https://opennet.ru/openforum/vsluhforumID3/112920.html В ядре Linux выявлена (http://www.openwall.com/lists/oss-security/2017/11/30/1) критическая уязвимость (https://medium.com/bindecy/huge-dirty-cow-cve-2017-1000405-110eca132de0) (CVE-2017-1000405 (https://security-tracker.debian.org/tracker/CVE-2017-1000405)), которая манипулирует недоработкой в прошлогодних патчах, устраняющих нашумевшую уязвимость Dirty COW (https://www.opennet.ru/opennews/art.shtml?num=45354) (CVE-2016-5195), но, как оказалось, закрывающих не все векторы атаки. Проблема проявляется в ядрах с 2.6.38 по 4.14 и позволяет поднять свои привилегии в системе. Для проверки своих систем на наличие уязвимости доступен (https://github.com/bindecy/HugeDirtyCowPOC) рабочий прототип эксплоита.<br><br><br>Уязвимость присутствует в подсистеме управления памятью (в функции pmd_mkdirty) в реализации режима Transparent HugePage (THP). К функции touch_pmd() можно получить доступ через вызов get_user_pages() и добиться изменения содержимого PMD (Page Medium Directory) без выполнения цикла copy-on-write (COW) при попыт https://opennet.ru/openforum/vsluhforumID3/112920.html#116 Thu, 07 Dec 2017 20:47:01 GMT &gt; утипусеньки, какие мы осторожные и предусмотрительные... а откатим - вместе с данными, да?<br><br>Утипусиньки, на тестовой машине не то чтобы много ценных данных. И они в отдельных btrfs subvolume валяются, вне системных дел, поэтому не откатятся.<br><br>&gt; А, ну да, там же нет данных... только зачем тогда <br>&gt; ждать подозрений? (они могут позновато появиться, ага) <br><br>Там бывают данные, но не ценные и transient по природе своей. И даже для них отдельные снапшоты, если надо.<br><br>&gt; и еще сверху надет презерватив.<br><br>Знаешь, лаборанты когда имеют дело с серьезной инфекцией и прочей отравой не брезгуют надеть как минимум двое перчаток. Элементарная техника безопасности.<br><br>&gt; Но при этом мы считаем себя охрененными экспертами и смеемся над людьми, <br>&gt; которые просто запустили всю хрень у себя на локалхосте, без лишней <br>&gt; паранойи и без, надо заметить, большого риска.<br><br>Небольшой такой риск, всего лишь память кернела превратилась в труху. Правда что будет дальше никто не знает. Запишется труха в структуру файлухи - и удачных https://opennet.ru/openforum/vsluhforumID3/112920.html#114 Thu, 07 Dec 2017 15:15:21 GMT &gt; Ага, на тестовом компе, где файлуха заснапшочена и при малейшем подозрении будет откачена. <br><br>утипусеньки, какие мы осторожные и предусмотрительные... а откатим - вместе с данными, да? А, ну да, там же нет данных... только зачем тогда ждать подозрений? (они могут позновато появиться, ага)<br><br>&gt; С парой уровней виртуализации<br><br>и еще сверху надет презерватив.<br><br>Но при этом мы считаем себя охрененными экспертами и смеемся над людьми, которые просто запустили всю хрень у себя на локалхосте, без лишней паранойи и без, надо заметить, большого риска.<br><br> https://opennet.ru/openforum/vsluhforumID3/112920.html#113 Wed, 06 Dec 2017 19:52:22 GMT &gt; Круто, если какие-то хорошие люди получат от этой дыры сиюминутную выгоду. Но, <br>&gt; как мне кажется, это не отменяет того, что имеет место проблема:<br><br>Зато остальные как раз пропатчатся в темпе вальса. А кто будет хлопать ушами, станет источником сиюминутной выгоды. И не сказать что это Торвальдс придумал или кто там еще.<br> https://opennet.ru/openforum/vsluhforumID3/112920.html#111 Wed, 06 Dec 2017 19:44:43 GMT &gt; MADVISE, KSM и пр. попытки дедупов эффективны при работе 2-х и более КЛОНОВ!<br><br>Мне бзды с десятками и не требуются.<br> https://opennet.ru/openforum/vsluhforumID3/112920.html#109 Wed, 06 Dec 2017 18:39:48 GMT &gt; а откуда ты знаешь, что тебе там не два сразу завернули? ;-) <br><br>Это будет заметно по куче логики.<br><br>&gt; Шелл-код-то проверял, прогрессивный ты наш?<br><br>Вот в конкретно этом эксплойте шелкода вообще нет, мистер эксперт.<br><br>&gt; и как с гуся вода, а ты без колебаний запустишь подобное <br>&gt; нечто на рабочей системе с рабочими виртуалками - даже не подумав, <br>&gt; что в случае чего - хрен потом поймаешь разбегающуюся вирусню.<br><br>Ага, на тестовом компе, где файлуха заснапшочена и при малейшем подозрении будет откачена. С парой уровней виртуализации, так что оно даже и не поймет когда и куда прорубилось. А встраивать искуственный интеллект в мелкий кусочек асма с кучей ограничений - несколько напряжно. О чем ты бы мог и догадаться, если бы хоть иногда пользовался мозгом по назначению.<br><br>&gt; "Мне ж сказали что оно содержит эксплойт только для одного ядра, я и ведусь".<br><br>Несомненно, там мощный искусственный интеллект, который не сломается на довольно нестандартной конфигурации и обойдет все капканы и сюрпризы. Нисколько не сом https://opennet.ru/openforum/vsluhforumID3/112920.html#108 Wed, 06 Dec 2017 18:34:14 GMT &gt; В вариации "кто говорил, что 2.6.33 для e2k слишком старое", ага :-] <br><br>Окаменелости даже зараза не берет. <br><br><br> https://opennet.ru/openforum/vsluhforumID3/112920.html#107 Wed, 06 Dec 2017 18:19:14 GMT &gt; Если одна виртуалка Генту, вторая Free БДСM, Винтуз 10, ...<br>&gt; то не знаю, что там общего :) <br><br>hosts? :]<br> https://opennet.ru/openforum/vsluhforumID3/112920.html#106 Wed, 06 Dec 2017 17:50:22 GMT &gt; У меня на десктопе довольно много виртуалок. Так прикольнее. Сейчас мы эту <br>&gt; шматрицу запатчим...<br><br>MADVISE, KSM и пр. попытки дедупов эффективны при работе 2-х и более КЛОНОВ! <br>Если одна виртуалка Генту, вторая Free БДСM, Винтуз 10, ... то не знаю, что там общего :) <br> https://opennet.ru/openforum/vsluhforumID3/112920.html#105 Wed, 06 Dec 2017 17:44:03 GMT &gt; Ты про того, кто написал эту программу? <br><br>Там частный, но популярный случай, однозначная работа зависит от того как часто проц лезет в L2/L3 кэш.<br>У мня в этом примере треды взаимно блокируются на madvise <br>