Организация The NetBSD Foundation оплатила проведение аудита безопасности сетевого стека, работа по выполнению которого после пяти месяцев работы находится на заключительном этапе. В кодовую базу NetBSD внесены сотни исправлений, направленных на улучшение качества кода и устранение выявленных в ходе аудита проблем, в том числе удалённо эксплуатируемых уязвимостей. Опубликован (http://blog.netbsd.org/tnf/entry/network_security_audit) первый отчёт о выявленных уязвимостях, большинство из которых не специфичны для NetBSD и проявляются в других BSD-системах.
Например, в реализациях IPsec из NetBSD, FreeBSD (https://www.freebsd.org/security/advisories/) и OpenBSD (https://www.openbsd.org/errata63.html) выявлено несколько уязвимостей (CVE-2018-6916, CVE-2018-6918), позволяющих (https://www.freebsd.org/security/advisories/FreeBSD-SA-18:05...) инициировать (https://ftp.openbsd.org/pub/OpenBSD/patches/6.3/common/006_i...) переполнение буфера при обработке специально отправленных сетевых пакетов и вызвать крах ядра.
Переполнение буфера также выявлено в стеке IPv6 NetBSD и других BSD-систем - через отправку специально оформленного пакета IPv6 можно вызвать перезапись 1 байта за пределом буфера, но манипулируя вложенными фрагментами теоретически можно добиться перезаписи целых областей.
В реализации IPv6 Multicast из NetBSD и FreeBSD выявлена возможность создания ситуации обращения к уже освобождённым блокам памяти (use-after-free) при обработке определённых пакетов (обработчик Pim6 при некоторых условиях возвращал флаг IPPROTO_NONE вместо IPPROTO_DONE, что приводило к двойному освобождению буфера). Проблема позволяет удалённо вызвать крах ядра, в случае сборки с поддержкой Multicast. Идентичная ошибка найдена в обработчике EtherIP из OpenBSD, который доступен в конфигурации по умолчанию. .
Из специфичных для NetBSD проблем отмечаются уязвимости в пакетных фильтрах PF и NPF, вызванные целочисленным переполнением в обработчике TCP-SYN и коде для разбора пакетов IPv6 с опциями большого размера. Уязвимости могут быть использованы для инициирования отказа в обслуживании через отправку определённых сетевых пакетов.
Из не связанных с уязвимостями изменений, внесённых в кодовую базу NetBSD в ходе аудита, отмечается проведение работы по усилению защищённости mbuf API, добавлению дополнительных проверок KASSERT, упрощению кода обработки пакетов, проверке соответствия логики работы требованиям RFC, чистке кода IPsec (удалено более 1000 строк, повышена производительность и надёжность).URL: http://blog.netbsd.org/tnf/entry/network_security_audit
Новость: https://www.opennet.ru/opennews/art.shtml?num=48676
Молодцы NetBSD !Кто бы в Linux такой аудит оплатил. Red Hat или IBM ?
> Кто бы в Linux такой аудит оплатил. Red Hat или IBM ?Линуксом занимаются более-менее постоянно, а не раз в двадцатилетку.
Пруф или небыло !
Ну эт просто Вы туда не ходите каждый день. А люди работают регулярно.
>Ну эт просто Вы туда не ходите каждый день. А люди работают регулярно.И только сейчас проявилась их работа в виде найденной уязвимости, или раньше этой ошибки не было, или вы не о работе по поиску ошибок, а об отсранённой по использованию данной ОС?
>>Ну эт просто Вы туда не ходите каждый день. А люди работают регулярно.
> И только сейчас проявилась их работа в виде найденной уязвимости, или раньше
> этой ошибки не было"_ошибки_"
Сразу видно, что вопрос от человека, который не написал ни одной программы.
>Линуксом занимаются более-менее постоянно"Секс постоянный, регулярный, раз в год"
Но причем здесь велосипедисты?По NetBSD можно начать здесь
http://mail-index.netbsd.org/tech-security/2018/01/date1.html
> Из специфичных для NetBSD проблем отмечаются уязвимости в пакетных фильтрах PF и NPFPF - это OpenBSD. Откуда там "специфичные проблемы NetBSD"?
PF портирован везде.
PF самый новый только в OpenBSD
Они в опенке не делают его портабельным специально, приходится сильно пилить напильником, во фре версия уже очень сильно разошлась, например. Соответственно, специфичные от портирования - вполне возможны.
> Они в опенке не делают его портабельным__Портируемым__, чудик!!!
А мне подумалось, почему не портабелируемым? Но портабельность в принципе достаточно точно отражает требуемые качества. Ох уж эти англицизмы.
Несовершенный вид, причастие - портируемый
Совершенный вид, причастие портированный.
"Они делают не портируемый код."
Для иностранных слов транслейт точка ру, проверить можно.
Похоже в этот раз Тео придётся поправить свой счётчик на сайте с удалённо эксплуатируемыми уязвимостями на своём сайте :)
Он даже за уязвимости не посчитал эти проблемы - их все засунули в errata.
Счетчик увеличивают только при remote root, DoS за уязвимость не признают.
> счётчик на сайте
> на своём сайте :)Торопыги, блин...
Ходят тут всякие и не дают мысль дописать :(
> Ходят тут всякие и не дают мысль дописать :(Да как же дописать-то то, чего там отродясь не бывало?!
В чём вообще сегодня смысл существования *BSD? Кроме как корпорастам в плойки нахаляву прошивать.
Элегантнота и стройнота. И в чем вопрос то? Типа, кроме линуха никому больше нельзя существовать? В чем вообще сегодня смысл существования тебя, если есть люди и получше?
Как и ожидалось, ничего конструктивного сказать вы не можете.
Да и разве кто-то говорил, что "кроме линуха никому больше нельзя существовать"? Сказки какие-то сочиняете, лишь бы оправдать существование BSD.
Я сомневаюсь что возможно ответить что-то внятное на столь толстый троллинг
Лурки начитаются а потом приходят умножать энтропию. Стыдно товарищ.
> Как и ожидалось, ничего конструктивного сказать вы не можете.Ожидалось, но ты всё равно написал вопрос на форум? Да, от тебя прям поток конструктива.
> Да и разве кто-то говорил, что "кроме линуха никому больше нельзя существовать"?
Т.е. бесконечное нытье "В чём вообще сегодня смысл" это такое пожелание в сохранении и развитии?
> Сказки какие-то сочиняете, лишь бы оправдать существование BSD.
Дорогой школьник, не задавай свои вопросы, если тебя не устраивают чужие ответы.
> Как и ожидалось, ничего конструктивного сказать вы не можете.Вообще-то Вы это и начали (если ответ был на Ваше сообщение).
> Элегантнота и стройнота.Ты код-то смотрел его?
Смотрел, всё норм.
Особенно libcam, ага, нормальнее некуда просто.
> Особенно libcam, ага, нормальнее некуда просто.Примеры в студию. И вариант более качественного, компактного и устойчивого кода.
Гавкать на ветер все горазды.
> В чём вообще сегодня смысл существования *BSD? Кроме как корпорастам в плойки нахаляву прошивать.Тезлы, вмтвари, циски, микротики, а так же миллионы роутеров со смартами - оказывается, на самом деле там используется БЗДа, о как!
> там используется БЗДаА где-то до сих пор используются лампы накаливания, которые просто по всем параметрам уступают более современным лампочкам.
Наверное именно поэтому в линукс тянут лампы накаливания из BSD. Чтобы стать менее современными.
> А где-то до сих пор используются лампы накаливания, которые просто
> по всем параметрам уступают более современным лампочкам.Ох уж эти хипстеры. Ну сделайте мне на "более современных лампочках" домашний инкубатор.
> Ох уж эти хипстеры. Ну сделайте мне на "более современных лампочках"
> домашний инкубатор.0_0
...(Навеяло... Н. Носов, "Весёлая семейка")
Хорошая книжка, читал пару раз в детстве. :) Вместе "Незнайкой на Луне" от того же автора. ;)
> Хорошая книжка, читал пару раз в детстве. :) Вместе "Незнайкой на Луне"
> от того же автора. ;)Иногда так и тянет просить население, как называлась ПЕРВАЯ книжка про Незнайку :). (Граждане модеры, просьба за оффтоп ногами не пинать.)
>> Хорошая книжка, читал пару раз в детстве. :) Вместе "Незнайкой на Луне"
>> от того же автора. ;)
> Иногда так и тянет просить население, как называлась ПЕРВАЯ книжка про Незнайку
> :).Вот не надо здесь провокаций только. Всем по барабану, ибо Носов -- лучший.
Ох уж эти луддиты. Ну сделал на нагревающих элементах с точным контролем температуры.
> Ну сделал на нагревающих элементах с точным контролем температуры.Не забыл озвучить ценник и доступность в глухом селе, разумеется.
Ох уж эти техноманьяки.
>просто по всем параметрам уступают более современным лампочкам.Т.е. то, что новые лампочки
- гораздо сильнее засоряют окружающую среду при утилизации;
- сильнее разрушают зрение (особенно детское) за счет мерцания (ну разве что сильно дорогие могут поспорить);
- имеют сильно узкие пики в цветовом спектре;
- хуже рассеиваются, что приводит к затруднениям в объемном распознавании объектов;
- не долговечны (тут правда современные лампы накаливания тоже не отстают);
- создают презабавные пиковые нагрузки при включении;
- и просто тупо дороже.Не входит в список "по всем параметрам"?
>[оверквотинг удален]
> Т.е. то, что новые лампочки
> - гораздо сильнее засоряют окружающую среду при утилизации;
> - сильнее разрушают зрение (особенно детское) за счет мерцания (ну разве
> что сильно дорогие могут поспорить);
> - имеют сильно узкие пики в цветовом спектре;
> - хуже рассеиваются, что приводит к затруднениям в объемном распознавании объектов;
> - не долговечны (тут правда современные лампы накаливания тоже не отстают);
> - создают презабавные пиковые нагрузки при включении;
> - и просто тупо дороже.
> Не входит в список "по всем параметрам"?вылазь из криокамеры, у нас тут 2018й год, светодиодные лампы по 100р не моргают, работают по многу лет, потребляя по копейки в месяц электричества на всю хату, и спектром похожи на солнце, а на детей всем плевать
> не моргают...Еще как моргают
> потребляя по копейки в месяц...К вашему сведению доля потребленной энергии от любых лампочек в среднестатистической квартире не превышает 2%, что и так копейки.
> спектром похожи на солнце...Не надо ля ля. Спектр светодиодных лампочек вскгда будет полосатым, а солнечный - сплошной
На сколько я знаю, качественные мерцают даже меньше чем накаливания
> у нас тут 2018й год, светодиодные лампы по 100р не моргаютВзять карандаш (или что-нить хайтековое тех же массогабаритных характеристик) и проверить стробоэффект перед лампочкой или вот тем экраном, в который это всё пишете -- справитесь?
Нет, я серьёзно буду рад, если Вам положили ШИМ не на пару сотен герц при средней яркости. И я серьёзно не понимаю, каким надо было быть дегенератом, чтоб вообще такое пускать в массовое производство, когда сделать на пару десятков кГц -- проблема той же сложности.
Но это всё вообще без отношения к NetBSD (помните NetBSD?), так что предлагаю плавно скруглять офтопик. :)
миша - вот начало этого топика это не провокация флейма?
Или провокация флейма это только тыканье пальцем в проблемы л-инупса ?
как ты оцениваешь "вопрос - в чем смысл существования линукса?" это провокационный?
а вопрос "в чем смысл существования *BSD?" ? если ли разница между этими вопросами?
Кроме твоих предпочтений? а господин модератор ?
Вопрос про смысл существования БСД по сути бесмысленный и нечет в себе только цель - вбросить на вентилятор, я так думаю.
>[оверквотинг удален]
> Т.е. то, что новые лампочки
> - гораздо сильнее засоряют окружающую среду при утилизации;
> - сильнее разрушают зрение (особенно детское) за счет мерцания (ну разве
> что сильно дорогие могут поспорить);
> - имеют сильно узкие пики в цветовом спектре;
> - хуже рассеиваются, что приводит к затруднениям в объемном распознавании объектов;
> - не долговечны (тут правда современные лампы накаливания тоже не отстают);
> - создают презабавные пиковые нагрузки при включении;
> - и просто тупо дороже.
> Не входит в список "по всем параметрам"?Надеюсь, ты ходишь в лаптях, подвязываешь пояс веревкой, живешь в лесу, освещаешь дом лучиной, а сообщения в интернет отпрпвляешь с почтовым голубем. Нет? Тогда что ты корчишь из себя борца с технологиями?
>> Тезлы, вмтвари, циски, микротики, а так же миллионы роутеров со смартами
>> там используется БЗДа
> А где-то до сих пор используются лампы накаливания, которые просто по всем
> параметрам уступают более современным лампочкам.Вообще-то, это был сарказм. Ладно, не всем дано увидеть.
Но притягивание за уши невнятного аналога, вместо возражений типа "какая на МПХ бзда на ведроидах, микротиках, смартах" очень неплохо характеризует уровень знаний Экспертуса ))
В том, чтобы мне было хорошо.
в чем смысл линукса - кроме как позволять компаниям типа Tesla зажимать исходники годами?
Или как google использовать внутри свое и не делиться с другими?
> в чем смысл линукса - кроме как позволять компаниям типа Tesla зажимать
> исходники годами?
> Или как google использовать внутри свое и не делиться с другими?Переезд в калифорнию и биэмдублевэ забыл!
А что в калифорнии хорошего?
> А что в калифорнии хорошего?Смысл! //У торвальдса поспрашивай.
>В чём вообще сегодня смысл существования *BSD? Кроме как корпорастам в плойки нахаляву прошивать.Бетатестеры Red Hat такие забавные.
..Кролики это не только ценный мех но и три-четыре киллограма..
BSD это не только серверная ОС но и вполне пригодная для повседневного использования десктопная ОС - GhostBSD.
Почти всё касается IPv6, которое ненужно. Так что ненужно.
Деревня!
Сиди и дальше в цифровом гетто.
Я уже больше 5 лет как юзаю IPv6, и софт свой давно портировал.
> Я уже больше 5 лет как юзаю IPv6, и софт свой давно
> портировал.И таких как ты 1.5 анонима и 0.5 операторов которые вообще поддеживают ipv6.
> И таких как ты 1.5 анонима и 0.5 операторов которые вообще поддеживают ipv6.Мы об операторах в общем или об операторах Мухосранска? А то в остальном мире, как бы, уже наоборот.
> А то в остальном мире, как бы, уже наоборот.Это где нужно сделать циске продажи по плану?
(ну, вспоминая характеристику всего этого движняка с похоронами v4 в изложении dk@, который более чем в теме)
Чтобы получить рабочий IPv6 помощь и содействие оператора не требуется, есть тунельные брокеры.
там тоже не все гладко. вон sixxs год назад откинулся и кинул пацанов :)
Зато отечественного тун брокера опять возродили.
> Чтобы получить рабочий IPv6 помощь и содействие оператора не требуется, есть тунельные брокерыКостыль
Оно не напрягает совсем.
И сейчас есть профит с отсутствием ценза, пока они там с прокси и впн бегают.
Вот PPP у некоторых провайдеров напрягает сильнее.
>> Я уже больше 5 лет как юзаю IPv6, и софт свой давно
>> портировал.
> И таких как ты 1.5 анонима и 0.5 операторов которые вообще поддеживают
> ipv6.https://www.google.com/intl/ru/ipv6/statistics.html#tab=per-...
~ 24% от общего числа хостов, 2018
Смотрим чуть шире. Сетевой стек из BSD это (кто бы мог подумать) также винда и макоси. Что искать, читаем в CVE.
Спасибо добрый человек. Мы реально не представляли что делать и вы указали нам праведный путь.
Отучайся говорить за всех. На форум заходят не только жирные и бесполезные вроде тебя, но и молодые специалисты, которым дельный совет не повредит.
был, лет двадцать назад. небось тогда ещё ipv6 в bsd вообще не было
В MacOS до сих пор. И далеко не только сетевой стэк.
> был, лет двадцать назад. небось тогда ещё ipv6 в bsd вообще не
> былоА теперь передача для самых маленьких: «IPV6 Kernel part was started long ago 1996 (by Pedro Roque), based on the BSD API; It was Linux kernel 2.1.8».
> Смотрим чуть шире. Сетевой стек из BSD это (кто бы мог подумать)
> также винда и макоси. Что искать, читаем в CVE.Слышу эти сказки уже 20 лет. Но пруфов так и не видел. Может у тебя есть?
Таки уже прочитайте лицензию, приложенную к каждой инсталляции Windows или MacOS - там прямая ссылка на использование FreeBSD кода.
> Таки уже прочитайте лицензию, приложенную к каждой инсталляции Windows или MacOS -
> там прямая ссылка на использование FreeBSD кода.То есть пруфов опять не будет, будут виляния и отсылки?
> То есть пруфов опять не будет, будут виляния и отсылки?Вы настолько некомпетентны в вопросе, что не имеете права требовать пруфы, не проведя базовое исследование темы своими силами.
Приступайте же.
> Таки уже прочитайте лицензию, приложенную к каждой инсталляции Windows или MacOS -
> там прямая ссылка на использование FreeBSD кода.в MacOS это userland, ядро там свое.
Я тоже так думал до опубликования деталей workflow команды FreeBSD по устранению Spectre/Meltdown. Оказалось, что Apple подсасывает не только userland, но и очень много чего из FreeBSD в kernel.
В винде так было до NT6, а вот в ней уже многое переделали. В WinXP поиск по слову OpenBSD в каталоге SYSTEM32 работал успешно (не помню только, ASCII или UTF-16). :) Скорее всего, в userspace и сейчас код остался, как и в winsock, но поскольку 3-й пункт из оригинальной BSDL давно был отозван, найти по фразе о копирайте уже может и не получаться.В Linux до какого-то времени тоже был сетевой стек BSD, кстати.
А учитывая, что к подсистеме управления виртуальной памяти в линухе приложил руку Меттью Диллон, то кукареканье линуксоидов про бсд выглядит особенно смешным.
> А учитывая, что к подсистеме управления виртуальной памяти в линухе
> приложил руку Меттью Диллон, то кукареканье линуксоидов про бсд
> выглядит особенно смешным.Знаете, если упражняться в риторике такого вида, то ответ (на обе лопатки) может выглядеть примерно как "а что это он так расприкладывался, ему бсд не хватало?".
Выгнали его. За агрессивную криворукость.
Если реально прям интересно-преинтересно, то можешь почитать его интервью на этот счёт.
Любопытно, что больше всего дыр в OpenBSD которая, как это декларируется разработчиками, должна быть самой защищённой.
В OpenSSH должно быть еще больше дыр в таком случае...
Так они там есть, просто Тео вылизал часто используемый код, а если ты попробуешь в ssh-keygen ключи странных форматов совать то он будет крашится ещё как.
Корни у этого всего весьма своебразные, оч мягко говоря.
> Корни у этого всего весьма своебразные, оч мягко говоря.подразумевается, что это широко известная информация. Но хотелось бы подробней
Открой исходники и посмотри кто изначальный автор который столько накосячил.
акт истинного творения бессознателен, меньше довление ненужных мыслей о незащищённости
страшно подумать, что выявит аудит свободного стека фрибсд и открытого стека опенбсд
> страшно подумать, что выявит аудит свободного стека фрибсд и открытого стека опенбсдДумать не страшно, попробуйте! А что, у них есть еще и закрытые стеки? :\
>> страшно подумать, что выявит аудит свободного стека фрибсд
>> и открытого стека опенбсд
> А что, у них есть еще и закрытые стеки? :\Если продолжить шутку, то такой вопрос вовсю стоит перед ClosedBSD.
> страшно подумать, что выявит аудит свободного стека фрибсд и открытого стека опенбсдНе думай. У тебя это хорошо получается.
https://en.wikipedia.org/wiki/Lennart_Poettering"His style has brought him accusations that he is working against long-standing Unix philosophy, which he addressed in his blog post The Biggest Myths. For instance, Poettering has advocated speeding up Linux development at the expense of breaking compatibility with POSIX and other Unix-like operating systems such as the BSDs."
Почему здесь об этом молчат? Так он еще и работает в RedHat.
Решайте сами к чему все идет и какое будущие у linux.
Замечательное настоящее и готовое к продакшену будущие.
> будущиеНо жить в эту пору прекрасную уж не придется ни мне ни тебе
Однажды у корпораций случится новый приступ NIH, Потеринг выйдет из моды и на системд будут показывать пальцем и писать про "портянки юнитов" и "устаревшую глючную архитектуру" (ибо уже 8 лет прошло). И случится это в ближайшие годы.