[LC] Найдена уязвимость в Advanced Packaging Tool

[rssbot]

Программный изъян можно использовать, заставив пользователей открыть
слишком длинный url вида «apt://» в браузере,
поддерживающем этот протокол. «Использовать этот дефект удивительно легко. Просто создайте
обычную html-страницу, содержащую iframe, который в качестве источника
имеет url вида «apt://», содержащий 10000 букв», – пишут хакеры. Так как Advanced Packaging Tool (APT) является распространённой
программой для управления пакетами во многих дистрибутивах
GNU+Linux – все эти дистрибутивы подвережены этой уязвимости. В частности, Debian GNU/Linux, Ubuntu, Fedora, Red Hat Enterprise Linux и SUSE
Linux Enterprise Desktop, Alinex, BLAG Linux, CentOS, ClearOS, DeMuDi,
Feather Linux, Foresight Linux, gnuLinEx. gNewSense GNU/Linux, Kaella, Knoppix,
Linspire, Linux Mint, Musix GNU+Linux, Parsix GNU/Linux, Scientific Linux и
Ututo GNU/Linux. Успешное использование уязвимости приводит к сбою X-сессии с
ошибкой «Unexpected X error: BadAlloc (insufficient resources for operation)
serial 1779 error_code 11 request_code 53 minor_code 0)». В дополнение к этой DoS-уязвимости команда Goatse Security также
выпустила эксплойт, использующий дефект рендеринга темы в GNOME. Этот
эксплойт заставляет исчезнуть все кнопки, и оставляет пользователю
единственную возможность – завершить текущий сеанс и начать новый. Подробности здесь.

оригинал на www.linuxcenter.ru

[sash-kan]

url вида «apt://» в браузере

Debian GNU/Linux

apt://blablabla

Iceweasel doesn't know how to open this address, because the protocol (apt) isn't associated with any program.

чяднт?

[serzh-z]

чяднт?

FF использует функции DE (и её настройки, из gconf, например) для поиска обработчиков кастомных протоколов.

[watashiwa_daredeska]

чяднт?

У тебя APT неправильный, без драйвера X'ов. APT должен поддерживать X'ы, чтобы привести к сбою X-сессии. Обратись к разработчикам сплойта, они тебе выдадут правильный APT :)

[sash-kan]

чяднт?

FF использует функции DE (и её настройки, из gconf, например) для поиска обработчиков кастомных протоколов.

спасибо за справку.
меня интересовало, что же я делаю не так, если у меня из коробки debian gnu/linux не подвержен действию этой уязвимости (в опровержение написанному в тексте новости).

Обратись к разработчикам сплойта, они тебе выдадут правильный APT

небось денег захотят или эсэмэску.

[serzh-z]

меня интересовало, что же я делаю не так

Не используешь ту среду, в которой обнаружена указанная уязвимость.

[sash-kan]

Не используешь ту среду, в которой обнаружена указанная уязвимость.

точно. ubuntu я не использую.
спасибо.

[BURF]

apt://blablabla
Результатов: примерно 308 000 (0,27 сек.)

как перейти? :) omnibox не считает это адресом