https://www.opennet.me/openforum/vsluhforumID3/110318.html В ntfs-3g (http://www.tuxera.com/community/open-source-ntfs-3g/), FUSE-драйвере для файловой системы NTFS, выявлена (http://www.openwall.com/lists/oss-security/2017/02/01/8) уязвимость (CVE-2017-0358 (https://security-tracker.debian.org/tracker/CVE-2017-0358)), позволяющая загрузить произвольный модуль в ядро Linux и добиться выполнения своего кода с правами root. Проблема проявляется только при установке утилиты монтирования ntfs-3g с флагом suid root, что практикуется в Debian (https://security-tracker.debian.org/tracker/CVE-2017-0358), Ubuntu 16.04/16.10 (https://people.canonical.com/~ubuntu-security/cve/2017/CVE-2017-0358.html) и Gentoo (https://bugs.gentoo.org/show_bug.cgi?id=CVE-2017-0358). Ubuntu 14.04, RHEL и SUSE проблеме не подвержены (https://bugzilla.novell.com/show_bug.cgi?id=CVE-2017-0358). Исправления уже выпущены для Ubuntu (https://www.ubuntu.com/usn/usn-3182-1/) и Debian (https://www.debian.org/security/2017/dsa-3780), и ожидаются (https://www.gentoo.org/support/security/) для Gentoo.<br><br><br>Уя https://www.opennet.me/openforum/vsluhforumID3/110318.html#40 Fri, 03 Feb 2017 14:37:14 GMT &gt; Гм, разве #define ещё не изобрели?<br><br>и получаем лишнюю проверку, которая еще и сломаться может<br><br>&gt; Или modprobe(8) уже завезли на все целевые платформы?<br><br>какой-то эквивалент - завезли, и вот это да, эту мелочь (название, имена и порядок параметров, if any) допустимо хранить в #define<br><br>&gt; /configure: ну нету и нету :)<br><br>и ты получаешь _два_ разных кода, каждый из которых может сломаться как одним и тем же способом (хрен вот его знает про libkmod, есть там привычка брать из окружения переменные, или нет - и не появится ли завтра еще какая) и двумя независимыми разными.<br>Плюс еще пункт 1 - код для детектирования кода. И все это надо поддерживать. <br><br>Лучше все же потратить эти усилия на что-то еще - порт на еще одну платформу, или оптимизацию для существующих - fuse хороший проект (ну или был, когда я последний раз туда заглядывал), они это действительно делают.<br><br><br> https://www.opennet.me/openforum/vsluhforumID3/110318.html#37 Fri, 03 Feb 2017 12:55:46 GMT &gt;&gt; А что во FreeBSD ?<br>&gt; Фрибсдишники пользуются нативным драйвером NTFS, системным, "от производителя".<br><br>И поэтому на опеннете можно регулярно почитать новость об очередном дистре, портированном на вендовую подсистему для линукса.<br><br><br> https://www.opennet.me/openforum/vsluhforumID3/110318.html#36 Fri, 03 Feb 2017 09:35:40 GMT Ровно на это Саша грубовато и намекает.<br><br>А когда используемая платформа универсальна -- то нет, менять её на виндовс не проще. И тем более не лучше.<br> https://www.opennet.me/openforum/vsluhforumID3/110318.html#35 Fri, 03 Feb 2017 09:22:00 GMT Может проще использовать Windows, а не изобретать велосипед заново?<br> https://www.opennet.me/openforum/vsluhforumID3/110318.html#34 Thu, 02 Feb 2017 19:41:35 GMT &gt;&gt; А libkmod не?<br>&gt; и получаем зависимость системонезависимой fuse от линуксспецифичного интерфейса<br>&gt; в виде optional либы.<br><br>Гм, разве #define ещё не изобрели? Или modprobe(8) уже завезли на все целевые платформы?<br><br>&gt; # locate libkmod <br>&gt; # <br>&gt; (это линукс, да. fuse установлена и используется) <br><br>./configure: ну нету и нету :)<br> https://www.opennet.me/openforum/vsluhforumID3/110318.html#33 Thu, 02 Feb 2017 19:06:22 GMT &gt; А что во FreeBSD ?<br><br>Фрибсдишники пользуются нативным драйвером NTFS, системным, "от производителя".<br> https://www.opennet.me/openforum/vsluhforumID3/110318.html#32 Thu, 02 Feb 2017 17:14:34 GMT &gt; А libkmod не?<br><br>и получаем зависимость системонезависимой fuse от линуксспецифичного интерфейса в виде optional либы. В которой тоже неизвестно что происходит, и что ей надо принудительно чистить, прежде чем рисковать пользоваться. Проще уж оставить как есть (я бы обвешал враппером)<br># locate libkmod<br># <br>(это линукс, да. fuse установлена и используется)<br><br>или речь об интерфейсе? Не, libkmod это просто modprobe/modinfo в виде .so, внтри там ровно то же, что и в монолитных. afaik, точно так же не умеет проверять результат (поскольку это глубоко в ядре, а не в modprobe)<br><br> https://www.opennet.me/openforum/vsluhforumID3/110318.html#27 Thu, 02 Feb 2017 13:34:28 GMT &gt; Собственно, вся уязвимость именно в очередном "ненужно" в линуксной modprobe, о котором <br>&gt; теперь надо заботиться любому коду, который вынужден ее вызывать (exec'ом, потому <br>&gt; что кернельный интерфейс в 2002м году сломали).<br><br>А libkmod не?<br> https://www.opennet.me/openforum/vsluhforumID3/110318.html#25 Thu, 02 Feb 2017 13:25:04 GMT &gt;&gt; Ubuntu 14.04, RHEL и SUSE проблеме не подвержены <br>&gt; В Альте тоже все в порядке. Допишите пожалуйста.<br><br>Если что, новость была предложена сотрудником альта, сидящим за спиной участника команды безопасности альта (которого и попросил переслать ссылочку на то, что он озвучил).<br><br>Но раз так настаиваете -- предложил правку, ладно.<br>