Критическая локальная уязвимость в Linux ядрах

[quadrik]

вчера вечером вышло исправленное ядро

может у меня репозитарий не тот, но 2.6.24.2 не появилось... все еще 22-я версия...

дистрибутив то какой?

[Vityaz]

дистрибутив то какой?

как и у Crypter-a - ubuntu

[quadrik]

дистрибутив то какой?

как и у Crypter-a - ubuntu

22-я версия это нормально. патчи есть для любого ядра, а не только для последнего

[Nightwolf_ng]

Как ниприскорбно, но работает...

З.Ы. Тьфу-ты криворукий... Дообновлялся... Снёс конфиги венра из /boot и папку со старыми сорцами, где был конфиг... Как-нить можно найти теперь его... Комп ещё не перезагрузил...

[serzh-z]

Mati_maniak, конфиг чего? Ядра? /proc/config.gz

[Nightwolf_ng]

Ядра, ядра... С хэндбука ещё помню, что там может быть... В /прок нет такого дела... Так уж сконфигурировано видимо...

Ну ничего, теперь видимо придётся потратить пару часиков...

[serzh-z]

В /прок нет такого дела...

Может драйвер /proc/config.gz собран модулем и не загружен? "modprobe configs"

[Nightwolf_ng]

Мне почему-то кажется, что его вобще нет... CONFIG_IKCONFIG выключаю...
Тем более, что либы уже снёс...

Код: Выделить всё

# modprobe configs
FATAL: Could not load /lib/modules/2.6.23-gentoo-r5-28.12.07/modules.dep: No such file or directory

Всё... Простите за флуд, ушёл пересобирать...

[serzh-z]

Простите за флуд, ушёл пересобирать...

Понимаю, что поздно - но genkernel кидает конфиг в /etc/kernel-configs, или где-то там.

[A_1]

Я так полагаю, что это любой юзер, содержащийся в /etc/passwd
Может на сервере народ по ssh работает. Или просто прав рута не имеет.

Поиздевавшись над моей образованностью, наш сисадмин объяснил мне, кто это такой - "локальный пользователь".
Это тот, кто загрузился с локатьного терминала И имеет учетную запись в /etc/passwd, а также право войти в системную консоль по Ctrl+Alt+F1.
А это даже не все, знающие пароль рута.
Так что обсуждали и не уязвимость даже, а так, ерунду.
Корпоративная метрика по закрытию 80% таких дыр - один ГОД(!) с момента регистрации.
Тогда как для 90% локальных действительно уязвимостей - месяц всего.
А для 100% критических - сутки.
Во как.

[stampoon]

а я не стал обновлятся, просто патч в init.d кинул и усе

[Upliner]

Это тот, кто загрузился с локатьного терминала И имеет учетную запись в /etc/passwd, а также право войти в системную консоль по Ctrl+Alt+F1.
А это даже не все, знающие пароль рута.
Так что обсуждали и не уязвимость даже, а так, ерунду.

Что за бред? По ssh эксплойт работает точно также как и с локалки. Если сервак предоставляет доступ по нему для обычных(не root) пользователей, он уже в зоне риска.

а я не стал обновлятся, просто патч в init.d кинул и усе

А я просто поправил строчку в старом ядре. Проверял -- не работает. Будет время -- обновлюсь...

[serzh-z]

Это тот, кто загрузился с локатьного терминала И имеет учетную запись в /etc/passwd, а также право войти в системную консоль по Ctrl+Alt+F1.

Если это сказал админ, то его нужно гнать нафиг и поскорее... Он лишь прав насчёт "имеет учетную запись в /etc/passwd".

[KiWi]

/me снес свой предыдущий пост -- невнимателен.
Ну вот, машина вешается и отвисает после ssh timeout. %(

[A_1]

Если это сказал админ, то его нужно гнать нафиг и поскорее... Он лишь прав насчёт "имеет учетную запись в /etc/passwd".

Присылай резюме
На английском. Я перешлю его в HR.

А что, разве по ssh могут зайти только локальные пользователи?
И нет разницы, зайти с локального или удаленного терминала?
И можно выйти в системную консоль через ssh?

[Upliner]

А что, разве по ssh могут зайти только локальные пользователи?

Разве нет? А какие ещё? На те серваки, которые приходится заходить мне, могут зайти, только юзеры, хранящиеся в /etc/passwd сервака...

И нет разницы, зайти с локального или удаленного терминала?

Никакой разницы.

И можно выйти в системную консоль через ssh?

Если имеется в виду bash, то можно.

[serzh-z]

А что, разве по ssh могут зайти только локальные пользователи?
И нет разницы, зайти с локального или удаленного терминала?
И можно выйти в системную консоль через ssh?

Не понимаю - к чему весь этот бред?.. Речь идёт о пользователе, имеющим учётную запись и возможность регистрироваться на конкретном хосте, и не важно как он вошёл в систему - через виртуальный терминал, созданный getty или использовал удалённое соединение.

[A_1]

Не понимаю - к чему весь этот бред?

Если даже не понимаете, зачем давать оценки?

Или некоторые путают локального пользователя с локальным подключением?
И ни разу ничего не слышали про ldap?

Тут у некоторых эксплойт не работает даже при локальном подключении локального (имеющего учетную запись на хосте) пользователя.
А по ssh хоть кто-нибудь проверял - я не увидел таких сообщений?
Может просто с настройкой прав не всё хорошо?

[Upliner]

Тут у некоторых эксплойт не работает даже при локальном подключении локального (имеющего учетную запись на хосте) пользователя.

Это значит, что данный эксплойт просто не действует на их ядре. Не больше, не меньше.

А по ssh хоть кто-нибудь проверял - я не увидел таких сообщений?

И отсюда ты делаешь вывод, что по ssh ни в коем случае не сработает? Если тебе так интересно, сам проверяй. Я уверен, что если работает на локалке, сработает и по ssh(хотя бы из принципа его работы).

Может просто с настройкой прав не всё хорошо?

Ну в общем-то да. Как упоминалось выше, если стоят всевозможные меры защиты вроде PaX, то бояться нечего. Но вот только не все их ставят...

[wm34]

по ssh всё замечательно работает (probatum est!)

Думаю, что и по LDAP тоже

А чтобы не задавать вопросов - почему бы не взять и проверить?
Практика рулит

[quadrik]

Не понимаю - к чему весь этот бред?

Если даже не понимаете, зачем давать оценки?

Или некоторые путают локального пользователя с локальным подключением?
И ни разу ничего не слышали про ldap?

Тут у некоторых эксплойт не работает даже при локальном подключении локального (имеющего учетную запись на хосте) пользователя.
А по ssh хоть кто-нибудь проверял - я не увидел таких сообщений?
Может просто с настройкой прав не всё хорошо?

Видимо, человек совершенно не разбирается в вопросе. Зачем-то ldap сюда привязал...

Эксплойту абсолютно без разницы кто его запускает и как он попал в систему. При работе он вызывает ошибку в работе ядра и получает права суперпользователя.
Рекомендую снять лапшу вашего администартора с ушей.

[A.S.]

A_1,

Так что обсуждали и не уязвимость даже, а так, ерунду.

Внимательно, вдумчиво , прочите ссылочку в первом посте , и сопоставьте дату и время публикации уязвимости Date: Sun, 10 Feb 2008 01:33:02 UTC и дату выхода патча - 11 Feb 2008 14:58:39 +0100 (дебиан) Сколько времени прошло ????

локальный пользователь

что Вы вкладываете в это понятие - "урезанность прав" или физическое местонахождение ?
Ваш админ или большой шутник, или .....
Зы Спешл фор Ю
По ССШ на центосе 5.1 эксплоит прекрасно работал , под "локальным -(тот, который с урезанными правами) но удаленным (физически вход по ССШ осуществлен с другого компьютера)" пользователем .

[serzh-z]

А по ssh хоть кто-нибудь проверял - я не увидел таких сообщений?

Гм... Это показатель того, что он не работает по SSH? Ладно, пишу - я проверял, в первый же день - и только по SSH, ибо не было рядом другой системы, доступной физически.

Видимо, человек совершенно не разбирается в вопросе. Зачем-то ldap сюда привязал...

Не буду строго судить, но просто человек видимо - "слышал звон, да не знает где он", после чего и решил, что при использовании демоном SSH авторизации через LDAP на машине с этим самым демоном не требуется учётная запись пользователя ("локальный пользователь"). Бывает...

[A_1]

Видимо, человек совершенно не разбирается в вопросе. Зачем-то ldap сюда привязал...

Эксплойту абсолютно без разницы кто его запускает и как он попал в систему. При работе он вызывает ошибку в работе ядра и получает права суперпользователя.
Рекомендую снять лапшу вашего администартора с ушей.

Я действительно не разбираюсь, потому и спрашиваю. И админа я мог просто не понять или понять неправильно.
Во всяком случае не исключаю такой возможности.

Но, дома у меня эксплойт не отработал (тогда еще не была установлена заплатка).
И, побродив по серверам, на которых я чаще всего работаю, после cat /etc/passwd прочитал некую информацию, стало быть доступ мне не совсем закрыт.
Только вот моего логина нигде не оказалось.
Видимо все-таки эксплойту есть разница, кто и как его запускает.
Ведь не зря же уязвимость названа локальной.

[serzh-z]

Только вот моего логина нигде не оказалось.

Если мысль о LDAP возникла после этого, то поясню - логин (точнее их множество), указанный в каталоге LDAP при входе в систему отображается на какой-то реальный POSIX-логин.

[A_1]

поясню - логин (точнее их множество), указанный в каталоге LDAP при входе в систему отображается на какой-то реальный POSIX-логин.

В этом случае содержимое файла менялось бы после моего подключения.
А этого не происходит.

[Ali1]

поясню - логин (точнее их множество), указанный в каталоге LDAP при входе в систему отображается на какой-то реальный POSIX-логин.

В этом случае содержимое файла менялось бы после моего подключения.
А этого не происходит.

Какого файла?
ldap:x:55:55:LDAP User:/var/lib/ldap:/bin/false
И шела нет. Уязвимость локальная т.е должна быть запущена из оболочки.(хитрые ходы не расматриваем).

[DaemonTux]

поясню - логин (точнее их множество), указанный в каталоге LDAP при входе в систему отображается на какой-то реальный POSIX-логин.

В этом случае содержимое файла менялось бы после моего подключения.
А этого не происходит.

Какого файла?
ldap:x:55:55:LDAP User:/var/lib/ldap:/bin/false
И шела нет. Уязвимость локальная т.е должна быть запущена из оболочки.(хитрые ходы не расматриваем).

А почемубы и не расмотреть хитрые ходы? /bin/false значит что нельзя залогинется через shh или tty. Но если ломануть удаленно какойто сервис(FTP,HTTP) запущенный по правами не превилегированного пользователя и заставить его выполнить експлойт то можно получить права рута. А там уже на фантазию хакера.

[Ali1]

поясню - логин (точнее их множество), указанный в каталоге LDAP при входе в систему отображается на какой-то реальный POSIX-логин.

В этом случае содержимое файла менялось бы после моего подключения.
А этого не происходит.

Какого файла?
ldap:x:55:55:LDAP User:/var/lib/ldap:/bin/false
И шела нет. Уязвимость локальная т.е должна быть запущена из оболочки.(хитрые ходы не расматриваем).

А почемубы и не расмотреть хитрые ходы? /bin/false значит что нельзя залогинется через shh или tty. Но если ломануть удаленно какойто сервис(FTP,HTTP) запущенный по правами не превилегированного пользователя и заставить его выполнить експлойт то можно получить права рута. А там уже на фантазию хакера.

Тогда мы сочиним другую уязвимость и она будет "удаленной уязвимостью FTP,HTTP,LDAP..." .

[quadrik]

поясню - логин (точнее их множество), указанный в каталоге LDAP при входе в систему отображается на какой-то реальный POSIX-логин.

В этом случае содержимое файла менялось бы после моего подключения.
А этого не происходит.

Какого файла?
ldap:x:55:55:LDAP User:/var/lib/ldap:/bin/false
И шела нет. Уязвимость локальная т.е должна быть запущена из оболочки.(хитрые ходы не расматриваем).

А почемубы и не расмотреть хитрые ходы? /bin/false значит что нельзя залогинется через shh или tty. Но если ломануть удаленно какойто сервис(FTP,HTTP) запущенный по правами не превилегированного пользователя и заставить его выполнить експлойт то можно получить права рута. А там уже на фантазию хакера.

Тогда мы сочиним другую уязвимость и она будет "удаленной уязвимостью FTP,HTTP,LDAP..." .

взломов, использующих одну уязвимость уже почти не бывает. В основном используется комбинация удаленная+локальное повышение привелегий. "Сочинять новую уязвимость" совершенно необязательно, необходимо понимать, что сейчас любая удаленная дыра, приводящая к выполнению кода даёт атакующему рутовый доступ.
А хостингам и удаленной дыры не надо - как правило у них открыт ssh вход для клиентов.