https://opennet.ru/openforum/vsluhforumID3/101333.html В системной библиотеке Glibc выявлена (http://openwall.com/lists/oss-security/2015/01/27/9) критическая уязвимость (CVE-2015-0235 (https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2015-0235)), которая может использоваться для организации выполнения кода в системе и проявляется при обработке специально оформленных данных в функциях gethostbyname() и gethostbyname2(), которые используются во многих программах для преобразования имени хоста в IP-адрес. Для демонстрации уязвимости подготовлен рабочий прототип эксплоита, позволяющий организовать удалённое выполнение кода на почтовом сервере Exim, обойдя все доступные механизмы дополнительной защиты (ASLR, PIE, NX) на 32- и 64-разрядных системах.<br><br><br>Проблема вызвана переполнением буфера в функции __nss_hostname_digits_dots(), используемой в gethostbyname() и gethostbyname2(). Несмотря на то, что вызовы gethostbyname() и gethostbyname2() устарели, они продолжают применяться для преобразования имени хоста во многих актуальных приложениях, в том числе в серверных про https://opennet.ru/openforum/vsluhforumID3/101333.html#153 Wed, 04 Feb 2015 06:49:39 GMT &gt;&gt; Но paxtest и hardening-check относятся к Адамантикс и Hardened Debian... С убунтой <br>&gt;&gt; и дебом эти проекты очень мало пересекаются.<br>&gt; Кроме одной "мелочи" - все сетевые сервисы как-то так собираются нынче с <br>&gt; наработками debian hardening'а.<br><br>Это они на будущие, без PAX ядра смысла в pie нет.<br><br>Мне кажется что в данном случае должен бы защитить -fstack-protector и -fstack-protector-all оно же оносится к переполнению кучи? Жаль протестить не могу у меня давно 2.19<br><br>Вот интересный проект http://levee.epfl.ch/ способный устранить данный клас уязвимостей. Или не писать больше на C/C++...<br> https://opennet.ru/openforum/vsluhforumID3/101333.html#152 Sun, 01 Feb 2015 08:07:24 GMT &gt; Я в общем-то не спорю (хотя видел либы с выпилинными реалоками - <br><br>Если утонченно извращаться - возможны фокусы поинтереснее. Вон например сабжевую либу можно запустить как исполняемый файл. Либа расскажет что это такое, какой версии, etc. Т.е. оно одновременно и либа и executable. Требует немного утонченного шаманства на уровне линкера (но чем-то таким настоящие системщики и отличаются от сброда).<br><br>Релокейшны из либы выпилить технически, конечно, можно. Но это чревато тем что при попытке вгрузки либы лыжи встанут на асфальт и либу вообще не удастся вгрузить. Если адреса заняты а релокаций нет - что остается? Правильно: срубить загрузку либы с ошибкой.<br><br>А так - у винды в работе с либами вообще есть несколько веселых заскоков, живущих с незапамятных времен. Путем некоторых относительно честных манипуляций (только системные вызовы, никаких руткитов и суперпривилегий) можно слепить например стелс-процесс который напрочь не видно в манагерах задач, но который выполняется.<br><br>&gt; была либа, обработанная "прот https://opennet.ru/openforum/vsluhforumID3/101333.html#151 Sun, 01 Feb 2015 07:16:19 GMT &gt; Но paxtest и hardening-check относятся к Адамантикс и Hardened Debian... С убунтой <br>&gt; и дебом эти проекты очень мало пересекаются.<br><br>Кроме одной "мелочи" - все сетевые сервисы как-то так собираются нынче с наработками debian hardening'а.<br> https://opennet.ru/openforum/vsluhforumID3/101333.html#150 Sun, 01 Feb 2015 07:00:20 GMT &gt; Ух ты, помнить тот случай с опененком и отмазками Тео оказывается верх <br>&gt; компетенции?! Не делайте мне смешно =) <br><br>В данном случае, компетенция - это разбираться в том что вы копипи3дите, хотя-бы в объеме при котором вы потом не залетите (по линии GPL, и вообще). А втyпую скопировать из пингвина сотни кода не глядя - это сильно, чуваки!<br><br>&gt; Отличная аргуметнация! Продолжайте в том же духе!<br><br>А мне то что? Я не копирую у других сотни кода не глядя, поэтому и в суд меня не поволокут. А вот некоторым урок с AT&T видимо был не в прок.<br><br>&gt; Для танкистов -- причем тут бэкэнд? <br><br>При том что главным было это. А то что в xorg драйвера стали "ответкой" для этого интерфейса - ну, логично. Оно для этого и делалось, чтобы более высокоуровневый юзермод этим потом пользовался.<br><br>&gt; Взялись пилить xorg, но толком не допилили -- но зато есть другой,<br>&gt; мощный бэкэнд, да! А xspy как работал, так и работает. Оно ведь нинужна фиксить!!<br><br>Если честно - мне вообще пофиг на xorg и что с ним случится. Со своей стороны я бы пр https://opennet.ru/openforum/vsluhforumID3/101333.html#149 Sun, 01 Feb 2015 03:24:31 GMT Ты читать умеешь? http://www.webcitation.org/6187NYSIz<br>MacOS X сертифицирована как UNIX'3<br> https://opennet.ru/openforum/vsluhforumID3/101333.html#148 Sat, 31 Jan 2015 20:02:18 GMT &gt;&gt;&gt; прелесть-то какая.<br>&gt;&gt; Прелестная, угу -- но в альте год как исправлено:<br>&gt; "без указания на то, что исправленная ошибка имеет отношение<br>&gt; к серьёзным проблемам с безопасностью", да?<br><br>Ровно потому, что на момент исправления это не было известно.<br><br>&gt; +++Альт -- как Федора!<br><br>Не, в альте возможно скопировать (захардлинкать, если в терминах реализации) пакет из одного репозитория в другой при наличии необходимости (в данном случае ldv@ её озвучил как "испытываю непреодолимое желание обновить glibc", кажется) и прошедшей проверке на бинарную совместимость. В федоре, насколько понимаю, такие обновления в любом разе порождают новую сущность.<br> https://opennet.ru/openforum/vsluhforumID3/101333.html#147 Sat, 31 Jan 2015 07:26:57 GMT &gt; Даже у слоупочных дебианщиков ну и убунтуев - скрипт hardening-check сто лет как есть. И не для красоты, заметим.<br><br>Дебианщики и paxtest написали...<br><br>Но paxtest и hardening-check относятся к Адамантикс и Hardened Debian... С убунтой и дебом эти проекты очень мало пересекаются.<br> https://opennet.ru/openforum/vsluhforumID3/101333.html#146 Sat, 31 Jan 2015 01:05:25 GMT &gt; Там кстати и насчет сабжа есть: <br><br>Тьфу, "сабж" -- это в соседний тред (clamav)<br> https://opennet.ru/openforum/vsluhforumID3/101333.html#145 Sat, 31 Jan 2015 00:37:24 GMT &gt;&gt; будет грузится в указанный ImgageBase (легаси).<br>&gt; Для начала - либа никогда не может надеяться на то что ее <br>&gt; в Base вгрузят. Потому что никто не гарантирует что layout адресного<br><br>Я в общем-то не спорю (хотя видел либы с выпилинными реалоками - т.е какие то спецы игрались с флэгами компилятора или, возможно, это была либа, обработанная "противо-крякерской-защитой")<br>Т.е да:<br>&gt; вопрос сводится в основном к желанию loader'а либы сделать рандомизацию<br><br>--<br><br>&gt; Поэтому насколько я помнб, все либы собираются как position-independent. Чтобы при <br>&gt; такой ситуации иметь возможность перенести либу в другие адреса. <br><br>Не только либы -- борлэнд-компиляторы (делфи 5 и 7, Си++ точно не помню) одно время даже екзешники такие выдавали - т.е с нужными реалокми.<br><br>&gt; На минутку, либы можно еще и явно вгружать и импортировать из них <br>&gt; функции.<br><br>Да, можно -- но для "суперсекурных" дополнений антивирей желательно загрузить либу как можно раньше, что бы значит контроль был и все такое (я честно не понял, зачем нужно гр