[ON] Для OpenSSH реализована поддержка изоляции на этапе до начала аутентификации

[rssbot]

Для защиты от возможных ошибок в сторонних модулях аутентификации (например, удаленная root-уязвимость через OpenSSH в старых версиях FreeBSD из-за ошибки в libopie), разработчики OpenBSD реализовали новый режим изоляции "UsePrivilegeSeparation=sandbox", работающий на стадии до начала аутентификации и сброса привилегий. Пока метод работает только в OpenBSD и использует систему systrace для ограничения числа допустимых системных вызовов. В будущих выпусках OpenBSD представленная опция будет использована по умолчанию. При использовании данной защиты в случае поражения через уязвимость в OpenSSH злоумышленник не сможет организовать атаку на локальную систему (например, эксплуатировать локальную уязвимость в ядре) и другие хосты (создать сокет, запустить прокси и т.п.).


Источник: http://www.opennet.ru/opennews/art.shtml?num=31286


View the full article