Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Раскрыты подробности о root-уязвимости в ядре Linux, атакова..., opennews (ok), 30-Мрт-17, (0) [смотреть все] Уже в который раз , grsec (ok), 10:30 , 30-Мрт-17, (1) // вообще-то баг не в user namespaces, а в ipsec, Нанобот (ok), 11:01 , 30-Мрт-17, (3) +1 // Позволяющий руту получить права рута Отличненько , анон (?), 11:06 , 30-Мрт-17, (4) +5 // Полагаю, что не обязательно руту, а CAP_NET_ADMIN , Аноним (-), 11:14 , 30-Мрт-17, (6) +3 Позволяющая руту внутри _контейнера_, созданного непривилегированным пользовател, Аноним (-), 14:36 , 01-Авг-17, (40) Если фича увеличивает область атаки на порядок, не является ли она сама уязвим, Аноним (-), 11:11 , 30-Мрт-17, (5) –3 // Предлагаю удалить из ядра Linux сетевой стек Во избежание , Аноним (-), 11:15 , 30-Мрт-17, (7) +26 Удалять не стоит А вот давать кому попало CAP_NET_ADMIN 173 8212 глупо Но , Аноним (-), 11:54 , 30-Мрт-17, (12) –3 А зачем джанге и вордпрессу нет_админ Они там интерфейсы конфигурируют Или ipt, Аноним (-), 12:20 , 30-Мрт-17, (15) +3 А нахрен вообще нужны user namespaces Мне тоже непонятно , Аноним (-), 12:35 , 30-Мрт-17, (16) –3 как минимум хотя бы для того чтобы любая пользовательская программа могла бы сн, XXXasd (ok), 14:42 , 30-Мрт-17, (23) А вы хотели бы, чтобы и для контейнеров, и для основной системы было одно и то ж, Аноним (-), 16:58 , 30-Мрт-17, (27) нет, не является, Нанобот (ok), 13:08 , 30-Мрт-17, (19) контейнеризация, которой слепо доверяют в качестве единственной меры безопасност, пох (?), 16:14 , 30-Мрт-17, (24) +1 CODE https lists altlinux org pipermail sisyphus 2003-June 243147 html , Michael Shigorin (ok), 16:38 , 30-Мрт-17, (26) +2 В который раз Оно только год,полтора как из EXPEREMENTAL вылезло , pavlinux (ok), 01:30 , 31-Мрт-17, (32) У рута затруднений не возникнет Но вот только зачем ему это , Аноним (-), 12:18 , 30-Мрт-17, (14) // из user namespace вылезать, разумеется Пробив днищ э, простите, контейнер , пох (?), 16:14 , 30-Мрт-17, (25) lsb_release -aLSB Version core-4 1-amd64 core-4 1-noarch cxx-4 1-amd64 cxx-4, zfs (??), 13:02 , 30-Мрт-17, (17)   // unprivileged_userns_clone позволяет любому пользователю nobody и т п создать , Аноним (-), 13:10 , 30-Мрт-17, (20)   А, так вот о чём пару дней тому намёкивали , Michael Shigorin (ok), 14:21 , 30-Мрт-17, (22) +1 Уязвимость в функции реализующей IPSec Anti-replay механизм, я правильно понял , zanswer CCNA RS (?), 17:29 , 30-Мрт-17, (28) Неплохая очередная причина вынести сетку в отдельное адресное пространство , Анонимм (??), 18:15 , 30-Мрт-17, (29) –2 Вот почему нужно собирать свои ядра, а не юзать дистрибные , pavlinux (ok), 01:28 , 31-Мрт-17, (31) –2 // Отличный подход для Enterprise-а , Ivan_Pomidorov (?), 10:17 , 31-Мрт-17, (34) –1 // у энтерпрайса размером поболее подвальной лавчонки как раз обычно есть билдферма, пох (?), 18:52 , 31-Мрт-17, (37) // Это даже не смешно У вас представление об энтерпрайзе как сборище линукс-гиков , Sem (??), 18:32 , 03-Апр-17, (39) –2 Топикстартер забыл упомянуть, что в Debian это некатит, потому, что non-standard, Аноним (-), 18:07 , 31-Мрт-17, (36) –1 // Вы невнимательно читали новость, там про это написано Например, пакеты с ядром, Аноним (-), 20:31 , 31-Мрт-17, (38) 1,14,17,22,28,29,31,36

Сообщения

[Сортировка по времени | RSS]

17. "Раскрыты подробности о root-уязвимости в ядре Linux, атакова..."	+/–
Сообщение от zfs (??), 30-Мрт-17, 13:02
> ядро Debian и RHEL/CentOS 7 может быть атаковано только после явной активации поддержки "user namespaces" (sysctl kernel.unprivileged_userns_clone=1). >... > Проблема остаётся неисправленной в Fedora, Debian и CentOS/RHEL 7 # lsb_release -a LSB Version:    :core-4.1-amd64:core-4.1-noarch:cxx-4.1-amd64:cxx-4.1-noarch:desktop-4.1-amd64:desktop-4.1-noarch:languages-4.1-amd64:languages-4.1-noarch:printing-4.1-amd64:printing-4.1-noarch Distributor ID:    CentOS Description:    CentOS Linux release 7.3.1611 (Core) Release:    7.3.1611 Codename:    Core # uname -a Linux gw 3.10.0-514.10.2.el7.x86_64 #1 SMP Fri Mar 3 00:04:05 UTC 2017 x86_64 x86_64 x86_64 GNU/Linux # sysctl -a|grep userns Но # lxc-checkconfig |grep -i user User namespace: enabled Т.е. в системе напрочь отсутствует /proc/sys/kernel/unprivileged_userns_clone. Но LXC работает. Зафиксили уже или я что-то не так понял?
Ответить | Правка | Наверх | Cообщить модератору

	20. "Раскрыты подробности о root-уязвимости в ядре Linux, атакова..."	+/–
	Сообщение от Аноним (-), 30-Мрт-17, 13:10
	unprivileged_userns_clone позволяет любому пользователю (nobody и т.п.) создать себе namespace и сделать там себя "ограниченным" рутом, тем самым получив возможность использовать сплоит. Если unprivileged_userns_clone отсутствует, уязвимость могут использовать только процессы, которые и так уже имеют рут внутри namespace. То есть тупо только для побега из namespace.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема