https://opennet.ru/openforum/vsluhforumID3/108368.html В опубликованных несколько часов назад выпусках ядра Linux 3.14.73, 4.4.14 и 4.6.3 устранена (http://seclists.org/oss-sec/2016/q2/599) критическая уязвимость (CVE-2016-4997 (https://security-tracker.debian.org/tracker/CVE-2016-4997)), позволяющая локальному пользователю повысить свои привилегии или выполнить код с правами ядра. Уязвимость пока не устранена в дистрибутивах, обновление в процессе подготовки: SUSE (https://bugzilla.novell.com/show_bug.cgi?id=CVE-2016-4997), Ubuntu (https://people.canonical.com/~ubuntu-security/cve/2016/CVE-2016-4997.html), Debian (https://security-tracker.debian.org/tracker/CVE-2016-4997), RHEL (https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2016-4997). <br><br><br>Уязвимость присутствует в подсистеме netfilter и связана с недоработкой в обработчике setsockopt IPT_SO_SET_REPLACE. Проблема проявляется только при использовании пространств имён для изоляции сети и идентификаторов пользователей (user namespaces и network namespaces, сборка ядра с CONFIG_USER_NS=y и CONFIG_NET_NS=y). Так https://opennet.ru/openforum/vsluhforumID3/108368.html#54 Thu, 30 Jun 2016 04:35:35 GMT &gt;&gt;Поднятые некромантом или призванные демонологом.<br>&gt; Считается ли некромантологией случай, когда у демона хомяк в /var/empty а шеллом <br>&gt; /dev/null ?<br><br>Это не никромантия, а какое-то костылестроение, или поттерство.<br>Системный хомяк должен быть у каждого системного пользователя в /var/lib/user_name или отведённом ему для этого месте в дистрибутиве. А для заглушки логина специально предназначено /bin/false, которое есть во всех дистрибутивах.<br> https://opennet.ru/openforum/vsluhforumID3/108368.html#53 Wed, 29 Jun 2016 04:43:04 GMT &gt;Поднятые некромантом или призванные демонологом.<br><br>Считается ли некромантологией случай, когда у демона хомяк в /var/empty а шеллом /dev/null ?<br> https://opennet.ru/openforum/vsluhforumID3/108368.html#50 Mon, 27 Jun 2016 18:14:12 GMT &gt; Демоны вылазят из контейнеров.<br><br>:)<br>Размуровались, демоны!<br> https://opennet.ru/openforum/vsluhforumID3/108368.html#49 Mon, 27 Jun 2016 17:45:30 GMT Демоны вылазят из контейнеров.<br> https://opennet.ru/openforum/vsluhforumID3/108368.html#48 Mon, 27 Jun 2016 13:45:01 GMT &gt;&gt; т.е. пользователь из контейнера может обойти изоляцию, выполнив код на уровня ядра <br>&gt; Настолько эпично... А Selinux изолирует подобное?<br><br>изолирует. так что только отключатели селинукса в опасности<br> https://opennet.ru/openforum/vsluhforumID3/108368.html#46 Mon, 27 Jun 2016 04:58:44 GMT &gt; Святая простота! Гугел настолько плотно работает со спецслужбами ... что ты так <br>&gt; даже с девушкой своей не сможешь :-) <br><br>Так они поди сливают по запросу с своих серверов, тем более что бизнес-аналитики у них столько что они тебе про тебя расскажут больше чем ты знаешь о себе сам. А вот неконтролируемо лазить по своей инфраструктуре ни одна уважающая себя компания или служба не позволит. Хотя-бы потому что в конце концов этот бэкдор кто-нибудь найдет и получится как с комодохакером и дигинотаром. Те правда были совсем глупые и использовали активную директорию, так что после взлома аккаунта админа им оставалось только сушить весла.<br> https://opennet.ru/openforum/vsluhforumID3/108368.html#43 Mon, 27 Jun 2016 01:52:13 GMT Святая простота! Гугел настолько плотно работает со спецслужбами ... что ты так даже с девушкой своей не сможешь :-)<br> https://opennet.ru/openforum/vsluhforumID3/108368.html#40 Sun, 26 Jun 2016 21:12:44 GMT А если шелло /usr/bin/dreamcatcher - это какой пользователь будет?<br> https://opennet.ru/openforum/vsluhforumID3/108368.html#39 Sun, 26 Jun 2016 21:09:51 GMT &gt; Вы так свято верите, что NSA SELinux защищает вас? Подскажу, что ключевое <br>&gt; слово в нём "NSA".<br><br>Ты так говоришь, как будто NSA напихает бэкдоров в открытый код. А потом они сами не будут случайно бегать в мыле, когда всякие русские, китайские и исламские хакеры зайдут к ним в гости? Это было бы недальновидно, они тоньше работают. Всучили в SSL пробэкдоренный вариант эллиптических кривых и рады поуши. Тут правда некстати всякие Бернштейны подвернулись, а всякие непатриотичные гуглы даже в ssl библиотеки запихивают. Был бы гугл майкрософтом, а америка россией - кушали бы бы NIST P256 curve до скончания веков.<br>