https://opennet.ru/openforum/vsluhforumID3/110812.html Опубликованы (http://openwall.com/lists/oss-security/2017/03/29/2) сведения о 0-day уязвимости в ядре Linux (CVE-2017-7184 (https://security-tracker.debian.org/tracker/CVE-2017-7184)), которая была использована на соревновании Pwn2Own 2017 (https://www.opennet.ru/opennews/art.shtml?num=46213) для демонстрации атаки на Ubuntu Linux, позволившей локальному пользователю выполнить код с правами root. <br><br><br>Уязвимость вызвана ошибкой во фреймворке преобразования сетевых пакетов XFRM (http://man7.org/linux/man-pages/man8/ip-xfrm.8.html), применяемом для реализации IPsec. В функции <br>xfrm_replay_verify_len(), вызываемой из xfrm_new_ae(), не выполнялась проверка заданных пользователем параметров replay_window, записываемый в буфер состояний. Манипулируя содержимым, связанным с данным параметром, атакующий может организовать запись и чтение данных в области памяти ядра за пределами выделенного буфера.<br><br><br><br><br><br><br><br><br>Несмотря на то, что эксплуатация был продемонстрирвоана в Ubuntu, проблема не специфична для данного д https://opennet.ru/openforum/vsluhforumID3/110812.html#40 Tue, 01 Aug 2017 11:36:03 GMT Позволяющая руту внутри _контейнера_, созданного непривилегированным пользователя, получить права рута на хосте. <br> https://opennet.ru/openforum/vsluhforumID3/110812.html#39 Mon, 03 Apr 2017 15:32:41 GMT Это даже не смешно. У вас представление об энтерпрайзе как сборище линукс-гиков?<br> https://opennet.ru/openforum/vsluhforumID3/110812.html#38 Fri, 31 Mar 2017 17:31:16 GMT &gt; Топикстартер забыл упомянуть, что в Debian это некатит, потому, что <br><br>Вы невнимательно читали новость, там про это написано. "Например, пакеты с ядром для Ubuntu и Fedora уязвимы по умолчанию, а ядро Debian и RHEL/CentOS 7 может быть атаковано только после явной активации поддержки "user namespaces" (sysctl kernel.unprivileged_userns_clone=1)"<br> https://opennet.ru/openforum/vsluhforumID3/110812.html#37 Fri, 31 Mar 2017 15:52:04 GMT &gt; Отличный подход для Enterprise-а!<br><br>у энтерпрайса размером поболее подвальной лавчонки как раз обычно есть билдферма, лишние руки для ее обслуживания и, иногда, другие поводы пересобирать ведра.<br>Только чем это поможет в данном случае (учитывая что ему запросто может быть нужен и ipsec, и namespaces) - загадка.<br><br> https://opennet.ru/openforum/vsluhforumID3/110812.html#36 Fri, 31 Mar 2017 15:07:27 GMT Топикстартер забыл упомянуть, что в Debian это некатит, потому, что <br>&gt;Unprivileged user namespaces are disabled in Debian, this only affects<br><br>non-standard setups<br> https://opennet.ru/openforum/vsluhforumID3/110812.html#34 Fri, 31 Mar 2017 07:17:53 GMT Отличный подход для Enterprise-а!<br> https://opennet.ru/openforum/vsluhforumID3/110812.html#32 Thu, 30 Mar 2017 22:30:18 GMT В который раз? Оно только год,полтора как из EXPEREMENTAL вылезло <br> https://opennet.ru/openforum/vsluhforumID3/110812.html#31 Thu, 30 Mar 2017 22:28:28 GMT Вот почему нужно собирать свои ядра, а не юзать дистрибные. <br> https://opennet.ru/openforum/vsluhforumID3/110812.html#29 Thu, 30 Mar 2017 15:15:44 GMT Неплохая очередная причина вынести сетку в отдельное адресное пространство?<br>