Kritiske fejl i Linux-kernen opdaget
-
af
The-Lone-Gunman
, redigeret af Emil
mboost-dp1
Linux
Det viser bare at man ikke kan føle sig for siker uanset hvilket system man bruger... Egentlig ret logisk når man tænker over det...
#5
"folk med lokal adgang til en maskine" - hvis nogen har lokal adgang til min maskine, er det sgu ikke DoS-angreb og root-adgang jeg er bekymret for.
Personlig data - yep, men ikke pga. af fejl i OS'et. Mere fordi jeg er logget ind, og enhver ved tastaturet har adgang til mine personlige data.
Plus (alt efter hvem det er) at jeg ikke får "lokal adgang" igen, fx. ved at de går med min maskine.
Jeg gider i hvert fald ikke gøre noget ud af dette. Fejlen bliver vel rettet engang ved lejlighed, hvis den da ikke kom med ved sidste opdatering.
"folk med lokal adgang til en maskine" - hvis nogen har lokal adgang til min maskine, er det sgu ikke DoS-angreb og root-adgang jeg er bekymret for.
Personlig data - yep, men ikke pga. af fejl i OS'et. Mere fordi jeg er logget ind, og enhver ved tastaturet har adgang til mine personlige data.
Plus (alt efter hvem det er) at jeg ikke får "lokal adgang" igen, fx. ved at de går med min maskine.
Jeg gider i hvert fald ikke gøre noget ud af dette. Fejlen bliver vel rettet engang ved lejlighed, hvis den da ikke kom med ved sidste opdatering.
Hmm.. Det kunne vaere rart med et "info" felt i nyheder, som fortaeller hvornaar de er blevet submitted til nyhedskoeen, godkendt og vist.
Istedetfor bare at vise hvornaar de kommer paa forsiden.
Det ville goere det nemmere for mig at vurdere hvorvidt jeg skal begynde at indsende sikkerhedsnyheder, da jeg allerede fik dette fortalt d. 11 februar.. :)
7 dage er trods alt rimelig lang tid at have saa serioest et exploit aabent :)
Istedetfor bare at vise hvornaar de kommer paa forsiden.
Det ville goere det nemmere for mig at vurdere hvorvidt jeg skal begynde at indsende sikkerhedsnyheder, da jeg allerede fik dette fortalt d. 11 februar.. :)
7 dage er trods alt rimelig lang tid at have saa serioest et exploit aabent :)
#7
Måske reelt set den mest seriøse kommentar til dette problem.
og
Min ubuntu maskine har fået kernen opdateret 2 gange i de sidste par uger. Man kan jo bare sammenligne med det enorme antalt opdateringer der kommer fra MS til Vista og XP. Der går lidt længere tid med at fixe sådanna ting.
Jeg behøver blot at boote en ubuntu-cd i en Vista/XP maskine - mounte drevet - burge lidt utility's fra nettet og vupti så har jeg fuld adgang. Det samme kan man gøre på enhver Unix/linux maskine - når man har lokal adgang
Nøglen i ovenstående er "lokal adgang" - hvilket gør at den er er en ren akademisk problemstilling.
Man skal huske at brugere og fejl 40 er de mest fatale sikkerhedsrisikoer for computere.
hvis nogen har lokal adgang til min maskine, er det sgu ikke DoS-angreb og root-adgang jeg er bekymret for.
Måske reelt set den mest seriøse kommentar til dette problem.
og
Min ubuntu maskine har fået kernen opdateret 2 gange i de sidste par uger. Man kan jo bare sammenligne med det enorme antalt opdateringer der kommer fra MS til Vista og XP. Der går lidt længere tid med at fixe sådanna ting.
Jeg behøver blot at boote en ubuntu-cd i en Vista/XP maskine - mounte drevet - burge lidt utility's fra nettet og vupti så har jeg fuld adgang. Det samme kan man gøre på enhver Unix/linux maskine - når man har lokal adgang
Nøglen i ovenstående er "lokal adgang" - hvilket gør at den er er en ren akademisk problemstilling.
Man skal huske at brugere og fejl 40 er de mest fatale sikkerhedsrisikoer for computere.
#5.
Jo, Netop - Du kan føle dig en del sikre med OpenSource systemer, da du har mulighed for selv at kikke efter fejl og lignenede.
Derved kan der heller ikke være gemt ting der f.eks. logger dig og gemmer data om dig og sender det videre uden at nogen vil finde ud af det.
Med Windows, OS X og lign. ved du ikke hvad der gemmer sig i styresystemt - Du må have din fulde tillid til at MS og Apple sørger for at der intet "spyware" eller lign. der logger din adfærd gemt i deres kode.
Who knows?
Så vil have kontrol over din computer kan det anbefaldes at bruge OpenSource, så er det ligemeget om det er GNU/Linux eller et andet frit OS med tilhørende opensource progarmmer.
Husk dog, alt skal være OpenSource på maskinen - ellers er hele pointen tabt.
Jo, Netop - Du kan føle dig en del sikre med OpenSource systemer, da du har mulighed for selv at kikke efter fejl og lignenede.
Derved kan der heller ikke være gemt ting der f.eks. logger dig og gemmer data om dig og sender det videre uden at nogen vil finde ud af det.
Med Windows, OS X og lign. ved du ikke hvad der gemmer sig i styresystemt - Du må have din fulde tillid til at MS og Apple sørger for at der intet "spyware" eller lign. der logger din adfærd gemt i deres kode.
