Slo-Tech - Joanna Rutkowska je pred kratkim na svojem blogu izpostavila resno varnostno ranljivost v Linux sistemih, ki omogoča, da katerakoli grafična aplikacija preko strežnika X pridobi administratorske (tim. root) privilegije na celotnem sistemu. In to tudi v primeru uporabe SELinux zaščitnega mehanizma (tim. sandbox -X). Tako je npr. mogoče vdreti v Linux računalnik tako, da uporabnik naloži okužen PDF, ki nato preko prikazovalnika PDF dokumentov pridobi administratorske privilegije na sistemu. Gre za napako v Linux jedru 2.6, problem pa je v tem, da pravzaprav ne gre za izkoriščanje nikakršne konkretne napake.
Linux razvijalci so o ranljivosti že obveščeni, od začetka avgusta je na voljo tudi popravek, vendar je Brad Spencer mnenja, da popravek ni ustrezen in da bo na pravo rešitev težav treba še počakati. Podrobnosti ranljivosti so opisane v članku Exploiting large memory management vulnerabilities in Xorg server running on Linux. Mimogrede, več o separaciji si je mogoče prebrati v specifikacijah tim. varnega operacijskega sistema Qubes OS, ki ga razvija Rutkowska s sodelavci.
Naj še omenimo, da je v avgustu v ZDA v okviru konference LinuxCon potekal tudi Linux Security Summit 2010. Številni Linux razvijalci so se strinjali, da Linux ni (dovolj) varen sistem in da bo potrebno postoriti še marsikaj. Problem je tudi v tem, da je varnostnih mehanizmov v Linuxu veliko, hkrati pa so premalo enostavni za množično uporabo. Ali kot je rekel James Morris iz Red Hata - trenutno stanje je podobno kot če bi nekdo stopil v tovarno sladoledov, kjer bi mu ponudili množico sestavin iz katerih si lahko sestavi sladoled po svojem okusu; veliko enostavneje pa bi bilo, če bi uporabnik imel na voljo le nekaj vnaprej pripravljenih receptur ali pa da si v trgovini izbere enega izmed omejene množice sladoledov.
Na spletni strani Jamesa Morrisa je iz srečanja na voljo tudi nekaj nadvse zanimivih prezentacij.
Novice » Varnost » Nova resna ranljivost v Linux sistemih
denial ::
Novica o tem bugu je bila že objavljena: KLIK. Kakorkoli, raje dvakrat kot nobenkrat. Sploh zato, ker sta obe novici kvalitetno napisani.
SELECT finger FROM hand WHERE id=3;
Jst ::
Distribucije linuxa (ne linux jedro samo) se mi vedno manj dopadejo. Pa ne zaradi varnostnih pomanjkljivosti - teh je v vseh operacijskih sistemih dovolj.
Najlepše je opisano tako:
To velja za Packet Managerje; potem za razne Licence, kjer je stanje še hujše; nenazadnje pa tudi korporacije, ki stojijo za distribucijami, se ne morejo zmeniti prav nič - zadnji primer OpenOffice.
Najlepše je opisano tako:
Ali kot je rekel James Morris iz Red Hata - trenutno stanje je podobno kot če bi nekdo stopil v tovarno sladoledov, kjer bi mu ponudili množico sestavin iz katerih si lahko sestavi sladoled po svojem okusu; veliko enostavneje pa bi bilo, če bi uporabnik imel na voljo le nekaj vnaprej pripravljenih receptur ali pa da si v trgovini izbere enega izmed omejene množice sladoledov.
To velja za Packet Managerje; potem za razne Licence, kjer je stanje še hujše; nenazadnje pa tudi korporacije, ki stojijo za distribucijami, se ne morejo zmeniti prav nič - zadnji primer OpenOffice.
Islam is not about "I'm right, you're wrong," but "I'm right, you're dead!"
-Wole Soyinka, Literature Nobelist
|-|-|-|-|Proton decay is a tax on existence.|-|-|-|-|
-Wole Soyinka, Literature Nobelist
|-|-|-|-|Proton decay is a tax on existence.|-|-|-|-|
poweroff ::
denial: aha, tisto sem pa spregledal... sem bil na morju, oz. pod morjem 
Sicer pa tnx za infote, ki si jih objavil v oddelku Informacijska varnost.
Sicer pa tnx za infote, ki si jih objavil v oddelku Informacijska varnost.
sudo poweroff
Matrin ::
Ja pač linux tudi dovzeten za zlobno kodo. Sicer možna niša za viruse, ki pa bi se imeli verjetno precej težavo širiti preko tako majhne in dodatno še tako fragmentirane populacije. Ko pa bo linux postal preveč popularen se bom pa očitno zopet selil. Haiku je kar všečen.
System ::
Hmm...mogoče, zato ker Linux uporablja čedalje več ljudi + hmmm... Izvorne kode od Windowsov nemoremo videti.
dr.J ::
Ni ravno neposredno povezano, pa vseeno: nekaj o varni konfiguraciji različnih sistemov,tudi linuxa:
http://www.nsa.gov/ia/guidance/security...
http://www.nsa.gov/ia/guidance/security...
Vredno ogleda ...
| Tema | Ogledi | Zadnje sporočilo | |
|---|---|---|---|
| Tema | Ogledi | Zadnje sporočilo | |
| » | Odkriti kritični ranljivosti v TrueCryptu (strani: 1 2 )Oddelek: Novice / Varnost | 22563 (17976) | MrStein |
| » | LinuxConOddelek: Informacijska varnost | 2446 (1567) | noraguta |
| » | Še ena ranljivost v Linux jedruOddelek: Novice / Varnost | 4410 (3351) | fiction |
| » | Nova zloraba v Linux jedru 2.6.31 omogoča dvig privilegijev uporabnikaOddelek: Novice / Varnost | 4507 (2963) | denial |
| » | Nova resna ranljivost v Linux jedrih 2.4 in 2.6 (strani: 1 2 )Oddelek: Novice / Varnost | 10542 (7940) | karafeka |