The OpenNET Project / Index page

[ новости/++ | форум | wiki | теги ]

08.12.2016 10:10  Во FreeBSD устранены уязвимости в libc, telnetd и bhyve

Во FreeBSD устранено несколько уязвимостей:

  • CVE-2016-1889 - уязвимость в гипервизоре bhyve, позволяющая выйти за пределы виртуального окружения и получить доступ к хост-системе. Уязвимость вызвана целочисленным переполнением в коде эмуляции устройств, что может быть использовано для доступа к областям памяти за границей в 4 Гб. Успешная атака может привести к изменению содержимого буферов процесса bhyve, обычно выполняемого с правами root, и получению полного контроля за хост-системой. Проблема проявляется в ветках FreeBSD 10.x и FreeBSD 11.x только для гостевых систем, которым выделено более 3 Гб ОЗУ;
  • CVE-2016-6559 - уязвимость в системной библиотеке libc, приводящая к переполнению буфера в приложениях, использующих функцию link_ntoa. При успешной атаке возможно переписать содержимое буферов других функций и теоретически инициировать выполнение кода злоумышленника. Опасность уязвимости снижается благодаря редкому использованию функции link_ntoa в приложениях и необходимости отсутствия в приложениях проверки входных значений (например, ни одна программа из базовой поставки не подвержена атаке). Проблема проявляется во всех поддерживаемых ветках FreeBSD;
  • CVE-2016-1888 - локальная уязвимость в демоне telnetd, уже много лет отключенном по умолчанию. Передача специально оформленных входных данных в сочетании с последовательностью завершившихся неудачей попыток выделения памяти может привести к запуску процесса login без аутентификации. Для успешной эксплуатации уязвимости атакующий должен найти способ инициировать неудачные завершения операций выделения памяти (практически работающих способов сбоев пока не известно). Проблема проявляется во всех поддерживаемых ветках FreeBSD в конфигурациях, в которых настроен запуск telnetd, в том числе через inetd.


  1. Главная ссылка к новости (https://lists.freebsd.org/pipe...)
  2. OpenNews: Отчёт о развитии FreeBSD за третий квартал 2016 года
  3. OpenNews: Релиз FreeBSD 11.0
  4. OpenNews: При портировании во FreeBSD утилиты doas, аналога sudo от OpenBSD, возникла опасная уязвимость
  5. OpenNews: Во FreeBSD устранены уязвимости в libarchive, cpio и прослойках для совместимости с Linux и 4.3BSD
  6. OpenNews: Во FreeBSD устранены локальные уязвимости в sendmsg и atkbd
Лицензия: CC-BY
Тип: Проблемы безопасности
Ключевые слова: freebsd
При перепечатке указание ссылки на opennet.ru обязательно
Обсуждение Линейный вид | Ajax | Показать все | RSS
 
  • 1.1, A.Stahl, 10:23, 08/12/2016 [ответить] [смотреть все]
  • +8 +/
    >устранено

    Вот, а Изя давно говорил, что нет в BSD уязвимостей. И не соврал же.
    Вот кто скажет, что в BSD есть уязвимости 2016-1889, 2016-6559, 2016-1888?
    Никто не скажет. Нет ведь таких уязвимостей в BSD.

     
     
  • 2.2, Аноним, 11:00, 08/12/2016 [^] [ответить] [смотреть все] [показать ветку]
  • +7 +/
    В BSD уязвимости просто исчезают раньше, чем появляются.
     
     
  • 3.3, A.Stahl, 11:07, 08/12/2016 [^] [ответить] [смотреть все]
  • –3 +/
    В смысле устаревают раньше чем обнаруживаются?
     
  • 3.8, Аноним, 12:05, 08/12/2016 [^] [ответить] [смотреть все]
  • +12 +/
    > В BSD уязвимости просто исчезают раньше, чем появляются.

    Реально так и есть. И это происходит прямо на ваших глазах. Еще почти никто не знает, что в Firefox найдена какая-то проблема с безопасностью, а у бздунов в портах уже Firefox версии 50.1 - http://www.freshports.org/www/firefox/

    Линуксоиды об этом только через пару дней прочитают на опеннете или лоре, и только потом в их любимый дистрибутив прилетит обновление.

     
     
  • 4.12, Аноним, 12:53, 08/12/2016 [^] [ответить] [смотреть все]
  • +6 +/
    *BSD настолько неуязвим, что патчит уязвимости задним числом!
     
     
  • 5.19, Михрютка, 13:21, 08/12/2016 [^] [ответить] [смотреть все]  
  • +3 +/
    главное чтоб не задним местом
     
  • 5.27, Аноним, 14:50, 08/12/2016 [^] [ответить] [смотреть все]  
  • +7 +/
    Ты про M$ SQL Server для Linux как-то скромно забыл. Бcдунам еще далеко до такого "выгодного" сотрудничества с M$. Так что это очень спорный вопрос, где первым появятся еж и осел. Я почему-то подозревая, что на какой-нить бубунточке это случится гораздо быстрее.
     
     
  • 6.29, Аноним, 15:03, 08/12/2016 [^] [ответить] [смотреть все]  
  • –6 +/
    Точно, забыл Недалеко У них это случилось сильно раньше и глубже С обеих стор... весь текст скрыт [показать]
     
     
  • 7.32, Аноним, 15:15, 08/12/2016 [^] [ответить] [смотреть все]  
  • +5 +/
    Как же у тебя подгорает Ага Рассказывал один хороший знакомый друг ... весь текст скрыт [показать]
     
     
  • 8.33, Аноним, 15:22, 08/12/2016 [^] [ответить] [смотреть все]  
  • –7 +/
    А, у тебя аргументы кончились Так и скажи из одного 6ыдлотелекома, где для ip-... весь текст скрыт [показать]
     
     
  • 9.37, Аноним, 15:49, 08/12/2016 [^] [ответить] [смотреть все]  
  • +9 +/
    >>> Вот только necro$oft edge у них появился ещё раньше, не говоря уже о экскремент-эксплорере.
    > А, у тебя аргументы кончились. Так и скажи.

    Ты о себе? Самокритично!


    >> Ага. Рассказывал один хороший знакомый друг )
    > из одного 6ыдлотелекома, где для ip-kvm нужен был осёл. Они его как-то
    > юзали из бубунточки 10.04 на тот момент.

    Да ладно тебе юлить, тут все свои, с понятием - как же убунтуйщику и без дуалбута?
    https://help.ubuntu.com/community/WindowsDualBoot

    > Судя по почерку, ты именно тот вантузо-вслщик, вечно пиарящий всл.

    Судя по почерку, ты тот самый дуалбутчик-виртуальщик, короый, конечно же почти совсем не пользуется виндой, но почему то в курсе всех последних новостей и виндо-жаргона :) Считаешь искренне, что иначе нельзя, от чего у тебя похоже нещадно подгорает и заставляет объявлять священный поход на всех тех, у кого железо вантуза (как и радуги) даже не нюхало - прикинь, можно даже и так, хотя тебе похоже и очень сложно представить. Не зря же ты в каждой теме о не-убунтах отмечаешься )


     
     
  • 10.41, Аноним, 16:01, 08/12/2016 [^] [ответить] [смотреть все]  
  • –10 +/
    Смог перевести стрелки, да Возьми с полки пирожок Ну, у меня всё железо такое,... весь текст скрыт [показать]
     
  • 10.107, Michael Shigorin, 12:01, 09/12/2016 [^] [ответить] [смотреть все]  
  • +1 +/
    Возможно, Вашему оппоненту довелось поадминить винды как вот User294 и потому ... весь текст скрыт [показать]
     
  • 6.39, Аноним, 15:56, 08/12/2016 [^] [ответить] [смотреть все]  
  • –11 +/
    Слегка разные вещи В отличии от m ql, ёж с ослом у бцдунов идут нативно Там н... весь текст скрыт [показать]
     
     
  • 7.42, Аноним, 16:02, 08/12/2016 [^] [ответить] [смотреть все]  
  • +11 +/
    > Слегка разные вещи. В отличии от m$$ql, ёж

    Что это за ёж такой?
    > с ослом у бцдунов идут нативно. Там никто ничего не портировал.

    Это где? Ccылочку можно?

     
     
  • 8.44, Аноним, 16:07, 08/12/2016 [^] [ответить] [смотреть все]  
  • –14 +/
    На msdn этих ссылочек - хоть отбавляй Да и сам попробуй у себя нажать кнопкопус... весь текст скрыт [показать]
     
     
  • 9.49, Аноним, 16:27, 08/12/2016 [^] [ответить] [смотреть все]  
  • +9 +/
    > На msdn этих ссылочек - хоть отбавляй.

    Тебе лучше знать, я туда не захожу. Только причем тут тогда msdn? И будут ли ссылочки?

    > Да и сам попробуй у себя нажать кнопкопуск, увидишь там осла. Тот самый кнопкопуск, через который
    > ты pussy.exe запускаешь.

    Это такой синенький с планетой и под номером три?
    http://rgho.st/6phThjGLf
    Не жмется :(
    Что делать?


     
  • 4.62, Stax, 18:20, 08/12/2016 [^] [ответить] [смотреть все]  
  • –9 +/
    Конечно, бежим вперед паровоза http release mozilla org firefox 50 2016 11 22... весь текст скрыт [показать]
     
     
  • 5.66, Аноним, 18:27, 08/12/2016 [^] [ответить] [смотреть все]  
  • +8 +/
    >> у бздунов в портах уже Firefox версии 50.1 - http://www.freshports.org/www/firefox/
    > Конечно, бежим вперед паровоза. http://release.mozilla.org/firefox/50/2016/11/22/Firefox50-planned-dot-releas
    > - 50.1 собираются выпустить только через 5 дней.

    Завидуйте молча, сидя на своих дырявых версиях )


     
  • 5.68, Аноним, 18:50, 08/12/2016 [^] [ответить] [смотреть все]  
  • +17 +/
    > Конечно, бежим вперед паровоза.

    Вы это, как там... Ждите свои электрички. Главное не забывайте заходить в темы про FreeBSD, чтобы оставлять ехидные комментарии о том, что бздуны медленно исправляют баги. ;) Про UTF-8 в консоли не забывайте, про кернел паник от выдернутой флешки, пуссиекзе (а как же без него). Ну и прочие баяны. Типа там BSD RIP и все такое.

    Тут раньше был такой кадр, как Усер294, все ждал, когда появится стабильный btrfs и порвет в клочья zfs. До сих пор ждет. Так что про btrfs тоже не забывайте напоминать тем, кто уже несколько лет юзает zfs в продакшене.

     
     
  • 6.71, Аноним, 19:45, 08/12/2016 [^] [ответить] [смотреть все]  
  • –7 +/
    Вроде как и btrfs и zfs давно уже в продакшне У меня, по крайней мере И по раз... весь текст скрыт [показать]
     
     
  • 7.78, Аноним, 20:16, 08/12/2016 [^] [ответить] [смотреть все]  
  • +3 +/
    Ага, именно по этой причине сами линуксоиды в 2016 году, в своем же крaснoглазом... весь текст скрыт [показать]
     
     
  • 8.82, Аноним, 22:51, 08/12/2016 [^] [ответить] [смотреть все]  
  • –1 +/
    Продакшн бывает сильно разный. Но тебе, бцдуну, этого не понять.
     
     
  • 9.119, dimcha, 09:11, 10/12/2016 [^] [ответить] [смотреть все]  
  • +/
    -- Осетрину прислали второй свежести, -- сообщил буфетчик -- Голубчик, это вздо... весь текст скрыт [показать]
     
  • 9.120, Аноним, 16:18, 10/12/2016 [^] [ответить] [смотреть все]  
  • +/
    На поддиванном серваке один, на подкроватном другой ... весь текст скрыт [показать]
     
  • 6.77, Аноним, 20:12, 08/12/2016 [^] [ответить] [смотреть все]  
  • –4 +/
    В смысле - ждет Btrfs деплойнули в facebook и затестили на миллиарде хомячков ... весь текст скрыт [показать]
     
     
  • 7.79, Аноним, 20:20, 08/12/2016 [^] [ответить] [смотреть все]  
  • +5 +/
    Падажди друг, твое время еще не пришло http www linux org ru forum talks 1... весь текст скрыт [показать]
     
  • 7.80, Аноним, 20:39, 08/12/2016 [^] [ответить] [смотреть все]  
  • +4 +/
    Так до сих пор тестят На этих самых, только считающих себя более продвинутыми ... весь текст скрыт [показать]
     
