https://m.opennet.dev/openforum/vsluhforumID3/129337.html В модуле ksmbd, включающем встроенную в ядро Linux реализацию файлового сервера на базе протокола SMB, выявлена критическая уязвимость, позволяющая удалённо добиться выполнения своего кода с правами ядра. Атака может быть проведена без аутентификации, достаточно чтобы на системе был активирован модуль ksmbd. Проблема проявляется начиная с ядра 5.15, выпущенного в ноябре 2021 года, и без лишней огласки устранена в обновлениях 5.15.61, 5.18.18 и 5.19.2, сформированных в августе 2022 года. Так как CVE-идентификатор проблеме ещё не присвоен, точной информации об устранении проблемы в дистрибутивах ещё нет...<br><br>Подробнее: https://www.opennet.ru/opennews/art.shtml?num=58377<br> https://m.opennet.dev/openforum/vsluhforumID3/129337.html#221 Sat, 31 Dec 2022 09:13:35 GMT &gt; Не избавит от огромной либы самбы и openssl,<br><br>удивительно, да - для ssl нужна либа, и для smb протокола (включая управление доступом и авторизацию, а не как у этих вот) - ой, опять.<br><br>&gt;&gt; "вероятно, вы имели в виду ftp"<br>&gt; Сам им пользуйся имхо.<br><br>ну то есть компактная и делающая ровно то что сказано - раздающая файлы с минимальным управлением программа тебя не устраивает. smb и шифрование (уже _требующееся_ в новых вариантах) тоже. <br><br>Вот кривой самсунговский модуль - самое то. А все вызовы в юзерспейс заменим заглушками, так пое6дим. И это никто еще всерьез даже не ковырял код. (все увизгвимости нашли просто просмотром патчей)<br><br>&gt; Получилось так как это было надо в определенном кассе задач,<br><br>я не верю в конспирологию, что класс задач был - собрать ботнет из умных телевизоров. Но уже почти получилось, да. Осталось подождать пока доберется до распространенных дистрибутивов.<br><br> https://m.opennet.dev/openforum/vsluhforumID3/129337.html#220 Fri, 30 Dec 2022 20:23:06 GMT &gt; они всегда могут собрать себе самбу так и с теми фичами, которые <br>&gt; считают нужными. Питон в обязательные требования не входит.<br><br>Не избавит от огромной либы самбы и openssl, в сумме более ~десяти мегов в флеше даже со сжатием. По сравнению с 200К модулем, который еще и быстрее - ну ты понял.<br><br>&gt; "вероятно, вы имели в виду ftp"<br><br>Сам им пользуйся имхо.<br><br>&gt; пока в очередной раз свою полуграмотность демонстрируешь ты сам.<br><br>С умным видом про "необходимость" самбы вещал не я.<br><br>&gt; ничего что они и не поддерживаются ни одним доступным т-по ры-ым клиентом?<br><br>На самом деле в вон той штуке важно чтобы с ним домашние винды работали. Ну и линуксы общий язык между собой найдут. Остальное там вторично.<br><br>&gt; Пассаж про уровень win98 с ее guest share был не про версию протокола.<br><br>Если б ты был компетентнее, заметил бы что я ошибся, изначально старый протокол там все же сделали а потом снесли. Видимо чтобы уменьшить attack surface.<br><br>&gt; попробуют еще разок-другой.<br><br>Получилось так как это было надо в определенном кас https://m.opennet.dev/openforum/vsluhforumID3/129337.html#218 Thu, 29 Dec 2022 13:19:14 GMT &gt; Это не проблема авторов самбы. Зато это проблема самсунга - и довольно много кого еще. <br><br>они всегда могут собрать себе самбу так и с теми фичами, которые считают нужными. Питон в обязательные требования не входит.<br><br>&gt; Кому надо что-то мелкое, аккуретное, не прожорливое<br><br>"вероятно, вы имели в виду ftp"<br><br>&gt; И кстати если ты хочешь приложиться экспертизой об стол еще раз<br><br>пока в очередной раз свою полуграмотность демонстрируешь ты сам.<br><br>&gt; - помогу: совсем старые версии<br>&gt; протоколов сабж как раз и не реализовывал. <br><br>ничего что они и не поддерживаются ни одним доступным т-порылым клиентом?<br>Пассаж про уровень win98 с ее guest share был не про версию протокола.<br><br>&gt; Видимо с ноля и сразу с частью в ядре, как у проприетарных модулей, было проще.<br><br>получилось хуже воровства - ну ничего, попробуют еще разок-другой.<br><br>&gt; А если я VLC ставлю <br><br>то навряд ли ты клиент интересующий самсунг. Впрочем, по прежнему сомнительно что им нужны были клиенты вообще. У умного телевизора совершенно нет необходимости что-то https://m.opennet.dev/openforum/vsluhforumID3/129337.html#217 Thu, 29 Dec 2022 12:24:15 GMT &gt; это не проблема авторов самбы и они не нанимались этому помогать <br>&gt; Не умеете - соберите пять разных пакетов и ставьте нужный.