Who knows?
Så vil have kontrol over din computer kan det anbefaldes at bruge OpenSource, så er det ligemeget om det er GNU/Linux eller et andet frit OS med tilhørende opensource progarmmer.
Husk dog, alt skal være OpenSource på maskinen - ellers er hele pointen tabt.
Er det nu diskussionen bliver til en "min platform er bedre end din" diskussion ligesom det altid sker når der kommer en mac-relateret nyhed?
#9
Jeg ser nu at det er en gammel nyhed. Så er det vel nok forklaringen på at jeg fik en ny kerne for et stykke tid siden. Jeg går ud fra at fejlen allerede er rettet på min maskine. Ellers bliver den det nok snart. Ellers er jeg egentlig ligeglad. De eneste der har lokal adgang til maskinen er mig, min kæreste og tyveknægte. Og vi er alle ligeglade med dette sikkerhedshul. ;-)
Opdater din kerne, saa er fejlen rettet :)
Jeg ser nu at det er en gammel nyhed. Så er det vel nok forklaringen på at jeg fik en ny kerne for et stykke tid siden. Jeg går ud fra at fejlen allerede er rettet på min maskine. Ellers bliver den det nok snart. Ellers er jeg egentlig ligeglad. De eneste der har lokal adgang til maskinen er mig, min kæreste og tyveknægte. Og vi er alle ligeglade med dette sikkerhedshul. ;-)
Det er ikke helt korrekt det der står i nyheden.... I hvert fald ik til gentoo, idet fejlene er rettet både i 2.6.23-r8 og 2.6.24-r2. og ikke bare i 2.6.24.1
http://www.gentoo.org/
http://www.gentoo.org/
#12
Ovenstående er idealogi, og ikke handler ikke om at have kontrol.
Kontrol over en maskine, får man ved at lære sig hvordan man styrer maskinen. Uanset hvad der er på den.
Jeg er så ikke uenig i at *nix generelt har større mulighed for kontrol 'under the hood', men langt de fleste brugere kan ikke administrere fuld adgang til et system alligevel.
Så vil have kontrol over din computer kan det anbefaldes at bruge OpenSource, så er det ligemeget om det er GNU/Linux eller et andet frit OS med tilhørende opensource progarmmer.
Husk dog, alt skal være OpenSource på maskinen - ellers er hele pointen tabt.
Ovenstående er idealogi, og ikke handler ikke om at have kontrol.
Kontrol over en maskine, får man ved at lære sig hvordan man styrer maskinen. Uanset hvad der er på den.
Jeg er så ikke uenig i at *nix generelt har større mulighed for kontrol 'under the hood', men langt de fleste brugere kan ikke administrere fuld adgang til et system alligevel.
#12: Det lyder godt på papiret, men i realiteten er der ikke meget mere eller meget mindrer sikkerhed i forhold til de ting du nævner.
Det med kildekoden er et meget brugt argument, typisk brugt af folk der ikke selv er programmører. For ved man hvor lang tid det tager at sætte sig ind i bare et mindrer system, som andre har skrevet - så ved man også at man skal være YDERST dedikeret for at gide bruge tid på at finde ud af hvor i kildekoden noget går galt i så stort et system som Linux.
Det er altså næppe alle og enhver der bare uden videre kan tjekke op på hvordan systemet fungerer - ikke engang selvom man så har kompetencerne til det, for man skal være villig til også at bruge en frygtelig masse tid på det og mit gæt er at det primært er enlige studerende der har tid og lyst til at dedikere så meget fritid på at debugge et problem i et open source projekt - istedetfor blot at rapportere det og så lade dem der har skrevet den pågældende kode kigge på det.
Angående Windows og andet ikke-opensource software, så er risikoen for "gemt spyware" faktisk henad lige så minimal. De pakker der ryger igennem dit netkort er ret nemme at analysere. Selvom dataene skulle være krypterede så er bare det at der forbindes til en ukendt server mistænkeligt. Derudover findes der også mennesker (muligvis de samme som debugger linux-kerner) der er så dedikerede at de ligefrem kan finde på at reverse engineere de data der sendes frem og tilbage til Microsoft i forbindelse med Windows Update, Fejlrapporter og lign. Dette gør at skulle Microsoft få en sådan ide, så er det kun et spørgsmål om tid før nogen opdager at der sker noget mistænkeligt. Risikoen for at nogen finder ud af hvad det er der foregår er ganske enkelt al for stor - specielt for seriøse producenter som Microsoft og de image-problemer de kan få på nakken hvis noget sådant blev opdaget kan være ødelæggende. For folk der rent faktisk lever af at sælge et produkt, vil det være en seriøs undervurdering af folks evner hvis man tror man kan slippe godt afsted med den slags og så dumme er eksempelvis Microsoft ikke.
Det med kildekoden er et meget brugt argument, typisk brugt af folk der ikke selv er programmører. For ved man hvor lang tid det tager at sætte sig ind i bare et mindrer system, som andre har skrevet - så ved man også at man skal være YDERST dedikeret for at gide bruge tid på at finde ud af hvor i kildekoden noget går galt i så stort et system som Linux.
Det er altså næppe alle og enhver der bare uden videre kan tjekke op på hvordan systemet fungerer - ikke engang selvom man så har kompetencerne til det, for man skal være villig til også at bruge en frygtelig masse tid på det og mit gæt er at det primært er enlige studerende der har tid og lyst til at dedikere så meget fritid på at debugge et problem i et open source projekt - istedetfor blot at rapportere det og så lade dem der har skrevet den pågældende kode kigge på det.