     
  • 8.81, Аноним, 22:48, 08/12/2016 [^] [ответить] [смотреть все]  
  • –2 +/
    Так это вообще фича а не баг, только латентным проприерасам с их корпорастивным ... весь текст скрыт [показать]
     
     
  • 9.83, Аноним, 22:53, 08/12/2016 [^] [ответить] [смотреть все]  
  • –3 +/
    Пардон, ответ про свежий кернел предназначался другому перцу, который на лоре ч... весь текст скрыт [показать]
     
  • 9.98, ПолковникВасечкин, 09:01, 09/12/2016 [^] [ответить] [смотреть все]  
  • –1 +/
    хочу ... весь текст скрыт [показать]
     
  • 2.5, arachnid, 11:17, 08/12/2016 [^] [ответить] [смотреть все] [показать ветку]  
  • +4 +/
    Изя будет доволен, Изю вспомнили, как "эксперта"...

     
  • 2.16, Аноним, 13:00, 08/12/2016 [^] [ответить] [смотреть все] [показать ветку]  
  • +1 +/
    Прув что "говорил, что нет в BSD уязвимостей" или ты лжец.
     
  • 1.10, Сергей, 12:14, 08/12/2016 [ответить] [смотреть все]  
  • +/
    неужели telnetd кто-то еще использует...
     
     
  • 2.13, 1, 12:56, 08/12/2016 [^] [ответить] [смотреть все] [показать ветку]  
  • +/
    Мне вот интересно, а как нашли уязвимость Т е насобирали денег на аудит кода ... весь текст скрыт [показать] [показать ветку]
     
     
  • 3.15, Аноним, 12:58, 08/12/2016 [^] [ответить] [смотреть все]  
  • –1 +/
    Статические анализаторы кода, случайно нашли, 1000 глаз же, ну ... весь текст скрыт [показать]
     
     
  • 4.84, Аноним, 23:01, 08/12/2016 [^] [ответить] [смотреть все]  
  • +/
    ЧСХ одно другому не противоречит В линухе например есть какая-то командочка исс... весь текст скрыт [показать]
     
  • 2.23, Аноним84701, 14:21, 08/12/2016 [^] [ответить] [смотреть все] [показать ветку]  
  • +/
    https lists freebsd org pipermail freebsd-announce 2016-December 001771 html М... весь текст скрыт [показать] [показать ветку]
     
     
  • 3.25, ram_scan, 14:38, 08/12/2016 [^] [ответить] [смотреть все]  
  • –1 +/
    Потому-что сортир в собственной квартире запирать на сейфовый замок и ставить на... весь текст скрыт [показать]
     
     
  • 4.28, Аноним84701, 14:56, 08/12/2016 [^] [ответить] [смотреть все]  
  • +2 +/
    Не знаю, никаких неудобств при использовании SSH в локальной сети не ощущаю ssh... весь текст скрыт [показать]
     
     
  • 5.64, Stax, 18:22, 08/12/2016 [^] [ответить] [смотреть все]  
  • +/
    Если они керберизированы - почему бы и нет ... весь текст скрыт [показать]
     
     
  • 6.105, Куяврег, 11:27, 09/12/2016 [^] [ответить] [смотреть все]  
  • +/
    дык и ssh можно под цербера :)
     
  • 5.93, ram_scan, 03:42, 09/12/2016 [^] [ответить] [смотреть все]  
  • +/
    Есть легковесный инструмент, пускай будет Иногда это удобно Кому надо - воспол... весь текст скрыт [показать]
     
  • 3.122, Аноним, 09:14, 12/12/2016 [^] [ответить] [смотреть все]  
  • +/
    Потому что есть древние, но еще работающие железяки, которые не умеют в ssh.
     
  • 1.22, DmA, 14:19, 08/12/2016 [ответить] [смотреть все]  
  • –1 +/
    А разве FreeBSD кто-нибудь обновляет?Сколько раз слышал от фрибсдшников фразу "установил и забыл". Обслуживание серверов не для них :)
     
     
  • 2.35, Аноним, 15:43, 08/12/2016 [^] [ответить] [смотреть все] [показать ветку]  
  • +/
    Любой нормальный сервер - поставил и забыл До первой крупной уявимости, конечно... весь текст скрыт [показать] [показать ветку]
     
     
  • 3.74, Аноним, 19:50, 08/12/2016 [^] [ответить] [смотреть все]  
  • –1 +/
    А, так вот он какой, бцдешный livepatch!

