forum.opennet.ru

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Оглавление

Уязвимость в ftpd из FreeBSD, позволявшая получить root-доступ при использовании ftpchroot, opennews (??), 16-Сен-20, (0) [смотреть все]

Мощно Но лучше поздно, чем никогда Вместо ftpd на всех бывших и единственном о, Кредит (?), 09:31 , 16-Сен-20, (2) +6 //

то есть вместо крайне ограниченного в возможностях и вдоль и поперек изученного , пох. (?), 12:35 , 16-Сен-20, (24) –7 //

Насколько понимаю, минимум два если не все три моих знакомых разработчика owl , Michael Shigorin (ok), 15:11 , 16-Сен-20, (32) –2 //

овервотч лигу разрабатывают , Михаил Петрович (?), 00:47 , 17-Сен-20, (50) –1

Нет, это в Сколково разрабатывают , Enox (?), 19:47 , 17-Сен-20, (58)

Бихайву похоже уделяют недостаточно внимания, а жаль Ошибки не сказать чтоб не, псевдонимус (?), 13:18 , 16-Сен-20, (29) //

ну а кому он нужен вообще, и сколько из них не только имеют время и вдохновение,, пох. (?), 17:33 , 16-Сен-20, (37) //

Потому что налимонивали на лицензию Ксен ведь под жпл Очевидно, что поборникам, псевдонимус (?), 20:10 , 16-Сен-20, (45)

Ну, после приключений с gcc, дуть на воду неудивительно, но вообще-то можно было, пох. (?), 21:52 , 16-Сен-20, (47)

Вместо rsync over ssh или rsyncssl Сурьезна , Михаил Петрович (?), 00:49 , 17-Сен-20, (51)

Безопасность BSD снова под угрозой , Аноним (4), 09:35 , 16-Сен-20, (4) +1 //

Перефразируя старый анекдот -- Безопасная БСД -- Безопасная что , A.Stahl (ok), 09:50 , 16-Сен-20, (5) +2

а вот если бы ftpd был написан на Rust капча 37337 кагбэ намекает, онанимуз (?), 09:51 , 16-Сен-20, (6) –3 //

КГБ намекает b , Аноним (17), 10:55 , 16-Сен-20, (17) –2
Это слишком сложно для раста , Аноним (19), 11:20 , 16-Сен-20, (19) +3
Раст сам за программиста решает, какие ошибки системных вызовов считать фатальны, Аноним (21), 11:44 , 16-Сен-20, (21) +2
Если бы был написан на раст то он бы просто не работал от слова совсем Но зато , white master (?), 16:16 , 16-Сен-20, (34) +1

Ван не нравится что уязвимость выявили или о том что о ней рассказали Мне вот ви, Аноним (7), 09:55 , 16-Сен-20, (7) +3 //

Будь это докер, уже бурлило бы в комментах Местная публика такая, не мешки воро, Аноним (12), 10:30 , 16-Сен-20, (12) +2 //

Может беда не в мешках, а в том, что докер в дохрена раз более востребован Пото, A.Stahl (ok), 10:46 , 16-Сен-20, (15) //

Продолжай верить в востребованность докера Вера никогда не имела ничего общего , white master (?), 16:17 , 16-Сен-20, (35)

У него просто опечатка в слове хайпован Практически ВСЕ виденные мной использо, пох. (?), 17:36 , 16-Сен-20, (38) +1

И ни слова про докер А, его же тут нет, вспомнил , Аноним (9), 10:04 , 16-Сен-20, (9) –2 //

Причем тут ваш дыркер И с каких пор оно стало механизмом изоляции , анонн (ok), 12:07 , 16-Сен-20, (23) +2

И стоило из за такое ерунды новость писать Будто фтп ещё активно используется , notcurver (?), 10:13 , 16-Сен-20, (10) –5 //

Так и запишем, BSD - ерунда , Аноним (12), 10:41 , 16-Сен-20, (14) //

Не получиться Врятли даже писать умеешь , white master (?), 16:18 , 16-Сен-20, (36) //

Чья бы мычала , Аноним (52), 10:40 , 17-Сен-20, (52) +1

Ну как же 8212 ерунда Написать такой код для изоляции, который не только не , Аноним (21), 11:46 , 16-Сен-20, (22) –1
Кто активно пользуется тот пассивно обновляется , Аноним (28), 13:02 , 16-Сен-20, (28)

Насколько я помню фряху, там был какой то левый ftpd который даже демоном работа, Аноним (13), 10:36 , 16-Сен-20, (13) –3 //

Так в том и соль, если конечно я правильно понял , Аноним (16), 10:50 , 16-Сен-20, (16)
Маны не читай, комменты пиши ключ -D, _ (??), 11:04 , 16-Сен-20, (18) +5
левой функциональностью в _нормальной_ юникс-среде является именно умение рабо, пох. (?), 12:37 , 16-Сен-20, (25) +2
Это фича, а не баг , псевдонимус (?), 13:21 , 16-Сен-20, (30)

Так вместо ftpd мы же давно используем proftpd , rvs2016 (ok), 12:49 , 16-Сен-20, (26) –2 //

Вот у него как раз баланс фич к дыркам исторически перекошен в другую сторону , Michael Shigorin (ok), 15:13 , 16-Сен-20, (33) +1 //

у него вообще дыра на дыре дырой погоняет - но зато pro , пипл любит все pro , пох. (?), 17:38 , 16-Сен-20, (39) //

Ну да, proftpd то ещё решeто в бытности Но зато на нём можно творить то, что на , Онаним (?), 18:30 , 16-Сен-20, (41)

freebsd-update fetch installLooking up update FreeBSD org mirrors 3 mirrors f, Аноним (31), 14:15 , 16-Сен-20, (31) –1
Хорошо что FTP умер и нигде не используется , Аноним (42), 18:55 , 16-Сен-20, (42) +1 //

Хрен там, а не умер На шаред хостингах сплошь и рядом В разновидностях типа FTPS, Онаним (?), 19:46 , 16-Сен-20, (43) //

я тут, кстати, захотел было предоставить гражданам ftps, тем кто неспособен испо, пох. (?), 22:00 , 16-Сен-20, (48) –1 //

Не, ну гражданам файлзиллы хватит Под любую платформу А вот для системных приме, Онаним (?), 23:43 , 16-Сен-20, (49)

у граждан с файлзилой по определению nat А CCC она не умеет, к моему изумлению , пох. (?), 12:57 , 17-Сен-20, (54)

Ну, в ProFTPd никакого shell equivalent нет, всё эмулируется А вот это да, увы , Онаним (?), 12:08 , 20-Сен-20, (61)

ну вот тем и ценен ftp - что это протокол доступа к файлам больше чем просто , пох. (?), 17:40 , 20-Сен-20, (62)

Это да Но я имел в виду SFTP SCP модуль в ProFTPd , Онаним (?), 09:11 , 22-Сен-20, (65)

Ну так всё правильно шаред-хостинги тоже давно померли , Аноним (21), 15:20 , 17-Сен-20, (55) //

Это, мягко говоря, заблуждение, Онаним (?), 08:44 , 18-Сен-20, (59)

Ну, скажем так - сильно болеют и дышат на ладан Потому что в эпоху гуглоинтернет, пох. (?), 17:46 , 20-Сен-20, (63)

У нас полно интернет-магазинов хостится В т ч производители, а не перепродавцы, Онаним (?), 09:09 , 22-Сен-20, (64)

Думаешь как так получается - Я софт мой вёбмастер мой кот по-другому не умеет , Онаним (?), 20:12 , 16-Сен-20, (46)
нормально ftp живёт и везде используетсясверить два репозитория в двух панелях m, б.б. (?), 16:00 , 17-Сен-20, (56) //

В mc вполне себе есть поддержка SFTP shell , Онаним (?), 12:06 , 20-Сен-20, (60)

А во FreeBSD и в OpenBSD один и тот же ftpd или разные OpenBSD ftpd, помнится, , Аноним (57), 19:17 , 17-Сен-20, (57)

Сообщения [Сортировка по времени | RSS]

43. "Уязвимость в ftpd из FreeBSD, позволявшая получить root-дост..." +/–

Сообщение от Онаним (?), 16-Сен-20, 19:46

Хрен там, а не умер.
На шаред хостингах сплошь и рядом.
В разновидностях типа FTPS в т.ч., которые ещё большая беда через файрволы, чем сам FTP.

Ответить | Правка | Наверх | Cообщить модератору

48. "Уязвимость в ftpd из FreeBSD, позволявшая получить root-дост..." –1 +/–

Сообщение от пох. (?), 16-Сен-20, 22:00

> В разновидностях типа FTPS в т.ч., которые ещё большая беда через файрволы, чем сам FTP.
я тут, кстати, захотел было предоставить гражданам ftps, тем кто неспособен использовать opie по причине винды головного мозга.
Выяснилось пренеприятное: для него никто и никогда не написал ни одного нормального клиента, ну то есть вот вообще. (Под нормальным понимается умеющий хотя бы CCC, а в идеале еще и не шифровать то что в шифровании вообще не нуждается, ломая sendfile и пожирая процессор.)
Причем в серверах все есть и работает.
Едиственный же клиент - lftp. Ну это во-первых "русские делали", во-вторых универсальный комбайн, который просто не может работать хорошо (в том числе и потому что подменяет прямую реализацию собственным альтернативным умствованием), да еще и с настройками через анус.
С линуксным контреком договориться у него при этом получается через раз, причину я так и не выяснил, но, по ощущениям - он сам по себе делает что-то на редкость криво.
Хотя, казалось бы, при наличии готовой openssl - задача попатчить любой старинный ftp - на два часа хорошему разработчику.

Ответить | Правка | Наверх | Cообщить модератору

49. "Уязвимость в ftpd из FreeBSD, позволявшая получить root-дост..." +/–

Сообщение от Онаним (?), 16-Сен-20, 23:43

Не, ну гражданам файлзиллы хватит. Под любую платформу.
А вот для системных применений я можно сказать даже и не искал... проще сразу SFTP или SCP.

Ответить | Правка | Наверх | Cообщить модератору

54. "Уязвимость в ftpd из FreeBSD, позволявшая получить root-дост..." +/–

Сообщение от пох. (?), 17-Сен-20, 12:57

> Не, ну гражданам файлзиллы хватит.
у граждан с файлзилой по определению nat. А CCC она не умеет, к моему изумлению.
> А вот для системных применений я можно сказать даже и не искал...
для системных применений я скорее обойдусь без шифрования вообще - незасветку пароля обеспечит s/key с вполне достаточной надежностью.
> проще сразу SFTP или SCP.
я не готов предоставить всем желающим (системам) shell equivalent на том хосте.
И гоняться с подпорочками и замазочкой, пытаясь предотвратить получение в ста возможных местах непредусмотренных дырок - не собираюсь тоже.
Тем более неинтересно мне сотни гигабайт качать без sendfile и с нагрузкой на процессор.

Ответить | Правка | Наверх | Cообщить модератору

61. "Уязвимость в ftpd из FreeBSD, позволявшая получить root-дост..." +/–

Сообщение от Онаним (?), 20-Сен-20, 12:08

> я не готов предоставить всем желающим (системам) shell equivalent на том хосте.
Ну, в ProFTPd никакого shell equivalent нет, всё эмулируется.
> Тем более неинтересно мне сотни гигабайт качать без sendfile и с нагрузкой на процессор.
А вот это да, увы. Любое шифрование сразу отметает шуструю передачу. В пределах изолированной сети конечно лучше FTP в этом плане сложно чего-то подсказать. Разве что HTTP GET/PUT.

