| 1.1, Аноним (-), 12:22, 16/07/2009 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Это вообще ахтунг! Пользуйтесь OpenBSD, программисты уже давно переписали эти поделки ISC
| | |
| |
| |
| 3.44, klalafuda (?), 00:32, 17/07/2009 [^] [^^] [^^^] [ответить]
| +/– |
>> Пользуйтесь OpenBSD,
> Летайте самолетами Аэрофлота :)
некорректное, кстати, сравнение. AFAIU сегодня Аэрофлот эксплуатирует точно такие же самолёты, что и остальные топ-конторы РФ. по крайней мере летая в т.ч. на нём я не нашел каких-то существенных различий в их аэробусах.
ps: дада, я помню рекламку 'надёжно и быстро без лишних хлопот вас похоронит аэрофлот!'. но IMHO сегодня он ни чем не хуже [и не лучше] остальных контор.
// wbr
| | |
|
| 2.46, szh (ok), 00:39, 17/07/2009 [^] [^^] [^^^] [ответить]
| +/– |
читать учись анонимус:
По словам одного из разработчиков SUSE Linux, данный дистрибутив, а также дистрибутивы основанные на коде Fedora и Red Hat Enterprise Linux, не подвержены данной уязвимости, так как код DHCP клиента собран с использованием опции FORTIFY_SOURCE,
| | |
|
| |
| 2.58, поцанчик (ok), 03:09, 18/07/2009 [^] [^^] [^^^] [ответить]
| +/– |
не ссы, в нормальных сетях, если будешь флудить по дхцп, то тебя просто заблокируют на роутере
| | |
|
| 1.4, Уноним (?), 12:56, 16/07/2009 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
ндя, в опенсусе меня эту уязвимость закрыли вчера (т.е. в течении часа с открытия)
| | |
| |
| 2.22, 1 (??), 18:58, 16/07/2009 [^] [^^] [^^^] [ответить]
| +/– |
Чему подвержен? Вы сами поняли что спросили?
| | |
|
| 1.6, zhus (ok), 13:40, 16/07/2009 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Интересно, а почему ВСЕ не используют опцию FORTIFY_SOURCE в критичных приложениях?
| | |
| |
| |
| 3.10, zhus (ok), 14:45, 16/07/2009 [^] [^^] [^^^] [ответить]
| +/– |
Помнится, много-много лет назад, когда у соседей стало нехватать tps, они не стали снижать уровень контроля входных параметров, а поставили второй минивакс, хотя критичность их программы была пониже DHCP-сервера.
| | |
| |
| 4.29, User294 (ok), 21:38, 16/07/2009 [^] [^^] [^^^] [ответить]
| +/– | |
>Помнится, много-много лет назад,
Ключевой момент.Много-много лет назад софт писали мозговитые програмеры, которые старались отвечать за свой труд и его качество так же как архитектор отвечает за построенное по его проекту здание.А потому старались делать на совесть.А потом кто попало уже понабежал на это поприще почуяв что там можно подзаработать.Правда вот в те времена не было толп хакеров и потому переполнениям буфферов уделяли меньше внимания.
И кстати так не только в софтостроении.Вот скажите, почему в блоке питания от 286 обычный 80мм кулер не сдох за добрый десяток лет работы?А современные аналоги - мрут как мухи за пару лет.
| | |
| |
| 5.35, XoRe (ok), 23:34, 16/07/2009 [^] [^^] [^^^] [ответить]
| +/– |
>И кстати так не только в софтостроении.Вот скажите, почему в блоке питания
>от 286 обычный 80мм кулер не сдох за добрый десяток лет
>работы?А современные аналоги - мрут как мухи за пару лет.
Потому что тогда на этом _ещё_ не делали деньги, как сейчас.
А одноразовые продажи дешевых товаров никому не интересны.
Кстати, насколько я знаю, есть хороший пример - гибкие (5,25) и твердые (3,5) дискеты.
Все накупили гибких дискет и довольны.
А они не ломаются (ну хотя бы не так, как 3,5 дискеты).
Что делать?
Надо изобрести, что будет "меньше по размеру, но больше по вместительности!" (а ещё чаще ломаться).
Вот и изобрели.
Вот и внедрили.
И целое поколение еб*лось с косяками дискет.
| | |
| |
| 6.57, PhoeniX (??), 19:05, 17/07/2009 [^] [^^] [^^^] [ответить]
| +/– |
Есть такое понятие, как избыточное качество. Ну переплати вдвое за домашний десктоп, и пусть железо у тебя прослужит десять лет.
Малоактуальным оно правда станет уже года через три.
| | |
|
| 5.60, IGX (?), 13:21, 19/07/2009 [^] [^^] [^^^] [ответить]
| +/– | |
> Вот скажите, почему в блоке питания от 286 обычный 80мм кулер не сдох за добрый десяток лет работы?А современные аналоги - мрут как мухи за пару лет.
А ты не ставь noname за 5 копеек.
| | |
|
|
| 3.25, GateKeeper (??), 20:51, 16/07/2009 [^] [^^] [^^^] [ответить]
| –1 +/– |
Ага, это ж только представить! За 1 секунду надо успеть опросить десятки тысяч DHCP-серверов, выбрать самый качественный LEASE, перезапросить его, осведомиться, не появилось ли у кого чего посвежее, а потом окончательно применить его на сетевой стек. И так каждую секунду.
| | |
|
|
| 1.11, pahan (??), 15:28, 16/07/2009 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
А на кой выставлять DHCP на всенародное обозрение? Это должно быть внутри корпоративной сети.
| | |
| |
| 2.15, Warhead Wardick (?), 17:58, 16/07/2009 [^] [^^] [^^^] [ответить]
| +/– |
Моск не жмет? Найдётся и в твоей сети пионер с загрузочной флэшкой ... и поставит "[д]эффективного админа" раком :) Воевать на подлодке с дырами - удовольствие еще то! Так что обновляйся - латай дыры.
| | |
| |
| 3.21, _umka_ (??), 18:37, 16/07/2009 [^] [^^] [^^^] [ответить]
| +/– |
Боюсь это уже существует. Не так давно в сети завелось 2 виндовых машинки которые пытались прикидываться dhcp сервером. причем не одной штатной службы которая бы вела себя так - не было.
| | |
| |
| 4.49, deepwalker (??), 05:51, 17/07/2009 [^] [^^] [^^^] [ответить]
| +/– |
 Используйте коммутаторы с защитой dhcp, те же кошки к примеру. И плевать будет на подставные dhcp сервера в сети.
| | |
|
|
| 2.16, klalafuda (?), 17:58, 16/07/2009 [^] [^^] [^^^] [ответить]
| +/– |
--- cut ---
While generating a subnet number from the server-supplied leased address and subnet-mask 'dhclient' copies the information into a field without verifying if the length of the information exceeds the length of the field.
Theoretically this allows a rogue DHCP server to execute arbitrary commands as root on the affected system through stack return subversion.
--- cut ---
т.е., как уже было указано выше, проблема не в сервере, проблема в клиенте. дальше уже дело техники - встроить в виря простейший эмулятор DHCP сервера ровно до стадии раздачи эксплойта. и в скором времени вся локалка, работающая под бесконечно защищённым линуксом, будет являть собою обычный ботнет.
// wbr
| | |
| |
| 3.17, klalafuda (?), 18:01, 16/07/2009 [^] [^^] [^^^] [ответить]
| +/– |
>[оверквотинг удален]
>root on the affected system through stack return subversion.
>--- cut ---
>
>т.е., как уже было указано выше, проблема не в сервере, проблема в
>клиенте. дальше уже дело техники - встроить в виря простейший эмулятор
>DHCP сервера ровно до стадии раздачи эксплойта. и в скором времени
>вся локалка, работающая под бесконечно защищённым линуксом, будет являть собою обычный
>ботнет.
>
>// wbr
ps: ну и поскольку в каждой сети нет нет да дайдётся одна машинка под виндой атаку можно начинать с неё[их]. дальше уже подминая под себя всё стадо. это к ответу на возможный вопрос 'а откуда в сети возьмётся вирь?'.
// wbr
| | |
| 3.31, User294 (ok), 21:47, 16/07/2009 [^] [^^] [^^^] [ответить]
| –1 +/– |
>DHCP сервера ровно до стадии раздачи эксплойта. и в скором времени
>вся локалка, работающая под бесконечно защищённым линуксом, будет являть собою обычный
>ботнет.
Если посмотреть на список дистров которые уже обновились - если такое и будет то только у долбо... которые на обновления забили.А т.к. линух не страдает проблемами с пираси и в апдейтах не приезжает всякая шваль начинающая рассказывать что вы пират - там апдейты обычно ставят все-таки.А у некоторых других сорцы с fortify_source собраны, опять же - небольшой сюрприз хацкерам.
| | |
| 3.38, XoRe (ok), 23:48, 16/07/2009 [^] [^^] [^^^] [ответить]
| +/– |
>[оверквотинг удален]
>root on the affected system through stack return subversion.
>--- cut ---
>
>т.е., как уже было указано выше, проблема не в сервере, проблема в
>клиенте. дальше уже дело техники - встроить в виря простейший эмулятор
>DHCP сервера ровно до стадии раздачи эксплойта. и в скором времени
>вся локалка, работающая под бесконечно защищённым линуксом, будет являть собою обычный
>ботнет.
>
>// wbr
Ну... для этого нужно представить, что никто не обновляет свой домашний линукс)
А это мало вероятно.
Ну а даже если кто-то не обновляет, петух в лоб ткнет (похакают) - включит обновление.
| | |
| |
| 4.40, klalafuda (?), 00:19, 17/07/2009 [^] [^^] [^^^] [ответить]
| +/– | |
> Ну... для этого нужно представить, что никто не обновляет свой домашний линукс) А это мало вероятно.
а мне почему то кажется, что с вероятностью >>50%. независимо от дистрибутива. стоит у меня, допустим, средней старости cent, debian или кто-то ещё. работает себе и кушать не хочет. нафига в нём что-то обновлять? 'солнце всходит? и заходит? вот и не трогай!' (с) анекдот. внезапная поломка системы после стотыщьного обновления может стоить конкретному пользователю существенно больше. тем более, что на раз плюнуть всё сломать под корень :-/
> Ну а даже если кто-то не обновляет, петух в лоб ткнет (похакают) - включит обновление.
поздно будет уже пить боржом. тем более, что, собственно, нужно ещё обнаружить, что на машину проставили руткит.
// wbr
| | |
| |
| 5.50, XoRe (ok), 10:02, 17/07/2009 [^] [^^] [^^^] [ответить]
| +/– | |
Сразу предупреждаю, что мы говорим про домашний комп с линуксом, не серверный.
> нафига в нём что-то обновлять? 'солнце всходит? и заходит? вот и не трогай!' (с)
Нафига?
Ну вот _хотя бы_ потому что (см. текст новости).
Теперь вы знаете, к чему может привести отсутствие обновлений.
Поэтому аргумент "а нафига" уже не работает.
| | |
| 5.53, Kaiser (ok), 14:40, 17/07/2009 [^] [^^] [^^^] [ответить]
| +/– | |
> а мне почему то кажется, что с вероятностью >>50%. независимо от дистрибутива. стоит у меня, допустим, средней старости cent, debian или кто-то ещё. работает себе и кушать не хочет. нафига в нём что-то обновлять?
Потому что есть репозитарии с обновлениями, где публикуют патчи. Можно ставить только security fix, если так боишься обновлений. Я уже несколько лет ставлю и патчи с пометкой recomended - не ломается.
Для средней старости Debian, Cent OS и т.п. так же исправно выходят патчи как и для свежих.
| | |
| 5.54, Kaiser (ok), 14:43, 17/07/2009 [^] [^^] [^^^] [ответить]
| +/– |
Если вдруг непонятно высказался по поводу репозитария с патчами в предыдущем посте. Security fix не обновляет пакет новыми функциональными возможностями, а только исправляет уязвимость. Так что при их установки ничего не ломается.
| | |
|
|
|
| 2.34, User294 (ok), 21:55, 16/07/2009 [^] [^^] [^^^] [ответить]
| +/– |
>А на кой выставлять DHCP на всенародное обозрение? Это должно быть внутри
>корпоративной сети.
И что?Воткнет кто-то из сотрудников "хакерский" DHCP и порутает окружающие его машины... не больно то приятно.Если кто на ручнике, дыра - в *клиенте*.А не в сервере.
| | |
| 2.59, поцанчик (ok), 03:14, 18/07/2009 [^] [^^] [^^^] [ответить]
| +/– |
>А на кой выставлять DHCP на всенародное обозрение? Это должно быть внутри
>корпоративной сети.
Понимаешь товарищ, в наши нелёгкие времена, опасность может подстерегать с обеих сторон.
| | |
|
| 1.12, Vcoder (?), 15:47, 16/07/2009 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Интересно, а всякие железки типа wi-fi роутеров тоже подвержены этой уязвимости?
| | |
| |
| 2.18, klalafuda (?), 18:04, 16/07/2009 [^] [^^] [^^^] [ответить]
| +/– | |
>Интересно, а всякие железки типа wi-fi роутеров тоже подвержены этой уязвимости?
ну если они выступают в роли DHCP клиента и крутят линуксу то с бОльшей вероятностью - да. впрочем, если во второе я охотно могу поверить, то первое же вызывает некоторые сомнения. бо нафига :-?
// wbr
| | |
| |
| 3.37, XoRe (ok), 23:44, 16/07/2009 [^] [^^] [^^^] [ответить]
| +/– |
>>Интересно, а всякие железки типа wi-fi роутеров тоже подвержены этой уязвимости?
>
>ну если они выступают в роли DHCP клиента и крутят линуксу то
>с бОльшей вероятностью - да. впрочем, если во второе я охотно
>могу поверить, то первое же вызывает некоторые сомнения. бо нафига :-?
>
>
>// wbr
Нафига роутеру быть dhcp клиентом на wan интерфейсе?
Потому что много кто раздает сетевые настройки по dhcp.
Купил роутер, подключил к провайдеру - сразу подцепились настройки.
А роутер раздает свой dhcp внутрь квартирной сети.
В идеале в настройки вообще не надо лезть.
Кстати dhcp клиентом выступают не только роутеры, но и всякие voip приблуды (sip клиенты), всякие сетевые факсы/принтеры/сканеры/телефоны/wifi точки и т.д.
Так что это очень неприятная уязвимость - список оборудования получается большой.
| | |
| |
| 4.41, klalafuda (?), 00:23, 17/07/2009 [^] [^^] [^^^] [ответить]
| +/– |
>Нафига роутеру быть dhcp клиентом на wan интерфейсе?
>Потому что много кто раздает сетевые настройки по dhcp.
>Купил роутер, подключил к провайдеру - сразу подцепились настройки.
>А роутер раздает свой dhcp внутрь квартирной сети.
>В идеале в настройки вообще не надо лезть.
да, с этим соглашусь. мой DI-804 действительно умеет строить себя в WAN по DHCP и, охотно верю, этот путь может быть весьма востребован в определённых окружениях.
>Кстати dhcp клиентом выступают не только роутеры, но и всякие voip приблуды
>(sip клиенты), всякие сетевые факсы/принтеры/сканеры/телефоны/wifi точки и т.д.
>Так что это очень неприятная уязвимость - список оборудования получается большой.
хорошее, кстати, замечание. линукса - это не только SOHO маршрутизаторы. это ещё и целый зоопарк прочих полезных девайсов, которые как раз с бОльшей вероятностью строятся через DHCP. корпоративный сетевой принтер как точка раздачи всякого Г по интранету - чем не вариант? :)
// wbr
| | |
| |
| 5.51, XoRe (ok), 10:05, 17/07/2009 [^] [^^] [^^^] [ответить]
| +/– |
>[оверквотинг удален]
>>Кстати dhcp клиентом выступают не только роутеры, но и всякие voip приблуды
>>(sip клиенты), всякие сетевые факсы/принтеры/сканеры/телефоны/wifi точки и т.д.
>>Так что это очень неприятная уязвимость - список оборудования получается большой.
>
>хорошее, кстати, замечание. линукса - это не только SOHO маршрутизаторы. это ещё
>и целый зоопарк прочих полезных девайсов, которые как раз с бОльшей
>вероятностью строятся через DHCP. корпоративный сетевой принтер как точка раздачи всякого
>Г по интранету - чем не вариант? :)
>
>// wbr
Если "Г" - это вирусня, то да, соглашусь.
Поэтому новость очень неприятная.
Всяким "хакерам" за такое очень хорошо руки отрубать по самую шею.
Если "Г" - это полезные ресурсы, то это не так удивительно.
Тут на опеннете у одного умельца контроллер домена был на смартфоне)
А фигли там, самбу поднять и доменную авторизацию прикрутить.
| | |
|
|
|
| 2.19, ddd (?), 18:06, 16/07/2009 [^] [^^] [^^^] [ответить]
| +/– |
Да, конечно!
И даже вирусы специально под вашу модель роутера уже написаны. Список команд процессора, который установлен в вашем роутере и версия firmware определяется по ping-у. Бойтесь!!!
| | |
| |
| 3.32, User294 (ok), 21:53, 16/07/2009 [^] [^^] [^^^] [ответить]
| +/– |
>Да, конечно!
>И даже вирусы специально под вашу модель роутера уже написаны. Список команд
>процессора, который установлен в вашем роутере и версия firmware определяется по
>ping-у. Бойтесь!!!
Ну вообще был ботнетец на soho-роутерах.Проц там у почти всех - MIPS :).А версия фирмвари не очень требовалась.Правда вот проникала троянщина крайне незачетно и беспонтово - не за счет красивого хака или там хитрого фокуса.А за счет административного долбо%^ства производителей роутеров зачем-то вывешивающих интерфейсы управления не только в LAN но и WAN, не требующих сменить пароль, ну и юзеров, не меняющих пароль.Штука лезла на роутер по дефолтному паролю и закачивала себя в ram-диск wget'ом.Уныло как-то, даже не хак а использование того что одни тупицы делают железки для других тупиц.
| | |
| 3.36, XoRe (ok), 23:42, 16/07/2009 [^] [^^] [^^^] [ответить]
| +/– |
>Да, конечно!
>И даже вирусы специально под вашу модель роутера уже написаны. Список команд
>процессора, который установлен в вашем роутере и версия firmware определяется по
>ping-у. Бойтесь!!!
Если вы возьмете firmware к вашему роутеру и умудритесь его открыть, как архив или образ, то найдете там /usr, /etc /var и т.д. )
P.S.
Делать производителям нечего, кроме как тратить ресурсы на создание чего-то нового.
Взяли линукс, запихнули pptp/dhcp, настроили и вперед
Причем очень часто настраивают абы как.
И рутовый пароль оставляют что-нибудь типа root123.
| | |
|
|
| 1.30, bircoph (?), 21:46, 16/07/2009 [ответить] [﹢﹢﹢] [ · · · ]
| +/– | |
В gentoo тоже по умолчанию используется FORTIFY_SOURCE, выдержка из man gcc в gentoo:
NOTE: In Gentoo, -D_FORTIFY_SOURCE=2 is set by default, and is activated when -O is set to 2 or higher.
| | |
| |
| 2.42, klalafuda (?), 00:25, 17/07/2009 [^] [^^] [^^^] [ответить]
| +/– |
>В gentoo тоже по умолчанию используется FORTIFY_SOURCE, выдержка из man gcc в
>gentoo:
>
>NOTE: In Gentoo, -D_FORTIFY_SOURCE=2 is set by default, and is activated when
>-O is set to 2 or higher.
а теперь давайте по пальцам посчитаем счастливчиков, которые используют генту. хорошо, пусть даже по пальцам двух рук.
// wbr
| | |
| |
| 3.48, F.Y. (?), 04:33, 17/07/2009 [^] [^^] [^^^] [ответить]
| +/– |
>а теперь давайте по пальцам посчитаем счастливчиков, которые используют генту.
>// wbr
Я узнал что что то не так с Dhcp-client по тому что в RH и Debian Lenny приползли апдейты. А на форумах началось только на следующий день :)
Кстати wbr - ты уже узнал твой виндовс тоже подвержен или нет?
| | |
| 3.52, XoRe (ok), 10:07, 17/07/2009 [^] [^^] [^^^] [ответить]
| +/– |
>>В gentoo тоже по умолчанию используется FORTIFY_SOURCE, выдержка из man gcc в
>>gentoo:
>>
>>NOTE: In Gentoo, -D_FORTIFY_SOURCE=2 is set by default, and is activated when
>>-O is set to 2 or higher.
>
>а теперь давайте по пальцам посчитаем счастливчиков, которые используют генту. хорошо, пусть
>даже по пальцам двух рук.
>
>// wbr
Если смотреть на домашнее использование, то рук вам понадобится в сто раз больше.
Если про серверный сегмент, то в десятки тысяч.
Имхо, Gentoo - оптимальный вариант, если нужно выжать из машины все, на что она способна.
| | |
| |
| 4.56, Michael Shigorin (ok), 18:01, 17/07/2009 [^] [^^] [^^^] [ответить]
| +/– |
 >Имхо, Gentoo - оптимальный вариант, если нужно выжать из машины
...и хозяина...
>все, на что она способна.
...причём опять-таки "она", а не "хозяин".
PS: easy :)
PPS: а где FORTIFY_SOURCE ещё не пользуются-то?
| | |
|
|
|
|
