В хранителе экрана GNOME, входящем в комплект последних версий openSUSE, обнаружена (http://www.h-online.com/open/news/item/GNOME-screen-lock-ine...) уязвимость, позволяющая выйти из режима блокировки экрана без ввода корректного пароля. Тесты подтвердили, что попасть в заблокированное рабочее окружение GNOME можно просто нажав и удерживая в течение нескольких секунд клавишу Enter, что приводит к краху хранителя экрана (gnome-screensaver-2.28.0-2.3) и снятию обеспечиваемой им защиты.
В декабре подобная проблема не раз сообщалась (http://www.opennet.ru/opennews/art.shtml?num=24841) пользователями Ubuntu и Fedora, после чего была без особой огласки устранена в данных дистрибутивах. Уязвимость связана с ошибкой в реализации функции dk_window_begin_implicit_paint() из состава GTK+, которая иногда приводит к попыткам отрисовки в несуществующем окне, что приводит к краху.
Пользователям openSUSE рекомендуется вручную установить обновленную версию па...URL: http://www.h-online.com/open/news/item/GNOME-screen-lock-ine...
Новость: http://www.opennet.ru/opennews/art.shtml?num=25393
Эпично, эпично. А потом говорят, что убунта дырявый дистрибутив. Это, конечно, не так. Убунта -- один из самых защищенных дистрибутивов.
В этой новости упоминается 3 дистрибутива.Завидуете популярности Ubuntu?
Прикольно. Я Убунту не то, чтобы защищаю, но уязвимость в скринсейвере Гнома, а это, простите, не Убунту, а ГНУ - существенно более широкое понятие. К тому же, как раз в Убунте это уже исправлено.
>Убунта -- один из самых защищенных дистрибутивов.В убунте сие исправили, btw. Так что эпичен в основном ваш тупняк не по делу.
Исправили __втихую__. Остальные еще 3 месяца ходили с голой Ж :(Линуксоиды - а помним ли за что мы тут на мелкомягких бочками катили? И к чему всё пришло? Тьфу!
то-есть они должны были вам доложить или было бы достаточно новости на ведущих сайтах?
новости на ведущих сайтах было бы достаточно
>новости на ведущих сайтах было бы достаточноДык на опеннете была новость про дыру в GTK. Вроде никто и не секретничал.
Пруфлинк = http://www.opennet.ru/opennews/art.shtml?num=24841
Боян еще декабрьский. А кто не отпустил ручник за столько времени - сами виноваты.
>то-есть они должны были вам доложить или было бы достаточно новости на ведущих сайтах?на "ведущих" сайтах - это на каких? На сайте The New York Times не было, на нашей Lenta.Ru тоже не было. Или Вы считаете, что простые пользователи должны посещать ресурсы, которые посещают преимущественно админы и прочие айтишники? Ну тогда не надо позиционировать линукс как решение на каждый десктоп, если для его использования необходимо мониторить сайты вроде опеннета.
Простые пользователи Убунту, просто получили апдейт. Им вообще не нужно знать о том, что бывают проблемы безопасности связанные с переполнением буфера или попыткой рисовать в NULL..
>Исправили __втихую__.Погодите, вроде трубеж был из всех щелей? На опеннете ньюс был, etc. В чем состояла тишина? В том что парни из суси засунули бананы в уши и всю эту шумиху пробакланили? Даже я, не будучи юзером гнома, был прекрасно в курсе такой ляпы еще хз сколько времени назад. Поудивлялся. Разослал варнинг знакомым гномерам, чтоб те были в курсе такой прикольной подляны. Почему фрукты из суси протормозили - не ко мне. Я не отвечаю за отпуск ими ручника.
>Линуксоиды - а помним ли за что мы тут на мелкомягких бочками
>катили? И к чему всё пришло?А при чем тут линуксоиды, кстати? Гном что, только на линуксе работает? А если кто насрал на секурити своей дистрибуции и не отпустил ручник - кто ж им доктор?
>Тьфу!
Ишь разплевались. А в чем суть предъяв? И к кому предъявы? Линуксоиды почему-то крайние, хоть я и не догоняю чем они вам виноваты. О этом баге в GTK трубили из всех дыр. Если фрукты из суси умудрились это пробакланить - я их поздравляю, пусть в следующий раз быстрей отпускают тормоза и не отмазываются что втихую починили. Потому что даже я, явный нелюбитель гнома но интересующийся системными вопросами и секурити был уж давно в курсе этого эпичного ляпа. Кексам из опенсуси должно быть в свете этого стыдно, имхо.
Эпичны пользователи Ubuntu, засыпающие на энтере. :}
майкрософт - партнёр новела по апгрейду стандартов хранителей экрана ?
Ошибка в GTK+, либа, на к-й Гном написан
А если проложить логическую цепочку Микрософт - Новел - Мигель - Гном - Гтк, то все становится ясно и понятно.
Да - ты прав! У тебя действительно параноЙА! :)
>Да - ты прав! У тебя действительно параноЙА! :)А у половины коментящих тут - тормозизм, это хуже. Новости - месяц. И это новость только для лабухов из опенсуси. Которые в отличие от убунтуев и федоровцев почему-то не отпустили ручники.
ИМХО лучше паранойя чем не отпущенный минимум полтора месяца ручник.
Я даже не знаю как начать думать чтоб до такого додуматься
debian-sid - не работает :)
У меня в обычном Lenny тоже не работает. Минуты две держал нажатым.
Но вот сусятники говорили что ппц :(
Хранители экранов удобно котом тестить. Мой умнокот раньше кеды валил нафиг, просто валяясь на клавиатуре, пока я на работе. Написал в багзиллу => баги пофикшены. А гномеры до такого не додумались.
> Мой умнокот раньше кеды валил нафигУлыбнуло
А какую багу вызывал кот? И что вы писали как steps to reproduce? Эээ... "посадите кота на клавиатуру"? oO :)
>Хранители экранов удобно котом тестить. Мой умнокот раньше кеды валил нафиг, просто валяясь на клавиатуре, пока я на работе. Написал в багзиллу => баги пофикшены. А гномеры до такого не додумались.у меня лучший тестер это сын, когда ему было чуть больше года он подобрал пароль разработчиков, опять же GDM
реже всего ему удаётся завалить TuxPaint, Serious Sam, а xmonad так и не смог
>Хранители экранов удобно котом тестить. Мой умнокот раньше кеды валил нафиг, просто валяясь на клавиатуре, пока я на работе. Написал в багзиллу => баги пофикшены. А гномеры до такого не додумались.Вот уж действительно, кот нагадил в кеды =)
А если нажмётся Alt+SysRq+B тоже репорт писать?
А Завински говорил - свистелки в такой важной вещи - не к добру
необновленная убунта 9.04 - не работает
Опять эта же уязвимость... Хорошо, что всегда есть выбор. AMD или Intel, nVidia или ATi, даже в своё время зачем-то сделали DVD-R или DVD+R, Gnome или KDE, Compiz или Beryl, OpenOffice.org илиKOffice, Theora или тот кодек со сложным названием. Или что-то третье. Думаю, расширить этот список может любой и рспространется это на всю IT-индсрию. Это не только повод для холиваров, но и причина того, что недочёт в одном продукте никак не повлияет на пользователей тоара-эквивалента. В процессоре Intel нашли недавно опасную уязвимость, присутствовавшую с 386-х, а AMD от него свободна! В GTK нашли глюк, на Qt он не рспространяется! Мне нравится. И пусть другие говорят "велосипед, зоопарк", выбор всегда полезен, и кроме среди прочего является одной их основополагающих частей философии UNIX.
Каким местом выбор относится к багам? Вы телепат, способный предсказать где и когда будет найдена очередная уязвимость?
Когда есть выбор KDM или GDM с дыркой, вы можете выбрать KDM и продолжать работать
А если у вас винтукель с WinAPI и IE, то вы либо сидите с голой жопой либо метёте улицы
>Когда есть выбор KDM или GDM с дыркой, вы можете выбрать KDM
>и продолжать работать
>А если у вас винтукель с WinAPI и IE, то вы либо
>сидите с голой жопой либо метёте улицыДело не в выборе, а в возможности эту багу пофиксить. Вы что, сразу на другой продукт прыгаете при выходе CVE? Тяжело вам, видимо.
ничего сложного и невозможного в переключении с GDM на KDM и даже XDM нет
Если имеется проблема и вы знаете что её починят быстрее чем вы успеете разобраться, то зачем тратить силы? вполне нормальная и приемлемая ситуация
А вот ситуации когда Adobe не фиксит свои критические дыры во флеше и милионам пользователей нечем его заменить, явно говорит о пользе возможно выбора реализаций одной технологии
А в винде подобные уязвимости разве находили? В хр welcome-скрин бывает тупит и на админе пароля нет, но чтоб локально пароль обойти - не припомню.
Там раньше было достаточно нажать отмена при логине чтобы зайти :). Смотрелось смешно. А сейчас в моде прикол с заменой логин-скрина на "отправьте смс на номер XXXX с текстом не лох, тогда получите код для входа в систему" :D.
"Там раньше было достаточно нажать отмена при логине чтобы зайти :). Смотрелось смешно. А сейчас в моде прикол с заменой логин-скрина на "отправьте смс на номер XXXX с текстом не лох, тогда получите код для входа в систему" :D. "
Не нужно говорить, о чём не знаешь. Это называлось "сетевой вход". Т.е. нажав отмену, вы получали доступ только к локальным ресурсам, но не к сетевым. Не к доменным в частности.
И это было только в "домашних версиях" (Win 9x), никак не в линейке "рабочей" Windows (NT, 2000, XP....)
При физическом доступе к машине с XP, 2000 и NT, на которой ты хоть раз залогинился локально или сети, твой пароль доступен любому кому это надо и кто умеет гуглить.
>При физическом доступе к машине с XP, 2000 и NT, на которой
>ты хоть раз залогинился локально или сети, твой пароль доступен любому
>кому это надо и кто умеет гуглить.Абсолютно то же самое можно сказать и про линукс: имея физический доступ пароль можно достать/сменить. Что касается "твой пароль доступен любому", то это наглая ложь, Вы тут хвастались, что знаете что такое гугл, вот уточните у него, почему.
>Не нужно говорить, о чём не знаешь. Это называлось "сетевой вход".Это называлось "большой лол", потому что защита паролем вообще не защищала компьютер. Смысл в такой защите не очень понятен т.к. системы прав в 9х например вообще не было и любой лопух мог шариться по папкам всех юзеров, разумеется, половина того что на шарах хранится и локально. Итого - эпичный лол а не логин.
Кстати изначально винда не многопользовательская система ни разу по дизайну. И сие до сих пор заметно даже в NT-based. Скажем, в винде я совершенно не углядел средств для квотирования жрача ресурсов юзерами. Там нет метода запретить юзеру запустить 1000 процессов которые сожрут 100% проца, оставив остальным юзерам волшебную фигу. Средств для квотирования жрача оперативы конкретным юзером я тоже не узрел. Плохо искал? В *никсах есть искаропки достаточно эффективный ulimit который позволяет подрезать крылья юзерам, не дать программам пошедшим вразнос завалить с собой весь хост и прочая. А с штуками типа openvz можно вообще отдать железный ящик на растерзание орде юзеров не боясь что кто-то один выжрет все ресурсы а остальные будут сосать болт. Ультрамегагиперсовременной винде до такого как пешком до Пекина.
>Т.е. нажав отмену, вы получали доступ только к локальным ресурсам, но не к сетевым.
Да, в 9х в результате можно было шариться по всем папкам всех юзеров в системе. Колоритно, ага. По большому счету - не система логина а так, декоративная фигня.
>Не к доменным в частности. И это было только в "домашних версиях" (Win 9x),
Дык поначалу кроме 9х ничего и не было. Нет, был, конечно NT но он был требователен к железу и юзался только очень местами.
> никак не в линейке "рабочей" Windows (NT, 2000, XP....)