Ответить | Правка | Наверх | Cообщить модератору

62. "Уязвимость в ftpd из FreeBSD, позволявшая получить root-дост..." +/–

Сообщение от пох. (?), 20-Сен-20, 17:40

> Ну, в ProFTPd никакого shell equivalent нет, всё эмулируется.
ну вот тем и ценен ftp - что это протокол доступа к файлам (больше чем просто "скачать один").
> А вот это да, увы. Любое шифрование сразу отметает шуструю передачу.
в ftp для этого предусмотрен фаллбэк на нешифрованную передачу. Причем ничто не мешает после этого скачать любимый .sha256 уже защищенным способом.
Проблема, повторяю, в полном отсутствии на сегодня работоспособных клиентов.
> В пределах изолированной сети конечно лучше FTP в этом плане сложно чего-то подсказать.
я вот слил сейчас (оказавшееся у меня поврежденным при переездах) полное зеркало opensuse 11.4 и 12.1 - что-то около 200G, через ужасный неизолированный интернет. И решительно не боюсь страшных и ужасных васянов, подбросивших мне неправильные байты. Во-первых, в крайнем случае я могу перепроверить gpg ключи, во-вторых - у васяна жопа лопнет, пытаясь вмешаться в этот поток и прицельно там что-то поменять, так чтоб не обрыв соединения вызвать, а что-то более интересное.
А АНБ, ЦРУ, Моссад и ФСБ разом конечно могли бы такое провернуть, но во-первых, они за мной в данную минуту не охотятся, у них выходной - велено трубить в шофар, жрать яблоки и каяться, солнце еще не село.
Во вторых им проще и быстрее попатчить прямо на сервере, и уже будет неважно, каким протоколом я качаю.

Ответить | Правка | Наверх | Cообщить модератору

65. "Уязвимость в ftpd из FreeBSD, позволявшая получить root-дост..." +/–

Сообщение от Онаним (?), 22-Сен-20, 09:11

>> Ну, в ProFTPd никакого shell equivalent нет, всё эмулируется.
> ну вот тем и ценен ftp - что это протокол доступа к файлам (больше чем просто "скачать один").
Это да. Но я имел в виду SFTP/SCP модуль в ProFTPd.

Ответить | Правка | Наверх | Cообщить модератору

55. "Уязвимость в ftpd из FreeBSD, позволявшая получить root-дост..." +/–

Сообщение от Аноним (21), 17-Сен-20, 15:20

> Хрен там, а не умер.
> На шаред хостингах сплошь и рядом.
Ну так всё правильно: шаред-хостинги тоже давно померли.

Ответить | Правка | К родителю #43 | Наверх | Cообщить модератору

59. "Уязвимость в ftpd из FreeBSD, позволявшая получить root-дост..." +/–

Сообщение от Онаним (?), 18-Сен-20, 08:44

Это, мягко говоря, заблуждение

Ответить | Правка | Наверх | Cообщить модератору

63. "Уязвимость в ftpd из FreeBSD, позволявшая получить root-дост..." +/–

Сообщение от пох. (?), 20-Сен-20, 17:46

> Это, мягко говоря, заблуждение
Ну, скажем так - сильно болеют и дышат на ладан.
Потому что в эпоху гуглоинтернета принято платить не за хостинг, а за сервис целиком. Соответственно, остались только сайты мелких лавок, у которых сервис не интернетный (причем попробуй вот угадай что сегодня неинтернетное - как насчет выгула собак?) или дядин (то есть нет своего "приложения", есть приложение-в-контакте), а сайт приличие обязывает иметь.
Обычно там только телефон и позвоните-нам. Соответственно, и продавцы услуги тоже почти все сдохли.
В целом и это уже можно перевыложить в какой-нибудь as-a-service, но обычно дороже, если прикованный вебдевелопер и так есть.

Ответить | Правка | Наверх | Cообщить модератору

64. "Уязвимость в ftpd из FreeBSD, позволявшая получить root-дост..." +/–

Сообщение от Онаним (?), 22-Сен-20, 09:09

У нас полно интернет-магазинов хостится. В т.ч. производители, а не перепродавцы.
Но то Европа, там сфера услуг не мертва, и материальное производство не госконтрактное, и не помирает :)
Хотя пара сайтов госконтрактников тоже имеется.

Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру


	43. "Уязвимость в ftpd из FreeBSD, позволявшая получить root-дост..."	+/–
	Сообщение от Онаним (?), 16-Сен-20, 19:46
	Хрен там, а не умер. На шаред хостингах сплошь и рядом. В разновидностях типа FTPS в т.ч., которые ещё большая беда через файрволы, чем сам FTP.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	48. "Уязвимость в ftpd из FreeBSD, позволявшая получить root-дост..."	–1 +/–
	Сообщение от пох. (?), 16-Сен-20, 22:00
	> В разновидностях типа FTPS в т.ч., которые ещё большая беда через файрволы, чем сам FTP. я тут, кстати, захотел было предоставить гражданам ftps, тем кто неспособен использовать opie по причине винды головного мозга. Выяснилось пренеприятное: для него никто и никогда не написал ни одного нормального клиента, ну то есть вот вообще. (Под нормальным понимается умеющий хотя бы CCC, а в идеале еще и не шифровать то что в шифровании вообще не нуждается, ломая sendfile и пожирая процессор.) Причем в серверах все есть и работает. Едиственный же клиент - lftp. Ну это во-первых "русские делали", во-вторых универсальный комбайн, который просто не может работать хорошо (в том числе и потому что подменяет прямую реализацию собственным альтернативным умствованием), да еще и с настройками через анус. С линуксным контреком договориться у него при этом получается через раз, причину я так и не выяснил, но, по ощущениям - он сам по себе делает что-то на редкость криво. Хотя, казалось бы, при наличии готовой openssl - задача попатчить любой старинный ftp - на два часа хорошему разработчику.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	49. "Уязвимость в ftpd из FreeBSD, позволявшая получить root-дост..."	+/–
	Сообщение от Онаним (?), 16-Сен-20, 23:43
	Не, ну гражданам файлзиллы хватит. Под любую платформу. А вот для системных применений я можно сказать даже и не искал... проще сразу SFTP или SCP.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	54. "Уязвимость в ftpd из FreeBSD, позволявшая получить root-дост..."	+/–
	Сообщение от пох. (?), 17-Сен-20, 12:57
	> Не, ну гражданам файлзиллы хватит. у граждан с файлзилой по определению nat. А CCC она не умеет, к моему изумлению. > А вот для системных применений я можно сказать даже и не искал... для системных применений я скорее обойдусь без шифрования вообще - незасветку пароля обеспечит s/key с вполне достаточной надежностью. > проще сразу SFTP или SCP. я не готов предоставить всем желающим (системам) shell equivalent на том хосте. И гоняться с подпорочками и замазочкой, пытаясь предотвратить получение в ста возможных местах непредусмотренных дырок - не собираюсь тоже. Тем более неинтересно мне сотни гигабайт качать без sendfile и с нагрузкой на процессор.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	61. "Уязвимость в ftpd из FreeBSD, позволявшая получить root-дост..."	+/–
	Сообщение от Онаним (?), 20-Сен-20, 12:08
	> я не готов предоставить всем желающим (системам) shell equivalent на том хосте. Ну, в ProFTPd никакого shell equivalent нет, всё эмулируется. > Тем более неинтересно мне сотни гигабайт качать без sendfile и с нагрузкой на процессор. А вот это да, увы. Любое шифрование сразу отметает шуструю передачу. В пределах изолированной сети конечно лучше FTP в этом плане сложно чего-то подсказать. Разве что HTTP GET/PUT.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	62. "Уязвимость в ftpd из FreeBSD, позволявшая получить root-дост..."	+/–
	Сообщение от пох. (?), 20-Сен-20, 17:40
	> Ну, в ProFTPd никакого shell equivalent нет, всё эмулируется. ну вот тем и ценен ftp - что это протокол доступа к файлам (больше чем просто "скачать один"). > А вот это да, увы. Любое шифрование сразу отметает шуструю передачу. в ftp для этого предусмотрен фаллбэк на нешифрованную передачу. Причем ничто не мешает после этого скачать любимый .sha256 уже защищенным способом. Проблема, повторяю, в полном отсутствии на сегодня работоспособных клиентов. > В пределах изолированной сети конечно лучше FTP в этом плане сложно чего-то подсказать. я вот слил сейчас (оказавшееся у меня поврежденным при переездах) полное зеркало opensuse 11.4 и 12.1 - что-то около 200G, через ужасный неизолированный интернет. И решительно не боюсь страшных и ужасных васянов, подбросивших мне неправильные байты. Во-первых, в крайнем случае я могу перепроверить gpg ключи, во-вторых - у васяна жопа лопнет, пытаясь вмешаться в этот поток и прицельно там что-то поменять, так чтоб не обрыв соединения вызвать, а что-то более интересное. А АНБ, ЦРУ, Моссад и ФСБ разом конечно могли бы такое провернуть, но во-первых, они за мной в данную минуту не охотятся, у них выходной - велено трубить в шофар, жрать яблоки и каяться, солнце еще не село. Во вторых им проще и быстрее попатчить прямо на сервере, и уже будет неважно, каким протоколом я качаю.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	65. "Уязвимость в ftpd из FreeBSD, позволявшая получить root-дост..."	+/–
	Сообщение от Онаним (?), 22-Сен-20, 09:11
	>> Ну, в ProFTPd никакого shell equivalent нет, всё эмулируется. > ну вот тем и ценен ftp - что это протокол доступа к файлам (больше чем просто "скачать один"). Это да. Но я имел в виду SFTP/SCP модуль в ProFTPd.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	55. "Уязвимость в ftpd из FreeBSD, позволявшая получить root-дост..."	+/–
	Сообщение от Аноним (21), 17-Сен-20, 15:20
	> Хрен там, а не умер. > На шаред хостингах сплошь и рядом. Ну так всё правильно: шаред-хостинги тоже давно померли.
	Ответить \| Правка \| К родителю #43 \| Наверх \| Cообщить модератору


	59. "Уязвимость в ftpd из FreeBSD, позволявшая получить root-дост..."	+/–
	Сообщение от Онаним (?), 18-Сен-20, 08:44
	Это, мягко говоря, заблуждение
	Ответить \| Правка \| Наверх \| Cообщить модератору


	63. "Уязвимость в ftpd из FreeBSD, позволявшая получить root-дост..."	+/–
	Сообщение от пох. (?), 20-Сен-20, 17:46
	> Это, мягко говоря, заблуждение Ну, скажем так - сильно болеют и дышат на ладан. Потому что в эпоху гуглоинтернета принято платить не за хостинг, а за сервис целиком. Соответственно, остались только сайты мелких лавок, у которых сервис не интернетный (причем попробуй вот угадай что сегодня неинтернетное - как насчет выгула собак?) или дядин (то есть нет своего "приложения", есть приложение-в-контакте), а сайт приличие обязывает иметь. Обычно там только телефон и позвоните-нам. Соответственно, и продавцы услуги тоже почти все сдохли. В целом и это уже можно перевыложить в какой-нибудь as-a-service, но обычно дороже, если прикованный вебдевелопер и так есть.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	64. "Уязвимость в ftpd из FreeBSD, позволявшая получить root-дост..."	+/–
	Сообщение от Онаним (?), 22-Сен-20, 09:09
	У нас полно интернет-магазинов хостится. В т.ч. производители, а не перепродавцы. Но то Европа, там сфера услуг не мертва, и материальное производство не госконтрактное, и не помирает :) Хотя пара сайтов госконтрактников тоже имеется.
	Ответить \| Правка \| Наверх \| Cообщить модератору