> При оценке степени критичности учитывается масса сопутствующих факторовИменно.Что все ресурсы по безопасности и делают.В частности - один из этих факторов (наиболее интересный админам и т.п.) - это насколько реально на практике шарахнуть кого-то эксплойтом и поиметь с этого какие-то дивиденды.И какие пререквизиты для этого потребуются.Что в итоге и определит использование уязвимости в real world и сколько всем от нее будет (или не будет) головняка.
> например, удаленный root через редкоиспользуемый ethernet драйвер
> может получить среднюю степень опасности
ИМХО, это будет соответствовать действительности только если его реально почти никто уже не использует(например, ISA-овые карточки).Потому что вероятность того что хакеры решат что пофлудить в батч режиме по всем адресам в надежде что кто-то все-таки подломится ну совсем не ноль.Благо, автоматизации поддается хорошо и потому у хаксоров есть соблазн с небольшими усилиями накопать себе пару шелбоксов (дописать цикл перебора адресов к сплойту кто угодно может а дальше упирается уже машина а не хацкер).В случае конкретно этого сплойта все сильно иначе и как максимум я могу представить его штучный юзеж в весьма редких ситуациях (когда все пререквизиты в наличии, etc).
> В случае обсуждаемой ошибки, ее критичность не в локальности и Linux ядре,
> а в самой концепции возможности такого рода уязвимостей.
Я согласен что концепция - красивая.Весьма красиво разыграная комбинация.Так что гол в ворота вроде как влетел а програмеры даже так сходу и не поняли - кто же из них в конечном итоге виноват?!И вообще - вроде как это "штанга" была.Хотя все-равно стремно.
Но давайте все-таки мух отдельно от котлет, а? Концепции - это одно. А вероятность что подконтрольную мне машину шибанут эксплойтом да еще и поимеют с этого что-то - другое.
Сама по себе сферическая критичность в вакууме никому не интересна (ну, кроме специалистов которые их ищут). Всем обычно интересно - насколько вероятно поиметь проблемы если дырку не залатать в кратчайшие сроки ну и каковы последствия. Сайты по безопасности эту простую истиу давно усвоили. И поэтому если они пищут "ерундовая дыра", админам как правило в большей части случаев натурально можно не дергаться особо и пропатчить ее когда будет время, etc и проблем от этого не будет. А если они пишут "критичная дыра", значит надо бросить все и пойти ее запатчить. Немедленно. Потому что иначе велика вероятность поимения с печальными последствиями.
> Кстати, у того же secunia 3 градации уровня критических ошибок - умеренная,
> высокая и экстремальная. Можете считать, что упоминание на opennet
> "критической" ошибки примерно соответствует high critical из рейтинга secunia.
Я вижу тут только 1 проблему: secunia рейтингует это как "Not critical" (1 of 5).
Пруфлинк = http://secunia.com/advisories/35801
Это примерно на 180 градусов отличается от заголовка опеннета и соответствия вроде как не получается (во всяком случае в моем видении). Я почему-то секунии в итоге больше доверяю - они правы в том что через эту дырку крайне врядли поимеют хоть 1 мою машину.И посему рвать попу в плане патчинга - не обязательно, это и правда малокритично.Стало быть, дыра есть.Но на практике она не слишком опасна.И вбабахивать ей критичный статус - гм, знаете, в итоге оценкам опеннета в плане степени опасности вообще верить не имеет смысла.Потому что отфонарные они (как минимум с точки зрени админа которого интересует насколько реально поиметь в итоге проблемы от этой дыры).Если хочется подчеркнуть концептуальность дырки и вычурность эксплойта - наверное это надо делать не словом "критичная", это слово для иных целей.Вот например дыра с эксплойтом файрфокса без патча на нее - это да, вполне себе критичная проблема и она должна быть запатчена вендором в "геройском" режиме - хоть лопнуть но фикс сделать, при том - ASAP, что мозильщики и сделали в принципе.Вот там слово "критичная" хорошо описывает ситуацию: без патча юзеров могут на 1-2-3 поиметь.
Автор конкретно этого сплойта для выражения эмоций и необычности использовал слово "fascinating" (у него ряд значений, одно из них наприме "очаровывающая", что вполне неплохо подходит к описанию этой дыры).Почему на опеннете это описано вот так - я не знаю.Но я заметил что это уже не первый раз когда в заголовке ужастик а в тексте - развенчание ужастика и описание что на самом деле это всего лишь какая-то ерундистика, не больно то и страшная на практике. Может конечно опеннет хочет быть святее папы римского^W^W сайтов по безопасности (тогда можно штамповать всем дырам лэйбу critical вообще не глядя) но я уж лучше буду доверять в оценках тем для кого это хлеб с маслом.Во всяком случае, их оценки обычно хорошо коррелировали с наблюдаемыми на практике явлениями природы.
Ну а какие эмоции у админа вызывет прочтение ужастика в заголовке (после чего начинает чесаться патчилка) а потом чтение в основном блоке опровержения ужастика из заголовка (патчилка чесаться перестает) - сами догадайтесь.Правильно - раздосадованое "опять на$%@ли! :E"
Вариант для распечатки