Angående Windows og andet ikke-opensource software, så er risikoen for "gemt spyware" faktisk henad lige så minimal. De pakker der ryger igennem dit netkort er ret nemme at analysere. Selvom dataene skulle være krypterede så er bare det at der forbindes til en ukendt server mistænkeligt. Derudover findes der også mennesker (muligvis de samme som debugger linux-kerner) der er så dedikerede at de ligefrem kan finde på at reverse engineere de data der sendes frem og tilbage til Microsoft i forbindelse med Windows Update, Fejlrapporter og lign. Dette gør at skulle Microsoft få en sådan ide, så er det kun et spørgsmål om tid før nogen opdager at der sker noget mistænkeligt. Risikoen for at nogen finder ud af hvad det er der foregår er ganske enkelt al for stor - specielt for seriøse producenter som Microsoft og de image-problemer de kan få på nakken hvis noget sådant blev opdaget kan være ødelæggende. For folk der rent faktisk lever af at sælge et produkt, vil det være en seriøs undervurdering af folks evner hvis man tror man kan slippe godt afsted med den slags og så dumme er eksempelvis Microsoft ikke.
#18
Okay, så kommer jeg med en længere forklaring. Jeg tror jeg forklare det med et eksempel.
Jeg kører Ubuntu Linux. Der er ca. én mulliard brugerne, eller i hvert fald tæt på. (Give and take...)
Én eller anden genial smart-ass er administrator-agtigt på ét eller andet opensource-projekt beslutter sig for at smide noget snask ind i koden. Lad os sige han laver en bagdør og en keylogger. Bagdøren gør det muligt for ham at bryde ind i maskine med softwaren installeret, og keyloggeren sender indtastede kodeord til en eller anden server.
Entusiastiske brugere skimmer nogle af de patches der kommer til programmet, og én opdager keyloggeren. Der bliver råbt vagt i gevær på mailing-listen. Idioten nægter at overlade softwaren til andre. Projektet bliver forket (der udgives en kopi i et andet navn), hvor keyloggeren bliver fjernet. Diverse distributioner skifter til det nye projekt.
Ingen har opdagen bagdøren endnu, og den bliver udgivet i Ubuntu, Gentoo, SuSe osv. 10 mulliarder af brugere har nu bagdøren. Én person læser kildekoden igennem, bare fordi han er nysgerrig. Han opdager noget underligt, og spørger på projektets mailinglist. Én person kigger nærmere på det, og ser der er et sikkerhedshul. 2 timer efter er der en sikkerhedsopdatering på vej ud til samtlige systemer, og den når så frem efter hvert enkelt systems opdateringspolitik.
10 mulliarder minus 2 brugere har ikke læst kildekoden, men får glæde af muligheden.
I praksis er værdien af en "mulliard" fri fantasi, og der nok mere end én bruger der kigger på kildekoden, især hvis nogen stiller spørgsmålstegn ved noget.
Okay, så kommer jeg med en længere forklaring. Jeg tror jeg forklare det med et eksempel.
Jeg kører Ubuntu Linux. Der er ca. én mulliard brugerne, eller i hvert fald tæt på. (Give and take...)
Én eller anden genial smart-ass er administrator-agtigt på ét eller andet opensource-projekt beslutter sig for at smide noget snask ind i koden. Lad os sige han laver en bagdør og en keylogger. Bagdøren gør det muligt for ham at bryde ind i maskine med softwaren installeret, og keyloggeren sender indtastede kodeord til en eller anden server.
Entusiastiske brugere skimmer nogle af de patches der kommer til programmet, og én opdager keyloggeren. Der bliver råbt vagt i gevær på mailing-listen. Idioten nægter at overlade softwaren til andre. Projektet bliver forket (der udgives en kopi i et andet navn), hvor keyloggeren bliver fjernet. Diverse distributioner skifter til det nye projekt.
Ingen har opdagen bagdøren endnu, og den bliver udgivet i Ubuntu, Gentoo, SuSe osv. 10 mulliarder af brugere har nu bagdøren. Én person læser kildekoden igennem, bare fordi han er nysgerrig. Han opdager noget underligt, og spørger på projektets mailinglist. Én person kigger nærmere på det, og ser der er et sikkerhedshul. 2 timer efter er der en sikkerhedsopdatering på vej ud til samtlige systemer, og den når så frem efter hvert enkelt systems opdateringspolitik.
10 mulliarder minus 2 brugere har ikke læst kildekoden, men får glæde af muligheden.
I praksis er værdien af en "mulliard" fri fantasi, og der nok mere end én bruger der kigger på kildekoden, især hvis nogen stiller spørgsmålstegn ved noget.
#19 Det er der så også flere dists der har fundet ud af, og defor har lavet den mere "brugervenlig" hvilket basalt set er sket ved at introdusere next next next done alla dåse...
Jeg har prøvet at køre med mandriva 2008.0 og noget *buntu, men efter 2-4 uger blev jeg så træt af det at jeg hentede en gentoo intallcd og smed gentoo ind på lappen igen....
Jeg har prøvet at køre med mandriva 2008.0 og noget *buntu, men efter 2-4 uger blev jeg så træt af det at jeg hentede en gentoo intallcd og smed gentoo ind på lappen igen....
#21
Tjah, det ved jeg nu ikke lige. Hvis man gør arbejdet godt, når man lægger snask ind, så kan det være svært at opdage. Jeg vil ikke påstå at det er umuligt.
Men nogle ting er bare noget nær umulige at skjule. Ofte skal der altså ikke så meget til at finde de ting, der ofte generer i "closed source" software.
Mit vildeste personlige eksempel er tilbage fra før jeg blev professionel udvikler. En fejl i et stykke software generede mig (ikke sikkerhedsmæssigt), og da jeg efterhånden havde fundet ud af præcist hvornår det gik galt, gav jeg mig til at kigge på koden. Jeg fandt fejlen, rettede den, testede, og sendte en patch til den ansvarlige udvikler. Den blev udgivet uændret. Den dag i dag ved jeg stadig ikke hvilket sprog softwaren var skrevet i.
Hvis jeg nu faktisk var interesseret, og kendte sproget, måske enda var en "rigtig programmør", ville jeg have kunnet langt mere.
Godt argument. Den metode er nok nemmere end at kigge kildekoden igennem. På den anden side virker den metode lige godt uanset adgang til kildekoden, så det ændrer ikke meget på diskutionen. Det er stadig nemmere når det er open source, vi kan kun diskutere hvor væsentlig forskellen er.
Det med kildekoden er et meget brugt argument, typisk brugt af folk der ikke selv er programmører. For ved man hvor lang tid det tager at sætte sig ind i bare et mindrer system, som andre har skrevet - så ved man også at man skal være YDERST dedikeret for at gide bruge tid på at finde ud af hvor i kildekoden noget går galt i så stort et system som Linux.
Tjah, det ved jeg nu ikke lige. Hvis man gør arbejdet godt, når man lægger snask ind, så kan det være svært at opdage. Jeg vil ikke påstå at det er umuligt.
Men nogle ting er bare noget nær umulige at skjule. Ofte skal der altså ikke så meget til at finde de ting, der ofte generer i "closed source" software.
Mit vildeste personlige eksempel er tilbage fra før jeg blev professionel udvikler. En fejl i et stykke software generede mig (ikke sikkerhedsmæssigt), og da jeg efterhånden havde fundet ud af præcist hvornår det gik galt, gav jeg mig til at kigge på koden. Jeg fandt fejlen, rettede den, testede, og sendte en patch til den ansvarlige udvikler. Den blev udgivet uændret. Den dag i dag ved jeg stadig ikke hvilket sprog softwaren var skrevet i.
Hvis jeg nu faktisk var interesseret, og kendte sproget, måske enda var en "rigtig programmør", ville jeg have kunnet langt mere.
De pakker der ryger igennem dit netkort er ret nemme at analysere. Selvom dataene skulle være krypterede så er bare det at der forbindes til en ukendt server mistænkeligt.
Godt argument. Den metode er nok nemmere end at kigge kildekoden igennem. På den anden side virker den metode lige godt uanset adgang til kildekoden, så det ændrer ikke meget på diskutionen. Det er stadig nemmere når det er open source, vi kan kun diskutere hvor væsentlig forskellen er.
Er det nu diskussionen bliver til en "min platform er bedre end din" diskussion ligesom det altid sker når der kommer en mac-relateret nyhed?
Det jeg oplever folk gør er at argumentere for hvorfor at deres platform er "bedre" end andres.
OpenSource er kvalitativt anderledes end closed source
Opensource gør at alle der VIL have indsigt i koden KAN få indsigt i koden. Og det er en total modsætning til closed source. Der findes så nogle "halv åbne" closed source, som kræver at man går ind på nogle forpligtigelser. Her er MS's der giver dig mulighed for at se kildekoden - HVIS du underskriver forskellige forpligtigelser.
OpenSource er 100 gange bedre end closed source.
Der har aldrig været mere grøde i udviklingen end da Gutenberg opfandt trykkerkunsten og al viden blev tilgængelig. Den naturvidenskabelige udvikling fra Newton og frem til anden verdenskrig var ren OpenSource. under og efterkrigen begyndte man at skjule viden - og så kan vi jo analysere på det som er sket.
Niels Bohr (den første OpenSource mand ever) sagde at vi skulle dele al viden om atomerne med alle - fordi så ville alle stå lige, alle ville kende de forfærdelige konsekvenser og vi ville ikke få et atomkapløb.
Churchill forpurrede det ret effektivt (nok ikke uden støtte fra USA og Rusland) og så kan vi jo selv se på historiens konsekvens. Hermed ikke sagt at det absolut ville udvikle sig anderledes med Niels Bohrs ide.
Men min pointe er - Closed Source/Friends source er ikke fremskridstvenligt, men laver lukkede klubber og fjendskab. openSource KAN ikke skabe det miljø.
Så derfor er der MEGET relevant i en sådan tråd at sammligne systemer - ikke pga programmering, men pga den filosofi og kultur der ligger bag.
OpenSource er bedre end closed source - fordi mange hjerner tænker bedre end få.
Einstein ville aldrig have beskrevet kvantet UDEN at kunne have læst om Maxwells/newtons og alle de andres kilder!
#24: Jeg er da enig i at det er nemmere med open source end closed source - med open source HAR man muligheden for at sætte sig ind i koden til systemet omend det meget sjældent er et realistisk scenarie.
