Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"Уязвимости в AppArmor, позволяющие получить root-доступ в системе"	+/–
Сообщение от opennews (ok), 13-Мрт-26, 13:37
Компания Qualys выявила 9 уязвимостей в системе мандатного управления доступом AppArmor, наиболее опасные из которых позволяют локальному непривилегированному пользователю получить права root в системе, выйти из изолированных контейнеров и обойти ограничения, заданные через AppArmor. Уязвимости получили кодовое имя CrackArmor. CVE-идентификаторы пока не назначены. Успешные примеры повышения привилегий продемонстрированы в Ubuntu 24.04 и Debian 13... Подробнее: https://www.opennet.dev/opennews/art.shtml?num=64984
Ответить | Правка | Cообщить модератору

Сообщения

[Сортировка по времени | RSS]

4. "Уязвимости в AppArmor, позволяющие получить root-доступ в си..."	+2 +/–
Сообщение от Аноним (4), 13-Мрт-26, 13:53
Фикс для бубунты: $ onano /etc/default/grub > GRUB_CMDLINE_LINUX_DEFAULT="quiet splash loglevel=0 apparmor=0 mitigations=off" $ update-grub
Ответить | Правка | Наверх | Cообщить модератору

	5. "Уязвимости в AppArmor, позволяющие получить root-доступ в си..."	+4 +/–
	Сообщение от openssh_user (ok), 13-Мрт-26, 14:13
	Нет apparmor - нет проблем?
	Ответить | Правка | Наверх | Cообщить модератору

	11. "Уязвимости в AppArmor, позволяющие получить root-доступ в си..."	+/–
	Сообщение от АнонимЯ (?), 13-Мрт-26, 14:19
	Ага, метод от девляпсов, судя по всему.
	Ответить | Правка | Наверх | Cообщить модератору

	25. "Уязвимости в AppArmor, позволяющие получить root-доступ в си..."	+1 +/–
	Сообщение от Аноним (25), 13-Мрт-26, 14:44
	> mitigations=off Зачем отключать ещё и защиту от Meltdown и Spectre (спекулятивных CPU уязвимостей)?
	Ответить | Правка | К родителю #4 | Наверх | Cообщить модератору

	34. "Уязвимости в AppArmor, позволяющие получить root-доступ в си..."	+/–
	Сообщение от нах. (?), 13-Мрт-26, 14:59
	затем что она примерно так же на#р не нужна как и апармор.
	Ответить | Правка | Наверх | Cообщить модератору

	49. "Уязвимости в AppArmor, позволяющие получить root-доступ в си..."	+/–
	Сообщение от Аноним (49), 13-Мрт-26, 15:36
	Он про домашние десктопы. Там оно не нужно. На серверах - дело твое уже (я бы не отключал).
	Ответить | Правка | К родителю #25 | Наверх | Cообщить модератору

7. "Уязвимости в AppArmor, позволяющие получить root-доступ в си..."	+/–
Сообщение от Аноним (7), 13-Мрт-26, 14:15
> Проблемы присутствуют в LSM-модуле AppArmor начиная с ядра Linux 4.11 Не зря люди на 3.* ядре сидят.
Ответить | Правка | Наверх | Cообщить модератору

	9. Скрыто модератором	+1 +/–
	Сообщение от Аноним (9), 13-Мрт-26, 14:17
	А в нем дыреней нет? Ты точно проверил? Может там СИшка другая? Или диды в те времена не овнокодили?
	Ответить | Правка | Наверх | Cообщить модератору

	24. "Уязвимости в AppArmor, позволяющие получить root-доступ в си..."	–1 +/–
	Сообщение от онанист (?), 13-Мрт-26, 14:42
	зря 2.6 рулит
	Ответить | Правка | К родителю #7 | Наверх | Cообщить модератору

14. "Уязвимости в AppArmor, позволяющие получить root-доступ в си..."	+/–
Сообщение от Аноним (14), 13-Мрт-26, 14:22
> Исправление также включено в сегодняшние обновления пакетов с ядром для Ubuntu. > В Debian обновление в процессе подготовки Никогда такого не было и вот опять. Дебианцам же торопиться некуда. Сегодня уже пятница, потом выходные, кто же на выходных патчи будет принимать.
Ответить | Правка | Наверх | Cообщить модератору

	16. "Уязвимости в AppArmor, позволяющие получить root-доступ в си..."	+/–
	Сообщение от Аноним (16), 13-Мрт-26, 14:30
	Так на дебиане же по-умолчанию apparmor отключён )
	Ответить | Правка | Наверх | Cообщить модератору

	19. "Уязвимости в AppArmor, позволяющие получить root-доступ в си..."	+1 +/–
	Сообщение от Аноним (19), 13-Мрт-26, 14:34
	> Так на дебиане же по-умолчанию apparmor отключён ) Вы уверены? Может вы совсем недавно из криокамеры вышли? AppArmor is available in Debian since Debian 7 "Wheezy". If you are using Debian 10 "Buster" or newer, AppArmor is enabled by default wiki.debian.org/AppArmor/HowToUse
	Ответить | Правка | Наверх | Cообщить модератору

	32. "Уязвимости в AppArmor, позволяющие получить root-доступ в си..."	+/–
	Сообщение от нах. (?), 13-Мрт-26, 14:56
	ну дуpa4ки, что с них взять. А чувак умный и распоследними дерьмианами не пользуется.
	Ответить | Правка | Наверх | Cообщить модератору

	46. "Уязвимости в AppArmor, позволяющие получить root-доступ в си..."	+/–
	Сообщение от Аноним (46), 13-Мрт-26, 15:28
	> А чувак умный и распоследними дерьмианами не пользуется. Распоследними? Оно с 10й версии, у которой EOL был два года назад. Предлагаете на Debian 9 использовать? Умные чуваки вообще дерьмианами не пользуюся.
	Ответить | Правка | Наверх | Cообщить модератору

	51. "Уязвимости в AppArmor, позволяющие получить root-доступ в си..."	+/–
	Сообщение от Аноним (25), 13-Мрт-26, 15:38
	А чем пользуются? Arch?
	Ответить | Правка | Наверх | Cообщить модератору

	36. "Уязвимости в AppArmor, позволяющие получить root-доступ в си..."	–1 +/–
	Сообщение от Аноним (25), 13-Мрт-26, 15:00
	Я тоже из криокамеры, к синтаксису nftables так и не привыкла.
	Ответить | Правка | К родителю #19 | Наверх | Cообщить модератору

	38. "Уязвимости в AppArmor, позволяющие получить root-доступ в си..."	+/–
	Сообщение от Аноним (25), 13-Мрт-26, 15:01
	И к ip вместо ifconfig
	Ответить | Правка | Наверх | Cообщить модератору

17. "Уязвимости в AppArmor, позволяющие получить root-доступ в си..."	+/–
Сообщение от Аноним (17), 13-Мрт-26, 14:33
> Суть метода в том, что при возникновении проблем утилита sudo отправляет администратору письмо, запуская /usr/sbin/sendmail. Блокировав сброс привилегий можно добиться запуска данного процесса с правами root, а выставив перед запуском sudo переменную окружения MAIL_CONFIG можно передать утилите sendmail другие настройки, в том числе указать свой обработчик postdrop, запускаемый при отправке почты. Господи, здесь прекрасно абсолютно все: и sudo, шлющий эмейлы, и sendmail, запускающий черт знает что по указанию внешних переменных окружения. Очередное бинго из гениального диловского дизайна. В этот раз еще приправленное приблудой AppArmor (естественно, написанной на топовых технологиях 70х с double free), которая вместо защиты наоборот дает рут. 😂 Сколько не говорят, что поверхность атаки нужно УМЕНЬШАТЬ, а не наоборот - все бестолку. Продолжаем наворачиват новые слои дырявых аппарморов и прочих файрджейлов - и потом делать удивленные глаза. 😧
Ответить | Правка | Наверх | Cообщить модератору

	20. "Уязвимости в AppArmor, позволяющие получить root-доступ в си..."	+/–
	Сообщение от онанист (?), 13-Мрт-26, 14:35
	Сколько не говорят, что поверхность атаки нужно УМЕНЬШАТЬ, а не наоборот - все бестолку кто говорит? наоброт обязательно антивирус и тп
	Ответить | Правка | Наверх | Cообщить модератору

	23. "Уязвимости в AppArmor, позволяющие получить root-доступ в си..."	+/–
	Сообщение от Аноним (-), 13-Мрт-26, 14:42
	Ты просто ничего не понимаешь! Это же (xy)UNIХ-way! Диды писали, диды старались, ты такой неблагодарный на них бочку гонишь... А ну быстра извынысь!
	Ответить | Правка | К родителю #17 | Наверх | Cообщить модератору

	26. "Уязвимости в AppArmor, позволяющие получить root-доступ в си..."	+/–
	Сообщение от Аноним (25), 13-Мрт-26, 14:45
	Советую почитать классику UNIX HATERS HANDBOOK. Там и про sendmail есть!
	Ответить | Правка | К родителю #17 | Наверх | Cообщить модератору

	37. "Уязвимости в AppArmor, позволяющие получить root-доступ в си..."	+/–
	Сообщение от нах. (?), 13-Мрт-26, 15:00
	советую поставить наконец любимую винду и отвалить от юнисов. Это не ваше. И не читайте всякое враньше неосиляторов. Кстати, в ТОМ sendmail - этой уязвимости нет.
	Ответить | Правка | Наверх | Cообщить модератору

	47. "Уязвимости в AppArmor, позволяющие получить root-доступ в си..."	+/–
	Сообщение от Аноним (47), 13-Мрт-26, 15:31
	А можно вы со своими юниксами уже отвалите от линукса. Ведь он ГНУ, что расшифровывается как ГНУ НОТ! Юникс. У вас есть ваши либимые юниксы в виде макоси и бсд. Вот там и городите свои костыли.
	Ответить | Правка | Наверх | Cообщить модератору

	50. "Уязвимости в AppArmor, позволяющие получить root-доступ в си..."	+/–
	Сообщение от Аноним (25), 13-Мрт-26, 15:36
	Not Unix, but Unix-like.
	Ответить | Правка | Наверх | Cообщить модератору

	31. Скрыто модератором	+2 +/–
	Сообщение от нах. (?), 13-Мрт-26, 14:55
	не хотел бы тебя огорчать, но этот сендмэйл - кого нада сендмэйл. Безопастный (!) drop-in replacement придуманный кекспертом по безопастносте чтоб вот привиллегии не сбрасывать. А настоящий - никаких MAIL_CONFIG не умеет. > В этот раз еще приправленное приблудой AppArmor (естественно, написанной на топовых > технологиях 70х с double free), ну ты-то щас напишешь получше? На технологиях 2030х? А, не, не напишешь. Ты ж не умеешь кодить. (и да, проблема apparmor - что он дерьмо. И by design, и, как видим, by implementation. И это не проблема технологий, а проблема индусов нанятых убунтой за три копейки, вместо того чтобы выпороть как следует американцев, не сумевших переписать работающие профили selinux)
	Ответить | Правка | К родителю #17 | Наверх | Cообщить модератору

22. "Уязвимости в AppArmor, позволяющие получить root-доступ в си..."	+/–
Сообщение от Аноним (16), 13-Мрт-26, 14:40
Если sudo на дебиане нет - получается уязвимость не сработает ?
Ответить | Правка | Наверх | Cообщить модератору

	27. "Уязвимости в AppArmor, позволяющие получить root-доступ в си..."	+1 +/–
	Сообщение от Аноним (25), 13-Мрт-26, 14:46
	Попутно в Ubuntu выпущены обновления пакетов sudo, sudo-ldap и **util-linux (в состав входит утилита su)**
	Ответить | Правка | Наверх | Cообщить модератору

	30. "Уязвимости в AppArmor, позволяющие получить root-доступ в си..."	+/–
	Сообщение от Аноним (30), 13-Мрт-26, 14:52
	> Если sudo на дебиане нет - получается уязвимость не сработает ? А новость вы не пробовали читать? "Успешные примеры повышения привилегий продемонстрированы в Ubuntu 24.04 и Debian 13" Значит и без sudo работает.
	Ответить | Правка | К родителю #22 | Наверх | Cообщить модератору

42. "Уязвимости в AppArmor, позволяющие получить root-доступ в си..."	+/–
Сообщение от Сладкая булочка (?), 13-Мрт-26, 15:18
AppArmor используется в snap. Вот и думайте.
Ответить | Правка | Наверх | Cообщить модератору

	44. "Уязвимости в AppArmor, позволяющие получить root-доступ в си..."	+/–
	Сообщение от Аноним (25), 13-Мрт-26, 15:22
	Думаю и использую flatpak.
	Ответить | Правка | Наверх | Cообщить модератору

	45. "Уязвимости в AppArmor, позволяющие получить root-доступ в си..."	+/–
	Сообщение от Аноним (45), 13-Мрт-26, 15:25
	Но используется и отдельно. Какой вывод может быть сделан? 1. аппармор оказался овнокодом 2. дырени типичные 3. создателю snapʼа нужно тщательнее выбирать, что использовать в проекте
	Ответить | Правка | К родителю #42 | Наверх | Cообщить модератору

43. "Уязвимости в AppArmor, позволяющие получить root-доступ в си..."	+/–
Сообщение от Аноним (-), 13-Мрт-26, 15:19
> Показано как получить права root при помощи уязвимостей, вызванных двойным выполнением функции free() и обращением к уже освобождённой области памяти (use‑after‑free) "если использовать язык программирования, с которым не надо тщательно обдумывать каждую строку, то можно знатно нафакапить" (c) Они использовали. И нафаkапили.
Ответить | Правка | Наверх | Cообщить модератору

	52. Скрыто модератором	+/–
	Сообщение от Аноним (52), 13-Мрт-26, 15:39
	> через запись псевдофайлов /sys/kernel/security/apparmor/.load, .replace и .remove Нидиды на хрусте прям через ЫЫшечку накукарекают код, который уже в 1999 году до нашей эры гарантировал безопасность. И вэб интефейс с рестапи прикрутят, чтоб кукарекод показывало!
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема