Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"Уязвимость в пакетном менеджере APT, позволяющая совершить MITM-атаку для получения прав root"	+/–
Сообщение от opennews (?), 06-Ноя-26, 17:01
Опубликованы корректирующие выпуски инструментария для управления пакетами  APT, в которых устранена уязвимость (CVE-2026-109518), дающая возможность обойти проверку при  загрузке файлов и добиться выполнения своего кода с правами root. Всего сформировано 13 выпусков, охватывающих все сформированные за последние 10 лет ветки APT, начиная с 1.2.x. Обновления пакетов с устранением уязвимости также уже сформированы для различных версий Debian и Ubuntu. В конфигурации по умолчанию проблема затрагивает все выпуски начиная с  Debian 12 и Ubuntu 22.04. Эксплуатация более старых версий возможна в случае выставления в параметр Acquire::Retries значения больше 0... Подробнее: https://www.opennet.ru/opennews/art.shtml?num=66632
Ответить | Правка | Cообщить модератору

Сообщения

[Сортировка по ответам | RSS]

1. Сообщение от танки онлайн (?), 06-Ноя-26, 17:01	+4 +/–
То есть можно просто переключиться на https для доверенного зеркала?
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #5, #8, #17, #26

3. Сообщение от Аноним (3), 06-Ноя-26, 17:06	–3 +/–
Борьба с ветряными мельницами которая никогда не закончится.
Ответить | Правка | Наверх | Cообщить модератору

4. Сообщение от Аноним (4), 06-Ноя-26, 17:07	+/–
> добиться установки подменённого неверифицированого варианта пакета Дальше можно и не галлюцинировать про какие-то FileFd раз в систему устанавливается чужой бинарник.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #9

5. Сообщение от LaunchWiskey (ok), 06-Ноя-26, 17:10	+1 +/–
А оно по-умолчанию по HTTP ходит? Писал близкий друг автора ключа-звёздочки из соседней новости?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #31, #45

8. Сообщение от Аноним (-), 06-Ноя-26, 17:31	+/–
ну вроде как канал прикрывает, но если в репу подсунут - не спасёт. вроде везде уже поправили
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1

9. Сообщение от Аноним (9), 06-Ноя-26, 17:32	+/–
Это похоже на отравление кеша, которое имеет место из-за возможности писать в соседний файл, которая появляется из-за флага
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4

11. Сообщение от Аноним (11), 06-Ноя-26, 17:56	+1 +/–
Я сходил посмотреть на изменения и они выглядят какой-то нейрослоп, если честно... Какие-то переоткрытия файла, проверки бессмысленные. В итоге всё сводится к тому, что когда докачали, тогда и считаем контрольную сумму файла, но так и было изначально, только какие-то бессмысленные проверки добавили. Единсвенное наверное хорошо, что файл теперь в эксклюзивном режиме открывают, но это больше защита от того что кто-то локально пошалит,  файл поломав, но проверка валидности то всё равно в итоге не прошла бы даже так Может кто-то сможет лучше объяснить что там в изменениях, мне копаться в полных исходниках желания не было, только вверх и вниз пару экранов дооткрыл
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #14, #30

12. Сообщение от Bottle (?), 06-Ноя-26, 18:21	+1 +/–
По мнению апологетов Линукса свобода это зависимость от централизованных репозиториев.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #19, #20, #21, #28, #36

13. Сообщение от Аноним (15), 06-Ноя-26, 18:22    Скрыто ботом-модератором	–1 +/–
Это что же теперь все сервера переставлять?
Ответить | Правка | Наверх | Cообщить модератору

14. Сообщение от Аноним (14), 06-Ноя-26, 18:22	–2 +/–
> Может кто-то сможет Готов платить?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11 Ответы: #15, #16

15. Сообщение от Аноним (15), 06-Ноя-26, 18:27    Скрыто ботом-модератором	+1 +/–
Гусары молчать, писдил пришел.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #14 Ответы: #23

16. Сообщение от Аноним (11), 06-Ноя-26, 18:29    Скрыто ботом-модератором	+/–
За твои клоунские комментарии? Сори, для анекдотов вот только новая GPT‑6 Astra вышла. Это написано для других специалистов, кому тоже интересно обсудить реальную опасность, а не фантазии про взлом жопы
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #14 Ответы: #22

17. Сообщение от Аноним (17), 06-Ноя-26, 18:33	+1 +/–
Это же lpe, какой https?) Подмена частично скачанного файла непосредственно на машине
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1

18. Сообщение от Аноним (19), 06-Ноя-26, 18:38	+/–
Видали! Не то, что эти ваши NPM и Cargo! Wait, oh shi... 😳
Ответить | Правка | Наверх | Cообщить модератору