Pointen også værende at dygtige udviklere somregel interesserer sig mere for at bruge deres tid på egne projekter, fremfor at sidde og debugge andres.
Og ja, metoden med at analysere netværkspakker virker ligegodt i begge tilfælde - min pointe her var egentlig også blot at closed source ikke er ensbetydende med at man kan slippe afsted med at gøre hvad som helst.
Det der irriterede mig lidt var den måde "martinonline" spillede FUD kortet i forhold til closed source.
Pointen også værende at dygtige udviklere somregel interesserer sig mere for at bruge deres tid på egne projekter, fremfor at sidde og debugge andres.
Og ja, metoden med at analysere netværkspakker virker ligegodt i begge tilfælde - min pointe her var egentlig også blot at closed source ikke er ensbetydende med at man kan slippe afsted med at gøre hvad som helst.
Det der irriterede mig lidt var den måde "martinonline" spillede FUD kortet i forhold til closed source.
Well, selvom man har kildekoden til et program og kigger den igennem er det ikke en garanti for at der ikke er sikkerhed huller. De kan jo være designede:
Citat fra PHKs blog på ing.dk:
Der er mere her:
http://cm.bell-labs.com/who/ken/trust.html
Citat fra PHKs blog på ing.dk:
I 1984 leverede Ken Thompson et lille paper, kun tre sider, som tak for sin Turing pris og den dag idag er det værd at læse.
I Reflections on Trusting Trust afdækker han hvorledes det ikke engang er nok at inspicere og kompilere kildeteksten for at kunne stole på et program.
Det er en ren genistreg:
Design et sikkerhedshul i et program, men lad være med at sætte hullet ind i programmet. Design kode i compileren så den genkender at dette program bliver oversat og få compileren til at indsætte sikkerhedshullet, men lad være med at sætte denne kode ind i compileren. Design kode i compileren så den genkender at compileren bliver oversat og indsæt så kode så den indsætter både koden til at indsætte kode i compileren og sikkerhedshullet i det første program. Oversæt compileren. Fjern koden fra compileren. Oversæt compileren igen. Oversæt programmet.
Fra nu af vil alle compilere og kopier af programmet indholde sikerhedshullet, uanset af ingen af kildeteksterne indeholder noget mistænkeligt.
Smag den "Open Source er per definition sikkert" fanboyz.
Der er mere her:
http://cm.bell-labs.com/who/ken/trust.html
#12 martinonline:
Hvis din pointe med kildekoden var et relevant argument, hvorfor finder man så først denne kritiske fejl nu? Jeg tilslutter mig fuldstændigt det, sguft siger. Det er en teoretisk fordel at have adgang til kildekoden, ikke en praktisk. Det tager mig typisk længere tid at læse og forstå andres kode end at skrive ny selv. Og så må man huske, at Microsoft altså også bliver overvåget. Det er ganske vist ikke så let, men derfor har folk jo stadig undersøgt, hvad f.eks. Windows Update sender til Microsoft om din computer. Hvor der er vilje, er der vej. Det er gældende for begge verdener.
Hvis din pointe med kildekoden var et relevant argument, hvorfor finder man så først denne kritiske fejl nu? Jeg tilslutter mig fuldstændigt det, sguft siger. Det er en teoretisk fordel at have adgang til kildekoden, ikke en praktisk. Det tager mig typisk længere tid at læse og forstå andres kode end at skrive ny selv. Og så må man huske, at Microsoft altså også bliver overvåget. Det er ganske vist ikke så let, men derfor har folk jo stadig undersøgt, hvad f.eks. Windows Update sender til Microsoft om din computer. Hvor der er vilje, er der vej. Det er gældende for begge verdener.
#31 myplacedk:
Det er faktisk ret simpelt. Oversætteren vil altid injicere sikkerhedshullet i sig selv (det er den jo programmeret til, inden kilden blev ændret til det oprindelige), så derfor vil det altid være der, selvom man har fjernet det fra den oprindelige kilde.
Det er faktisk ret simpelt. Oversætteren vil altid injicere sikkerhedshullet i sig selv (det er den jo programmeret til, inden kilden blev ændret til det oprindelige), så derfor vil det altid være der, selvom man har fjernet det fra den oprindelige kilde.
Må tilføje at nyheden er alligevel godt og vel en uge gammel, så alle systemer her, er blevet opdateret for længst.
Jeg fik prøvet exploitet af før opdatering, og det virkede selvfølgelig..
Et temp fix var ude efter kort tid, så ingen skade sket her i hvert falde.
Jeg fik prøvet exploitet af før opdatering, og det virkede selvfølgelig..
msm$ ./poc
-----------------------------------
Linux vmsplice Local Root Exploit
By qaaz
-----------------------------------
[+] mmap: 0x0 .. 0x1000
[+] page: 0x0
[+] page: 0x20
[+] mmap: 0x4000 .. 0x5000
[+] page: 0x4000
[+] page: 0x4020
[+] mmap: 0x1000 .. 0x2000
[+] page: 0x1000
[+] mmap: 0xb7d93000 .. 0xb7dc5000
[+] root
root# whoami
root
Et temp fix var ude efter kort tid, så ingen skade sket her i hvert falde.
#34 hvis MS havde lagt en sådan bagdør ind i VB, eller i windows, ville du så have den fjerneste mulighed for at opdage den?
Ville du med Open source?
Ville man ikke på et tidspunkt skulle opdatere det, og ville andre ikke compile direkte udfra kildekoden, og derved opdage forskellen?
Ville du med Open source?
Ville man ikke på et tidspunkt skulle opdatere det, og ville andre ikke compile direkte udfra kildekoden, og derved opdage forskellen?
#36 Floop:
Pointen er ikke, om Windows er bedre. Den diskussion lader man ligge, medmindre man har alt for meget fritid og for få ting at bruge sit liv på.
Man ville selvsagt ikke opdage det med Windows heller, men det stiller ikke Linux bedre. Min pointe var ikke at argumentere for hverken eller, men at forklare problemet for myplacedk, der ikke forstod det. Umiddelbart har jeg dog en formodning om, at du heller ikke har set det smarte i det, så jeg prøver lige igen.
Hvis vi har oversætter a, der er en ren oversætter uden sikkerhedshul.
Tilsvarende har vi også en oversætter b, der har et sikkerhedshul således, at den kan genkende kildekoden til en oversætter og injicere kilden til sig selv.
Hvis man så har kildekoden til a og kører den igennem b, så får man igen oversætter b, selvom det er kildekoden til a. Hvis det derfor var b, der var distribueret med ens operativsystem, ville man aldrig opdage forskellen. Derfor vil man ikke opdage forskellen, fordi fejlen ikke længere findes i kildekoden - kun i den binære fil.
Pointen er ikke, om Windows er bedre. Den diskussion lader man ligge, medmindre man har alt for meget fritid og for få ting at bruge sit liv på.
Man ville selvsagt ikke opdage det med Windows heller, men det stiller ikke Linux bedre. Min pointe var ikke at argumentere for hverken eller, men at forklare problemet for myplacedk, der ikke forstod det. Umiddelbart har jeg dog en formodning om, at du heller ikke har set det smarte i det, så jeg prøver lige igen.
Hvis vi har oversætter a, der er en ren oversætter uden sikkerhedshul.
Tilsvarende har vi også en oversætter b, der har et sikkerhedshul således, at den kan genkende kildekoden til en oversætter og injicere kilden til sig selv.
Hvis man så har kildekoden til a og kører den igennem b, så får man igen oversætter b, selvom det er kildekoden til a. Hvis det derfor var b, der var distribueret med ens operativsystem, ville man aldrig opdage forskellen. Derfor vil man ikke opdage forskellen, fordi fejlen ikke længere findes i kildekoden - kun i den binære fil.
#20 Acro
Nu er det jo et stykke tid siden det blev opdaget.
Den tror jeg folk havde regnet ud....
Forkert!.
Der er mange grunde til at koden, naturligvis altid skal være tilgængelig.
Ovenstående er kun en af dem. Behovet for en gang i mellem, at tilføje eller fjerne funktionalitet er en anden vigtig grund, til at folk altid bør have adgang til den komplette kode.
Afhænger jo nok af situationen.
Ja Microsoft bliver også overvåget. Men du kan aldrig stole på software, hvor folk ikke har adgang til koden. Du kan i bedste fald konkludere, at der ikke er fundet nogen ondsindede funktioner.... Endnu. Men sikker kan man jo aldrig være. Det handler i hvert tilfælde om tillid, altså blind tillid til de som skriver softwaren. Jeg kan sagtens finde tillid til nogen, men aldrig den blinde tillid det kræver at føle sig tryg ved at bruge proprietært software. Tilliden skal jo trodsalt baseres på et eller andet.
Hvis din pointe med kildekoden var et relevant argument, hvorfor finder man så først denne kritiske fejl nu?
Nu er det jo et stykke tid siden det blev opdaget.
Jeg tilslutter mig fuldstændigt det, sguft siger.
Den tror jeg folk havde regnet ud....
Det er en teoretisk fordel at have adgang til kildekoden, ikke en praktisk.
Forkert!.
Der er mange grunde til at koden, naturligvis altid skal være tilgængelig.
Ovenstående er kun en af dem. Behovet for en gang i mellem, at tilføje eller fjerne funktionalitet er en anden vigtig grund, til at folk altid bør have adgang til den komplette kode.
Det tager mig typisk længere tid at læse og forstå andres kode end at skrive ny selv.
Afhænger jo nok af situationen.
Og så må man huske, at Microsoft altså også bliver overvåget. Det er ganske vist ikke så let, men derfor har folk jo stadig undersøgt, hvad f.eks. Windows Update sender til Microsoft om din computer. Hvor der er vilje, er der vej. Det er gældende for begge verdener.
Ja Microsoft bliver også overvåget. Men du kan aldrig stole på software, hvor folk ikke har adgang til koden. Du kan i bedste fald konkludere, at der ikke er fundet nogen ondsindede funktioner.... Endnu. Men sikker kan man jo aldrig være. Det handler i hvert tilfælde om tillid, altså blind tillid til de som skriver softwaren. Jeg kan sagtens finde tillid til nogen, men aldrig den blinde tillid det kræver at føle sig tryg ved at bruge proprietært software. Tilliden skal jo trodsalt baseres på et eller andet.
#38: Kapitalisme er på det punkt ret beregneligt - på kort sigt kan det give mening at udnytte sin markedsposition til at score nogle hurtige penge på kriminalitet - såfremt man er villig til at ofre sin virksomhed og flygte til en øde ø bagefter.
For en af verdens største virksomheder (Microsoft) giver kortsigtede gevinster dog ikke rigtig mening - der er mange flere penge i det langsigtede perspektiv. Og langsigtede perspektiver betyder at der er en grænse for hvor meget man kan røvrende sine kunder.