<br><br>Это не проблема авторов самбы. Зато это проблема самсунга - и довольно много кого еще. Кому надо что-то мелкое, аккуретное, не прожорливое, а не вот это вот е...ее энтерпрайзное месиво. Так появился сабж.<br><br>&gt; оно в виде удобном авторам и их окружению. Разработчики дистрибутивов, пытающиеся угодить <br>&gt; всем - в пролете.<br><br>Ну а вот люди не любят пролетать - так появляются альтернативные реализации с более другими свойствам. Типа сабжа. А вулны... ну они и в самбе так то у всех бывали. Здоровый протокол с кучей опций тому способствует.<br><br>&gt; Впрочем, они обычно не особо и напрягаются - у них нет, повторяю, <br>&gt; задачи влезть в твою флэшку.<br><br>Поэтому я буду считать что мне по пути с чем-то иным чем их ацкое месиво. Не люблю помойки.<br><br>&gt; нет конкурентов, нет проблем.<br><br>Расскажи это производителям мылороутеров.<br><br>&gt; не интересны кроме самого васяна. С ksmbd это не так, он <br>&gt; изначальн https://m.opennet.dev/openforum/vsluhforumID3/129337.html#216 Thu, 29 Dec 2022 11:51:46 GMT &gt; Неактуально, робот денег стоит. Мы уже вырыли ров под окнами офисного билдинга <br>&gt; (силами офисных работников, в ночное время), теперь тела неудачников автоматически идут <br>&gt; на корм крокодилам без лишних затрат и омрачения вида из окон. <br><br>Прости но тот неудачник всех перехитрил и на нем держится ksmbd и exfat. Если его крокодилам отдать, за время обучения нового их из ядра вышибут три раза. Вот и не получается крокодилам скормить. Играет этот корейский пианист как умеет и фиг чего с ним сделаешь: остальные не умеют и так.<br><br>&gt; Просто новых нанимаем после каждого инцидента, кстати, у нас давно работают несколько <br>&gt; выходцев из России. Приезжайте!<br><br>У того типа имена-фамилии точно не российские.<br><br>&gt; не требуется. Японский не требуется тоже, но увеличивает ваши шансы пройти <br>&gt; собеседование.) <br><br>Это пусть фанаты хардкорного галерного рабства наслаждаются. Самсунг даст им от что они хотят. Весла, цепи, галера, дохрена часов в день - все на месте.<br> https://m.opennet.dev/openforum/vsluhforumID3/129337.html#215 Thu, 29 Dec 2022 11:26:46 GMT Неактуально, робот денег стоит. Мы уже вырыли ров под окнами офисного билдинга (силами офисных работников, в ночное время), теперь тела неудачников автоматически идут на корм крокодилам без лишних затрат и омрачения вида из окон.<br><br>Просто новых нанимаем после каждого инцидента, кстати, у нас давно работают несколько выходцев из России. Приезжайте!<br>(Знание корейского, разумеется, необходимо. Желательно так же свободно разговаривать на мандарине и паре диалектов для упрощения взаимодействия с коллегами. Английский не требуется. Японский не требуется тоже, но увеличивает ваши шансы пройти собеседование.)<br> https://m.opennet.dev/openforum/vsluhforumID3/129337.html#214 Thu, 29 Dec 2022 11:21:45 GMT А то ж, смотри: unsafe {}<br><br>И ффсе, теперь мы течем и падаем - безопастно!<br><br>P.S. simula позволяет, вообще-то, с 62го года... но есть нюанс...<br> https://m.opennet.dev/openforum/vsluhforumID3/129337.html#213 Thu, 29 Dec 2022 09:29:49 GMT &gt; Все что можно модуляризовать там обычно модуляризуют, вынося в опциональные аддоны<br>&gt; отдельными пакетами<br><br>это не проблема авторов самбы и они не нанимались этому помогать<br>Не умеете - соберите пять разных пакетов и ставьте нужный.<br><br>&gt; где модуляризация и минимизация не сделаны в удобном виде.<br><br>оно в виде удобном авторам и их окружению. Разработчики дистрибутивов, пытающиеся угодить всем - в пролете.<br><br>Впрочем, они обычно не особо и напрягаются - у них нет, повторяю, задачи влезть в твою флэшку.<br><br>&gt; Хардварные сайты забенчат как твое месиво работает супротив конкурентов.<br><br>нет конкурентов, нет проблем. Васянские поделки на 0.001% от реального функционала никому не интересны кроме самого васяна. С ksmbd это не так, он изначально планировался под расширение userlevel кодом.<br><br>&gt; Это все прекрасно, кроме того что должно быть мелким и опциональным, в отдельным пакете. <br><br>с хера ли они тебе чего-то должны? У них долги перед спонсорами и друзьями проекта. И те внятно заявили - им не нужна подделка под window https://m.opennet.dev/openforum/vsluhforumID3/129337.html#212 Wed, 28 Dec 2022 04:12:28 GMT Фатальный недостаток, который всем тут же становится лень исправлять.<br>