19. Сообщение от Аноним (19), 06-Ноя-26, 18:41	–1 +/–
Ты вот язвишь, но местные линуксоиды ведь на полном серьезе воюют против всяких NPM и Cargo, кушая при этом пакеты из репозиториев. Это то ли слабоумие, то ли лицемерие - то ли оба сразу.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12 Ответы: #27, #43

20. Сообщение от defcon.socialkosmocommunist (?), 06-Ноя-26, 18:41	+/–
Ничто не мешает добавить свои репозитории в систему, вполне децентрализовано, всё в руках пользователей и разработчиков. Например у браузера librewolf свои репозитории, чтобы его скачать с помощью apt надо ручками добавить их в систему. Как ваше "замечание" относится к теме публикации?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12

21. Сообщение от Аноним (21), 06-Ноя-26, 18:43	+/–
Это другое. Дистрибутив может и на зеркалах лежать. А вот зеркало Windows Store - не сделаешь.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12 Ответы: #37

22. Сообщение от Аноним (14), 06-Ноя-26, 18:52    Скрыто ботом-модератором	–1 +/–
> За твои клоунские комментарии? а мама твоя даром дает?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #16

23. Сообщение от Аноним (14), 06-Ноя-26, 18:53	–1 +/–
> Гусары молчать, писдил пришел. что такое? мама твоя может сегодня меня навестить бесплатно?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #15

24. Сообщение от Аноним (24), 06-Ноя-26, 18:57    Скрыто ботом-модератором	+/–
И, услышав бранный клич, навостряют чутко уши И глядят с тоской на Запад и с надеждой - на Восток И звучит крысиный писк над седьмою частью суши До костей сожрут любого - что поделать, мир жесток
Ответить | Правка | Наверх | Cообщить модератору

25. Сообщение от Аноним (30), 06-Ноя-26, 19:01    Скрыто ботом-модератором	+/–
А ведь эти твари смели утверждать что HTTPS для зеркал с пакетами не нужен, потому что у них де проверка по чексуммам всё покрывает.
Ответить | Правка | Наверх | Cообщить модератору

26. Сообщение от Аноним (26), 06-Ноя-26, 19:06	+1 +/–
Апт не умеет https и скорее всего никогда не научится, целостность и доверие проверяется уровнем выше.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #33, #35

27. Сообщение от Аноним (30), 06-Ноя-26, 19:09	+/–
Так там есть принципиальная разница - репозитории пакетов curated, а в NPM и Cargo любой может безо всяких проверок залить малварь. Есть правда, нюанс, не все пакетный репозитории curated - например AUR такая же помойка, если не хуже. И есть такие репозитории которые curated, но это им не помогает, к ним относится тот же debian. У них очень поганая устаревшая и бюрократизированная инфра. Когда у нормальные репозитории представляют собой коллекцию рецептов сборки, где рецепт - это один файл описывающий весь процесс от получения исходников (с чексуммами) до сборки и установки, в debsrc пакет - это целиком исходники апстрима (в которые можно любых закладок напихать) и описание сборки в виде десятка файлов с чейнджлогами и прочим г-ном. В нормальных репозиториях любое изменение это несколько строк, и его отлично видно в истории. В дебиане это замена блоба на блоб, за которым ничего не видно.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #19 Ответы: #34

28. Сообщение от Аноним (30), 06-Ноя-26, 19:12	–1 +/–
> По мнению апологетов Линукса свобода это зависимость от централизованных репозиториев. Какое милое либо полное непонимание темы, либо намеренное низведение до абсурда. Во-первых, зависимости нет - форкни реп, или свой с нуля сделай, замени урл и используй. Во-вторых, собственно если тут что-то не так, то как должно быть?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12 Ответы: #38

30. Сообщение от Аноним (30), 06-Ноя-26, 19:13	+/–
Тебе зачем? Или лучше поиграй во что-нибудь или пива попей.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11

31. Сообщение от Аноним (31), 06-Ноя-26, 19:14	–2 +/–
Да. Дебиляновцы из коробки до сих пор plain http используют.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5

32. Сообщение от Аноним (32), 06-Ноя-26, 19:15	+/–
Можно постить новости про узявимости куда то, где новости с новым софтом от claude. Все всё поняли, всё решото, тщетно, небезопасно. Постите бл@т что ли смешное хотя бы.
Ответить | Правка | Наверх | Cообщить модератору

33. Сообщение от Аноним (31), 06-Ноя-26, 19:17	+/–
Откуда такая инфа? И apt и зеркала прекрасно умеютв https. https://askubuntu.com/a/146117 Просто по какой-то неведомой причине из коробки до сих пор используется http.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #26