Derfor har jeg fuld tillid til at Microsoft ikke har nogen interesse i at implementere spyware eller lign. i deres produkter.
For en af verdens største virksomheder (Microsoft) giver kortsigtede gevinster dog ikke rigtig mening - der er mange flere penge i det langsigtede perspektiv. Og langsigtede perspektiver betyder at der er en grænse for hvor meget man kan røvrende sine kunder.
Derfor har jeg fuld tillid til at Microsoft ikke har nogen interesse i at implementere spyware eller lign. i deres produkter.
#30
Jeg haaber jeg misforstaar dig:
Hvorfor ikke?
Det er da langt mere praktisk i _ALLE_ henseender at have en teoretisk uendelig maengde bug-finders, fremfor kun at have sine interne?
Jeg vil vove at paastaa, at det er hurtigere at skimme Apache's kodebase, end det er programmere en ny version fra bunden.
Specielt fordi der allerede er dokumentation om hvordan det fungerer.
Ioevrigt snakker vi vel om at finde bugs, ikke om at lave ny kode?
Der er en uendelig stor forskel paa at skulle decompilere random programmer, og reelt have indsigt i deres kode fra starten af.
Med et opensource project kan du jo rent faktisk selv vaelge at lave en "debugging" compile af et givent program, i tilfaelde af fejl. Vha denne debugging udgave kan du jo saa ret hurtigt finde ud af hvor fejlen / exploitet ligger :)
Jeg haaber jeg misforstaar dig:
Det er en teoretisk fordel at have adgang til kildekoden, ikke en praktisk.
Hvorfor ikke?
Det er da langt mere praktisk i _ALLE_ henseender at have en teoretisk uendelig maengde bug-finders, fremfor kun at have sine interne?
Det tager mig typisk længere tid at læse og forstå andres kode end at skrive ny selv.
Jeg vil vove at paastaa, at det er hurtigere at skimme Apache's kodebase, end det er programmere en ny version fra bunden.
Specielt fordi der allerede er dokumentation om hvordan det fungerer.
Ioevrigt snakker vi vel om at finde bugs, ikke om at lave ny kode?
Og så må man huske, at Microsoft altså også bliver overvåget. Det er ganske vist ikke så let
Der er en uendelig stor forskel paa at skulle decompilere random programmer, og reelt have indsigt i deres kode fra starten af.
Med et opensource project kan du jo rent faktisk selv vaelge at lave en "debugging" compile af et givent program, i tilfaelde af fejl. Vha denne debugging udgave kan du jo saa ret hurtigt finde ud af hvor fejlen / exploitet ligger :)
Jeg har lige lavet opdatering af min ubuntu server fra feisty til gutsy.(ja jeg var lidt tid om det, men jeg havde ikke haft tid nok at afsætte hvis det gik galt).
Men når man laver en opdatering med apt-get dist-upgrade etc., er det så de seneste opdateringer man får? Jeg har nemlig ikke set nogle opdateringer siden installationen med apt-get update/upgrade.
(Min først ubuntu opgradering. Det var jo i øvrigt nemt at opgradere)
Men når man laver en opdatering med apt-get dist-upgrade etc., er det så de seneste opdateringer man får? Jeg har nemlig ikke set nogle opdateringer siden installationen med apt-get update/upgrade.
(Min først ubuntu opgradering. Det var jo i øvrigt nemt at opgradere)
#39
Sålænge du kan skjule din kriminalitet, så er incitamentet jo væsentligt større.
Grænsen for hvor meget DE kan røvrende deres kunder, er dog noget længere end de fleste andre softwareudgiveres. Men ja der er dog en grænse, selv for så magtfulde selskaber som dem. Men den grænse gælder jo først, hvis/når deres svinestreger bliver opdaget.
Derfor har du blind tillid ja. De fremlægger ingen dokumentation, som du kan basere din tillid på. Du stoler bare på dem, udfra en eller anden fin filosofi. Fair nok men det er stadig blind tillid.
Og der er massere af spyware funktionalitet i Windows allerede, som man kender til i Windows Update, Windows mediaplayer osv. Det burde de jo ikke turde, ifølge din lommefilosofi. Men jo monopoler, kan faktisk røvrende jer langt, før folk begynder at sige fra. Hvorfor forstår jeg ved gud ikke.
Dråben for mig da jeg stadig kørte Windows, var indførelsen af produkt aktiveringen. Og de er kun blevet værre siden da.
Kapitalisme er på det punkt ret beregneligt - på kort sigt kan det give mening at udnytte sin markedsposition til at score nogle hurtige penge på kriminalitet - såfremt man er villig til at ofre sin virksomhed og flygte til en øde ø bagefter.
Sålænge du kan skjule din kriminalitet, så er incitamentet jo væsentligt større.
For en af verdens største virksomheder (Microsoft) giver kortsigtede gevinster dog ikke rigtig mening - der er mange flere penge i det langsigtede perspektiv. Og langsigtede perspektiver betyder at der er en grænse for hvor meget man kan røvrende sine kunder.
Grænsen for hvor meget DE kan røvrende deres kunder, er dog noget længere end de fleste andre softwareudgiveres. Men ja der er dog en grænse, selv for så magtfulde selskaber som dem. Men den grænse gælder jo først, hvis/når deres svinestreger bliver opdaget.
Derfor har jeg fuld tillid til at Microsoft ikke har nogen interesse i at implementere spyware eller lign. i deres produkter.
Derfor har du blind tillid ja. De fremlægger ingen dokumentation, som du kan basere din tillid på. Du stoler bare på dem, udfra en eller anden fin filosofi. Fair nok men det er stadig blind tillid.
Og der er massere af spyware funktionalitet i Windows allerede, som man kender til i Windows Update, Windows mediaplayer osv. Det burde de jo ikke turde, ifølge din lommefilosofi. Men jo monopoler, kan faktisk røvrende jer langt, før folk begynder at sige fra. Hvorfor forstår jeg ved gud ikke.
Dråben for mig da jeg stadig kørte Windows, var indførelsen af produkt aktiveringen. Og de er kun blevet værre siden da.
#33 myplacedk:
Hvordan kan du vide, at koden ikke allerede er i den oversætter, du anvender? Du har vel startet med en binær en af slagsen...
Tillid.
Hvad skulle interessen være i at lægge en sådan sårbarhed ind? Tror du virkeligt at man i et samarbejde ikke vil undre sig over kode man ikke forstår (dvs hullet?)
At noget er teoretisk muligt gør ikke at det faktisk eksisterer.
Det er teoretisk muligt at samle alle delene til en jumbojet i en hangaer - udløse en mega eksplosion og så er jumbojetten samlet komplet og perfekt,
Men sandsynligheden for det er urimelig lav. teoretisk, men umulig.
Det der er rent FUD
#34
Fordi compileren er blandt den software som bliver kigget på af flest mennesker. Det er i hvert fald mit gæt.
Anyway, så er det meget meget få mennesker der har adgang til at pille ved min compiler, i forhold til dem som har adgang til bare ét af alle de andre ting jeg har installeret.
Plus compileren er et kæmpe projekt med rigtigt mange interessenter. Det er ikke hvem som helst der får commit-rettigheder.
Jaja, det er vel muligt. Jeg kan også blive ramt af en komet mens jeg ligger og raller efter at være blevet ramt af et lyn.
Jeg kan så ikke se hvad det har med historien i #28, som stadig ikke giver nogen mening for mig.
(Og jeg starter næsten altid med en binær. Kompilering er for udviklere og Gentoo-brugere. Agtigt...)
Hvordan kan du vide, at koden ikke allerede er i den oversætter, du anvender? Du har vel startet med en binær en af slagsen...
Fordi compileren er blandt den software som bliver kigget på af flest mennesker. Det er i hvert fald mit gæt.
Anyway, så er det meget meget få mennesker der har adgang til at pille ved min compiler, i forhold til dem som har adgang til bare ét af alle de andre ting jeg har installeret.
Plus compileren er et kæmpe projekt med rigtigt mange interessenter. Det er ikke hvem som helst der får commit-rettigheder.
Jaja, det er vel muligt. Jeg kan også blive ramt af en komet mens jeg ligger og raller efter at være blevet ramt af et lyn.
Jeg kan så ikke se hvad det har med historien i #28, som stadig ikke giver nogen mening for mig.
(Og jeg starter næsten altid med en binær. Kompilering er for udviklere og Gentoo-brugere. Agtigt...)
#46 myplacedk:
Du overser stadig pointen. Der er intet sikkerhedshul i selve kildeteksten i det scenarie, der nævnes. Så er det fuldstændigt ligemeget hvor mange, der ser den. Sikkerhedshullet ligger kun i den oversatte oversætter. Derfor vil du ikke få øje på den med selv en nok så åben kildekode.
Du overser stadig pointen. Der er intet sikkerhedshul i selve kildeteksten i det scenarie, der nævnes. Så er det fuldstændigt ligemeget hvor mange, der ser den. Sikkerhedshullet ligger kun i den oversatte oversætter. Derfor vil du ikke få øje på den med selv en nok så åben kildekode.
#49 myplacedk:
Pointen er bare, at du ikke ved, om den binære, der hentes allerede er kompromitteret. Bemærk venligst, at jeg ikke siger, det er sandsynligt. Faktisk siger jeg netop, at det er usandsynligt, men det er bestemt en mulighed. At du kan stole på kildekoden betyder ikke, at du kan stole på det oversatte program, der skabes. Det vil kræve, at du gør det manuelt - altså sidder og indtaster maskinkoden selv og derpå oversætter. Det vil til gengæld give en fuldkommen sikkerhed. Medmindre nogle altså har pillet ved din hardware... ;-)
Pointen er bare, at du ikke ved, om den binære, der hentes allerede er kompromitteret. Bemærk venligst, at jeg ikke siger, det er sandsynligt. Faktisk siger jeg netop, at det er usandsynligt, men det er bestemt en mulighed. At du kan stole på kildekoden betyder ikke, at du kan stole på det oversatte program, der skabes. Det vil kræve, at du gør det manuelt - altså sidder og indtaster maskinkoden selv og derpå oversætter. Det vil til gengæld give en fuldkommen sikkerhed. Medmindre nogle altså har pillet ved din hardware... ;-)
Opret dig som bruger i dag
Det er gratis, og du binder dig ikke til noget.
Når du er oprettet som bruger, får du adgang til en lang række af sidens andre muligheder, såsom at udforme siden efter eget ønske og deltage i diskussionerne.
- Forside
- ⟨
- Forum
- ⟨
- Nyheder
Gå til bund