдиться, б) обмен данными за всё последнее время с начала использования оконечного устройства на Linux моежт быть скомпрометирован и доступен кому угодно и это теперь надо учитывать.
    а "анб" или не "анб" - принципиального значения не имеет.
    и вообще, гуглить "бритва хэнлона".
     
     
  • 3.5, Crazy Alex (ok), 13:38, 26/09/2013 [^] [ответить]    [к модератору]
  • +2 +/
    Да ладно, там же какой-то совершенно экзотический набор условий. ipsec +ipv6 + настройка для sctp - оно в реальном мире вообще бывает?
     
     
  • 4.6, arisu (ok), 13:45, 26/09/2013 [^] [ответить]    [к модератору]
  • +/
    > Да ладно, там же какой-то совершенно экзотический набор условий. ipsec +ipv6 +
    > настройка для sctp — оно в реальном мире вообще бывает?

    судя по всему — очень редко. поэтому и нашли не сразу.

     
  • 4.12, AlexAT (ok), 21:28, 26/09/2013 [^] [ответить]    [к модератору]
  • +1 +/
    Вообще если посмотреть - реализация SCTP - сплошное решето. За последний год штук 15 уязвимостей.
     
     
  • 5.13, arisu (ok), 21:59, 26/09/2013 [^] [ответить]    [к модератору]  
  • +/
    > Вообще если посмотреть - реализация SCTP - сплошное решето. За последний год
    > штук 15 уязвимостей.

    так не пользуется никто — вот и…

     
     
  • 6.17, Аноним (-), 07:52, 27/09/2013 [^] [ответить]    [к модератору]  
  • +/
    Ну почему же сразу никто? Вот всякие хакеры и исследователи безопасности пришли посмотреть "что за фигня?!" :)
     
  • 5.19, Аноним (-), 14:04, 27/09/2013 [^] [ответить]     [к модератору]  
  • +/
    Проблема даже не в конкретной линуксовой реализации http lists freebsd org pi... весь текст скрыт [показать]
     
  • 3.8, еще один аноним (?), 14:24, 26/09/2013 [^] [ответить]    [к модератору]  
  • +3 +/
    >от этого легче или тяжелей?... а "анб" или не "анб" - принципиального значения не имеет

    как раз от того, глупостью это вызвано или анб и будет легче или тяжелее. Важен же не только результат, который надо исправлять, но и причина, повлекшая это гуано. И сухой остаток может получиться разным - если просто ошибка - фиксим и пользуемся дальше, если преднамеренные козни - переходим на другие инфраструктуры шифрования, потому что будут небезосновательны предположения о других закладках в этой подсистеме или проверяем другие коммиты этого же анбшного засланца в других открытых проектах. А так согласен только с тем что это скорее всего просто ошибка без злого умысла.

     
  • 2.9, Аноним (-), 15:48, 26/09/2013 [^] [ответить]    [к модератору]  
  • +/
    Сомнительно. Тогда было бы при использовании IPv4.
     
  • 2.20, Аноним (-), 14:05, 27/09/2013 [^] [ответить]     [к модератору]  
  • +/
    Если в кране нет воды - значит, это козни АНБ ... весь текст скрыт [показать]
     
  • 1.14, Андрей (??), 02:59, 27/09/2013 [ответить] [показать ветку] [···]    [к модератору]  
  • +/
    Bug 24412 -
    Summary: SCTP traffic over IPv6 IPsec tunnel fails to be encrypted
    Reported: 2010-12-06 13:37 UTC by Alan.Chester

    Без малого 3 года назад нашли!!! И тогда это был баг, который проигнорировали, и вдруг он стал страшным security issue, которое ещё "проявляющиеся в свежих выпусках 3.10.12 и 3.11.1". А у Алана Честера и Алексея Добряна есть машина времени. Новость - просто прелесть.

     
     
  • 2.15, arisu (ok), 07:30, 27/09/2013 [^] [ответить]    [к модератору]  
  • +/
    > Без малого 3 года назад нашли!!! И тогда это был баг, который проигнорировали

    потому что не нашлось уникумов, которые IRL используют «SCTP over IPv6 IPsec tunnel». ок, там баг. ок, мы в курсе. когда-нибудь починим, пока это не приоритетно. что за паника-то?

    если ты считаешь, что баги в связке, которая нужна трём с половиной инвалидам на планете, должны иметь тот же приоритет, что и баги в ежедневно используемых подсистемах — ты как минимум не очень умён.

    впрочем, ты можешь лично начать лопатить багзиллу на предмет старых незакрытых багов и чинить их. ведь ты же не просто умеешь орать «а-а-а! давно знали, не починили!», правда?

     
  • 2.18, Аноним (-), 13:58, 27/09/2013 [^] [ответить]    [к модератору]  
  • +/
    > Без малого 3 года назад нашли!!!

    Все три года искали хотя бы одного человека, который пользуется SCTP. Не говоря уже о запихивании его в шифрованный туннель поверх IPv6.

     
  • 1.16, Аноним (-), 07:45, 27/09/2013 [ответить] [показать ветку] [···]     [к модератору]  
  • +2 +/
    Если после дождика в четверг, в полнолуние, при условии что месяц четный и год в... весь текст скрыт [показать]
     

     Добавить комментарий
    Имя:
    E-Mail:
    Заголовок:
    Текст:


      Закладки на сайте
      Проследить за страницей
    Created 1996-2018 by Maxim Chirkov  
    ДобавитьПоддержатьВебмастеруГИД  
    Hosting by Ihor