Кстати да, школьники в те поры придумали минимум 2 эпичных издевательства над NT. Ну во первых, чтобы увильнуть от доменных политик - можно было отключить кабель сетевухи а потом прицепив его обратно (лолз). Ну а форкбомба на батниках в два счета сносила "нерушимый" NT, укладывая его в жесточайший своп, после чего юзер становился уже без шансов пристрелить всю ораву процессов. Что самое интересное - а в 2010 году от форкбомбы в винде защититься можно вообще? Я вот так сходу рецепта не знаю.В линухе то ulimit-ом на раз лечится. А в винде - ??? :)
>> Скажем, в винде я совершенно не углядел средств для квотирования жрача ресурсов юзерами. Там нет
>метода запретить юзеру запустить 1000 процессов которые сожрут 100% проца, оставив
>остальным юзерам волшебную фигу. Средств для квотирования жрача оперативы конкретным юзеромПлохо смотрел ((( не в обиду линю, но на винде достаточно хорошо проработана система квот на проц и память. Знаю о чем говорю, поскольку довелось настраивать ((( Появилась с 2003 r2
Даже раньше... В стандартной XP есть такое понятие, как профиль оборудования.
Там это можно даже централизовано раздавать через домен, равно как и блокировать или разрешать ограниченный доступ к любой железке. Разумеется всё это при прямых руках и отсутствии привычки обсирать винду "потомучто винда". Чтобы избежать срача на тему "ещё один виндузятник свалился" - я ортодоксальный линуксоид ))) и за виндой редко сижу.
> Хорошо, что всегда есть выбор. AMD или Intel, nVidia или ATi2 варианта это не выбор.
>> Хорошо, что всегда есть выбор. AMD или Intel, nVidia или ATi
>2 варианта это не выбор....поэтому и сидю на wdm. :)
Разработчики openSUSE как всегда в танке.
Хех, gentoo, KDE 4.4.0, работает. В одном из 9-10 случаев даже kde crash handler вылазит :(
Подтверждаю, блин
Странно, уязвимость в хранителе экрана GNOME, а срабатывает в и KDE. У KDE нет своего хранителя экрана, раз пользуется гномовским?
>Странно, уязвимость в хранителе экрана GNOME, а срабатывает в и KDE. У
>KDE нет своего хранителя экрана, раз пользуется гномовским?Видимо, не все так просто :) Сейчас вот уже не работает, надо проверить, что обновилось...
в сусе 11.2 + автоапдейты стандартных реп бага не воспроизводится
Баянище. Я еще в декабре 2009 поставил Fedora 12, так там уже стоит gnome-screensaver версии 2.28.0.6,
и такой ошибки нет (только что специально проверил).
Автор вместо того чтобы народ пугать лучше бы написал, мол обновитесь господа и все.
несколько лет назад я на винде проводил подобный эксперимент. на ночь придавил клавишу Enter у залоченого компа. Утром, когда я пришел на работу, комп висел :-D
>несколько лет назад я на винде проводил подобный эксперимент. на ночь придавил
>клавишу Enter у залоченого компа. Утром, когда я пришел на работу,
>комп висел :-DПодозреваю это повалит любую систему - из-за утечек памяти в процессах, которые не тестируются на такой многократный перезапуск между перезагрузками системы )))
>>несколько лет назад я на винде проводил подобный эксперимент. на ночь придавил
>>клавишу Enter у залоченого компа. Утром, когда я пришел на работу,
>>комп висел :-D
>
>Подозреваю это повалит любую систему - из-за утечек памяти в процессах, которые
>не тестируются на такой многократный перезапуск между перезагрузками системы )))Вообще "авторизация в консоли" - это процесс, которому уже лет 30.
И такие способы взлома - не новость.
В нормальных системах (*nix, *linux, *bsd, *solaris) все это уже вылизано.
Ошибся в воде логина/пароля 1 раз - легкая задержка.
Ощибся в воде логина/пароля N раз - долгая задержка.
Во время задержки весь ввод посылается в /dev/null.
Ибо нефиг)
Даже продукты от MS научились делать что-то подобное.А в данном случае где-то криво накодили в screensaver'е.
А если зайти в консоль и убить этот процесс, то можно обойти защиту.
Тока что проверил на Убунту 9.10.
А убить процесс - с чьими правами? ))))
А то вот у рута вообще есть право снести всю систему нафиг "в полёте" ))))
>А убить процесс - с чьими правами? ))))
>А то вот у рута вообще есть право снести всю систему нафиг
>"в полёте" ))))речь скорее идёт о том что появится возможность доступа к хому юзера который сам по себе шифрованный (в том числе и от рута).. хреново...