     
     
  • 4.117, Аноним, 17:43, 09/12/2016 [^] [ответить] [смотреть все]  
  • –1 +/
    Можно подумать в любом линухе есть лайфпатч В той же бубунте он же за деньги, д... весь текст скрыт [показать]
     
  • 2.45, Sw00p aka Jerom, 16:07, 08/12/2016 [^] [ответить] [смотреть все] [показать ветку]  
  • –2 +/
    Эт раньше было так, а щас чуть ли не каждую неделю из-за долбанного openssl нуно... весь текст скрыт [показать] [показать ветку]
     
     
  • 3.48, Sw00p aka Jerom, 16:13, 08/12/2016 [^] [ответить] [смотреть все]  
  • +/
    Добавлю тут https www freebsd org security advisories FreeBSD-EN-16 20 tzdata ... весь текст скрыт [показать]
     
     
  • 4.51, Ivan_83, 16:34, 08/12/2016 [^] [ответить] [смотреть все]  
  • –1 +/
    Как бы по проще сказать вот именно в портах держать смысла нет, ибо и системные... весь текст скрыт [показать]
     
     
  • 5.88, Sw00p aka Jerom, 00:28, 09/12/2016 [^] [ответить] [смотреть все]  
  • +/
    Не понял вашего в портах держать смысла нет Давайте не поленимся и составим сп... весь текст скрыт [показать]
     
     
  • 6.99, тигар, 09:13, 09/12/2016 [^] [ответить] [смотреть все]  
  • –1 +/
    знаешь сколько раз этот самый список составляли - - а давайте выбросим sendma... весь текст скрыт [показать]
     
     
  • 7.112, Sw00p aka Jerom, 15:47, 09/12/2016 [^] [ответить] [смотреть все]  
  • +/
    пилить всё можно, и в систему всё можно засунуть - но суть возмущения в том, что... весь текст скрыт [показать]
     
     
  • 8.115, тигар, 16:02, 09/12/2016 [^] [ответить] [смотреть все]  
  • –1 +/
    ну тогда по порядку 1 tzdata тебе точно нужно обновлять каждый день неделю их... весь текст скрыт [показать]
     
  • 6.108, Ivan_83, 12:23, 09/12/2016 [^] [ответить] [смотреть все]  
  • –1 +/
    В портах тздату держать смысла нет потому что она используется софтом входящим в... весь текст скрыт [показать]
     
     
  • 7.113, Sw00p aka Jerom, 15:49, 09/12/2016 [^] [ответить] [смотреть все]  
  • +/
    ну танцы с бубном никто не отменял, так и делаем ... весь текст скрыт [показать]
     
  • 7.116, тигар, 16:04, 09/12/2016 [^] [ответить] [смотреть все]  
  • –1 +/
    > сендмыло, бинд - кое как выкинули.

    и давно выбросили sendmail ?:)

     
  • 4.52, Andrey Mitrofanov, 16:55, 08/12/2016 [^] [ответить] [смотреть все]  
  • +1 +/
    B Раз в год B Ты, наверное, совсем не понимаешь, о чём речь Посмотри, на... весь текст скрыт [показать]
     
     
  • 5.85, Аноним, 23:04, 08/12/2016 [^] [ответить] [смотреть все]  
  • –2 +/
    На тридцатый год Зоркий Глаз заметил что мир оказывается вовсе и не встает на па... весь текст скрыт [показать]
     
  • 5.89, Sw00p aka Jerom, 00:33, 09/12/2016 [^] [ответить] [смотреть все]  
  • +/
    Да именно раз год в самой системе у фрибсд меняется tzdata, в портах она меняет... весь текст скрыт [показать]
     
     
  • 6.94, Аноним, 04:19, 09/12/2016 [^] [ответить] [смотреть все]  
  • +3 +/
    А что, у фрибздунов какое-то свое особенное, уличное время Где реалтайм ждет и ... весь текст скрыт [показать]
     
     
  • 7.97, Аноним, 06:51, 09/12/2016 [^] [ответить] [смотреть все]  
  • +2 +/
    Да не-е Мы просто не делаем, как крaсноглaзные, когда меняется какая-нибудь тай... весь текст скрыт [показать]
     
     
  • 8.104, Andrey Mitrofanov, 09:50, 09/12/2016 [^] [ответить] [смотреть все]  
  • +1 +/
    Спасибо, что пояснили, что хотел сказать г-н SwUUp Но не сказал Он оказывает... весь текст скрыт [показать]
     
  • 3.50, Ivan_83, 16:32, 08/12/2016 [^] [ответить] [смотреть все]  
  • –1 +/
    Не понятно причём тут openssl в базе, когда почти всегда используется из портов ... весь текст скрыт [показать]
     
     
  • 4.90, Sw00p aka Jerom, 00:36, 09/12/2016 [^] [ответить] [смотреть все]  
  • +/
    Кто вам сказал что систеиный не юзаетя Вы вообще с фришкой работаете Выпилить ... весь текст скрыт [показать]
     
     
  • 5.110, Ivan_83, 12:28, 09/12/2016 [^] [ответить] [смотреть все]  
  • –1 +/
    Я на ней сижу и куски моего кода есть в ядре Системный openssl портами не юза... весь текст скрыт [показать]
     
     
  • 6.114, Sw00p aka Jerom, 15:52, 09/12/2016 [^] [ответить] [смотреть все]  
  • +1 +/
    точные цифры в студию по ошибке - убили ... весь текст скрыт [показать]
     
  • 2.46, john123, 16:08, 08/12/2016 [^] [ответить] [смотреть все] [показать ветку]  
  • –1 +/
    Не знаю от кого и что вы слышали, но в норме развернул, сверил, поставил на мон... весь текст скрыт [показать] [показать ветку]
     
     
  • 3.76, DmA, 20:01, 08/12/2016 [^] [ответить] [смотреть все]  
  • –1 +/
    Обновление во FreeBSD не доходит даже до процесса установки системы последние 20... весь текст скрыт [показать]
     
     
  • 4.87, Vladimir, 00:06, 09/12/2016 [^] [ответить] [смотреть все]  
  • +1 +/
    у меня на стареньком ноуте как дестоп стоит FreeBSD 11 c XFCE Работает ноут бе... весь текст скрыт [показать]
     
  • 4.92, Sw00p aka Jerom, 00:39, 09/12/2016 [^] [ответить] [смотреть все]  
  • +/
    Да тот же нетфликс ))) ток не нуно начинать холивар бсд вс линукс


     
  • 4.102, тигар, 09:32, 09/12/2016 [^] [ответить] [смотреть все]  
  • +2 +/
    сайтики на рнр и не только и бд под них Посещаемость один из них почти мл... весь текст скрыт [показать]
     
  • 2.61, Аноним, 18:13, 08/12/2016 [^] [ответить] [смотреть все] [показать ветку]  
  • –2 +/
    Тигар как-то рассказывал как это выглядит Суть сводилась к тому что на хостинге... весь текст скрыт [показать] [показать ветку]
     
     
  • 3.103, тигар, 09:41, 09/12/2016 [^] [ответить] [смотреть все]  
  • +/
    А ты много хостингов встречал с jboss не, они, возможно, существуют но то был... весь текст скрыт [показать]
     
     
  • 4.109, Аноним, 12:26, 09/12/2016 [^] [ответить] [смотреть все]  
  • –2 +/
    Да нет никаких проблем со старым жбоссом на любых дистрах, кроме твоей некомпете... весь текст скрыт [показать]
     
     
  • 5.111, тигар, 12:37, 09/12/2016 [^] [ответить] [смотреть все]  
  • –2 +/
    вот этим своим выступлением ты показал знание вопроса вкупе с упоминанием док... весь текст скрыт [показать]
     
     
  • 6.118, Аноним, 22:21, 09/12/2016 [^] [ответить] [смотреть все]  
  • +/
    О, ты даже эти слова слышал.
     
  • 5.121, Докер, 23:56, 11/12/2016 [^] [ответить] [смотреть все]  
  • +/
    Докер образ от хост-системы у него не зависит, ну-ну
     

     Добавить комментарий
    Имя:
    E-Mail:
    Заголовок:
    Текст:


      Закладки на сайте
      Проследить за страницей
    Created 1996-2017 by Maxim Chirkov  
    ДобавитьРекламаВебмастеруГИД  
    Hosting by Ihor