34. Сообщение от Аноним (34), 06-Ноя-26, 19:19	+/–
Ну если бекдор делает много уважаемый Jia Tan, то это другое дело, такой XZ Utils можно и из репозитория скачать!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #27

35. Сообщение от Аноним (35), 06-Ноя-26, 19:23	+/–
> Апт не умеет https и скорее всего никогда не научится, целостность > и доверие проверяется уровнем выше. Надо рассказать все это apt-transport-https и apt-transport-tor всяким...
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #26 Ответы: #44

36. Сообщение от Аноним (35), 06-Ноя-26, 19:26	+/–
> По мнению апологетов Линукса свобода это зависимость от централизованных репозиториев. 1) Пакеты ставятся хоть и совсем без реп. 2) Своя репа при желании поднимается минут за 5. Т.е. это - удобство, а не единственный способ, как у всяких iDevice где кроме как из апстора и не поставишь нихрена, и конечно васян не сможет свой стор сетапнуть за 5 минут.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12 Ответы: #42

37. Сообщение от Аноним (35), 06-Ноя-26, 19:27	+/–
> А вот зеркало Windows Store - не сделаешь. И свой appstore эпловский - хрен поднимешь. Особенно за 5 минут - как свои репы сабжа.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #21

38. Сообщение от Аноним (38), 06-Ноя-26, 19:30	+/–
> зависимости нет - форкни реп, или свой с нуля сделай, замени урл и используй Ну стало быть npm, cargo, pypi, и да далее тоже не проблема. ЧТД.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #28

39. Сообщение от АнонимГейтц (?), 06-Ноя-26, 19:30	+/–
Да-да, нужно срочно методом прививки внедрять ИИ под кожу.
Ответить | Правка | Наверх | Cообщить модератору

40. Сообщение от Аноним (38), 06-Ноя-26, 19:32	+/–
> вклиниться в HTTP-трафик Но это не повод прекращать священную борьбу против HTTPS на опеннете!
Ответить | Правка | Наверх | Cообщить модератору

41. Сообщение от Аноним (41), 06-Ноя-26, 19:40    Скрыто ботом-модератором	+/–
Кинте плиз ссылку как домашний комп быстро проверить на подмененные файлы в пакетах.
Ответить | Правка | Наверх | Cообщить модератору

42. Сообщение от Аноним (42), 06-Ноя-26, 19:55	+/–
> 2) Своя репа при желании поднимается минут за 5. При условии что у тебя уже есть сервак - да за 5 минут можно попытаться. > Т.е. это - удобство, а не единственный способ, как у всяких iDevice А причем тут iDevice? У местного сбpoда горит от npm, cargo, pypi и тд Хотя условный карго ты точно так же можешь развернуть локально или на сервере и накидать туда нужные данные. > где кроме как из апстора и не поставишь нихрена, и конечно васян не сможет свой стор сетапнуть за 5 минут. Ну так эпл ценится как раз за отсутствие васянов)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #36

43. Сообщение от Аноним (43), 06-Ноя-26, 19:59	+/–
В случае Slackware я доверяю хозяинам пакетов, хозяевам их репозиториев, Патрику и его core team. В случае slackbuilds.org надо почитать слакбилд и сверить вход и выход. И довериться текущей версии исходников. В случае NPM и Cargo надо доверять - хозяину пакета - мейнтейнерам репозитория-прокладки - занерешеченности репозитория-прокладки - хз как в npm и cargo, но ещё в других, например, pypi - блобятне на серверах прокладки - автоапдейтам - бессчетному количеству зависимостей, которые ещё и подтягиваются автоматом и их нельзя просто так зафризить с первого раза Исходя из нашумевших взломов NPM и подобных, доверять прокладке в лице репозитория не очень хорошо и люди из языковых комьюнити работают на прокладку как на дополнительный источник дохода, не имея понятия о том, как устраивать аудит исходников и использовать безопасные практики публикации кода (например, тот же pgp). Проще тянуть из VCS напрямую.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #19

44. Сообщение от Аноним (44), 06-Ноя-26, 20:02	+/–
apt-transport-https давно не нужен (это dummy пакет). Поддержка HTTPS из коробки.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #35

45. Сообщение от Аноним (45), 06-Ноя-26, 20:12	+/–
Да, пакеты же подписаны блалбаллабал А в чём проблема завернуть в https я не понимаю. Тот же ютуб трафик постоянно через него гоняет, которого в разы больше чем тех пакетиков. Тем более мажорные обновы раз в два года. Может дебиан используют на таких ведрах, что они не смогут в еще один слой aes.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема