Tiistaina löydetty kriittinen haavoittuvuus aiheuttaa linux-käyttäjille vaaran, että hyökkääjä pääsee ajamaan ohjelmakoodia heidän järjestelmässään.
Viestintäviraston Kyberturvakeskus kehottaa linux-järjestelmien omistajia päivittämään järjestelmänsä korjattuun versioon viipymättä ja kertoo osoitteet, joista päivitykset voi noutaa. Muun muassa Red Hat. Suse, Debian, Fedora ja Ubuntu ovat julkaisseet omat korjauksensa.
Ylivuotohaavoittuvuus löytyi GNU C-kirjaston (glibc) -funktiosta getaddrinfo. Haavoittuvuutta hyväksikäyttämällä voidaan muuttaa uhrina olevan järjestelmän dns-vastauksia ja suorittaa liikenteen kaappaava man in the middle -hyökkäys.
Kyberturvakeskuksen mukaan aukon mahdollistama hyökkäys on todistettu julkaistulla koodilla, joka toteuttaa kuvaillun hyökkäyksen.
Glibc-kirjastosta löytyi viime vuonna Ghost-nimen saanut haavoittuvuus. Nyt löydetty aukko on ollut kirjastossa vuodesta 2008 saakka.
Google kertoo turvallisuusblogissaan, kuinka aukon vaarallisuutta voi vähentää, vaikka paikakusta ei omaan järjestelmään olisi tarjolla. Esimerkiksi dns-resolverin hyväksymien vastausten kokoa voi rajoittaa.
Duo Securityn tutkija Mark Loveless kommentoi IDGNS-uutistoimistolle, että kirjastoa käyttävät kaikenlaiset muut kuin Windows-järjestelmät voivat olla vaarassa. Unix-järjestelmät ja Android-mobiililaitteet voivat olla vaarassa.
http://www.tivi.fi/Kaikki_uutiset/kaytatko-linuxia-asenna-tama-korjaus-heti-6304730
Viestintäviraston Kyberturvakeskus kehottaa linux-järjestelmien omistajia päivittämään järjestelmänsä korjattuun versioon viipymättä ja kertoo osoitteet, joista päivitykset voi noutaa. Muun muassa Red Hat. Suse, Debian, Fedora ja Ubuntu ovat julkaisseet omat korjauksensa.
Ylivuotohaavoittuvuus löytyi GNU C-kirjaston (glibc) -funktiosta getaddrinfo. Haavoittuvuutta hyväksikäyttämällä voidaan muuttaa uhrina olevan järjestelmän dns-vastauksia ja suorittaa liikenteen kaappaava man in the middle -hyökkäys.
Kyberturvakeskuksen mukaan aukon mahdollistama hyökkäys on todistettu julkaistulla koodilla, joka toteuttaa kuvaillun hyökkäyksen.
Glibc-kirjastosta löytyi viime vuonna Ghost-nimen saanut haavoittuvuus. Nyt löydetty aukko on ollut kirjastossa vuodesta 2008 saakka.
Google kertoo turvallisuusblogissaan, kuinka aukon vaarallisuutta voi vähentää, vaikka paikakusta ei omaan järjestelmään olisi tarjolla. Esimerkiksi dns-resolverin hyväksymien vastausten kokoa voi rajoittaa.
Duo Securityn tutkija Mark Loveless kommentoi IDGNS-uutistoimistolle, että kirjastoa käyttävät kaikenlaiset muut kuin Windows-järjestelmät voivat olla vaarassa. Unix-järjestelmät ja Android-mobiililaitteet voivat olla vaarassa.
http://www.tivi.fi/Kaikki_uutiset/kaytatko-linuxia-asenna-tama-korjaus-heti-6304730
Vastaukset 13
Vanhimmat
menkääs linuksistit nyt riekkumaan tuosta windows-palstalle!
Johan noita päivityksiä tuli maanantaina eikä vasta ensikuun toisena tiistaina.
Lieneekö tuo korjaus mukana jo Androidin helmikuun tietoturvakorjauksessa?
Mahtaako olla edes käytössä? ei ainakaan minun harrastelijaversioDebianissa ole, päivitetty on kuitenkin mutta asentamatta.
Debian? Eikös se ole joku Linux-versio? Minulla on siis käytössä Android 6.0.1 ja huolestuttaa sen vuoksi, kun Googlekin kehottaa ryhtymään toimenpiteisiin.
Eipä tuosta ole mitään haittaa ainakaan kotikäyttäjille, ellei itse ihan tarkoituksella ja työnään alkaisi etsiä ongelmia.
Mistä tietää onko haittaa vai ei tavallisessa käytössä, kun Googlenkin mukaan ongelma on olemassa? Miten voi vähentää Android-puhelimen asetuksista dns-resolverin hyväksymien vastausten kokoa?
Ongelmaa on liioiteltu, koska sellaisilla otsikoilla saadaan paljon klikkauksia.
Jos olisi oikea vaara, niin sen olisit jo huomannut vuosien aikana. Ongelma ja riski on mielestäni samanlainen, että voit loukkaantua, jos menet sylkemään moottoripyöräjengiläisiä kasvoihin, mitä et takuulla koskaan tee normaalisti.
Joo. Tulee mieleen tarina mummosta, joka kysyi tyttäreltään. " Mitä jos olisit viime vuonna osuuskaupassa käydessäsi kaatunut?"
"Ylivuotohaavoittuvuus löytyi GNU C-kirjaston (glibc) -funktiosta getaddrinfo. "
Taidat olla tyhmä? Tuo lausehan kertoi täsmällisesti sen MISSÄ vika on.
Vika on C-kielen vakiokirjastossa, eli ohjelmointikielen kirjastossa on huonosti toimiva getaddrinfo funktio.
Typerä koodari käyttää ohjelmointikielten vakiokirjastoja ihan laiskuuttaan. Hyvä koodari varmistaa vakiokirjaston funktoiden todellisen sisällön ja tarpeen.
Netissä on julkaistu listoja yleisimmistä koodausvirheistä.
Mikä KUMMA siinä on, että tyhmät koodarit eivät kehitä omaa ammattitaitoa vaan käyttävät vakiokirjastoja sokeasti ymmärtämättä niiden vaikutuksia? Vakiokirjaston vika vaikuttaa kaikissa käyttöjärjestelmissä, on aivan sama koodataanko WIndowsia tai linuxia tai muuta.
Osaava koodari kirjoittaa tarpeen vaatiessa oman funktiokoodin, ei ole PAKKO käyttää vakiokirjastoja. Vakiokirjastojen sisältö on opittava tuntemaan ja ymmärtämään.
Tätähän se osaava koodaustaito on, monet ovat vaan liian LAISKOJA ja etsivät nopeinta tietä koodin syntymiselle ajattelematta mitään.
Tämä ei ole varsinaisesti ollenkaan linuxin vika. Vika on huonossa ohjelmointikulttuurissa eli typerässä vakiokirjastojen käytössä jossa koodia tuottavat henkilöt eivät tunne eivätkä ymmärrä riittävästi käyttämäänsä ohjelmointikieltä.
Vuodesta toiseen toistetaan samoja tunnettuja virheitä. Tuo "ylivuotovirhe" on tunnettu varsin pitkään ohjelmointityössä. Tämä osaamattomuus käy kalliiksi koska vuodesta toiseen korjataan (paikataan) itse tehtyjä virheitä kun ei opetella tuntemaan riittävän hyvin ohjelmointikieltä ja sen vakiokirjastoja.
Lyhyesti: vakiokirjastoja ei ole pakko käyttää. JOS aiot käyttää vakiokirjastoa niin tutustu ENSIN sen sisältöön kunnolla ja ymmärrä se perusteellisesti. EI ole mikään PAKKO tuottaa huonoa pikaisesti kokoon kyhättyä koodia. Sinä, koodari, olet se henkilö joka tuottaa ohjelmointityön. Ymmärrä mitä teet.
Tutkailin noita linkkejä enkä saa selvää miten menetellä korjauksen saamiseksi Ubuntu 14.04 LTS 64-bit. Aamulla tuli jokin päivitys ja nyt hain viimeisimmät. Jotain tuli, mutta mikään ei mielestäni viitannut tuohon kirjastoon.
Matti aina kehuu kuinka hyvin Konnakaili hoitaa kaikki.
Debianharrastelijaviritykseen tuli korjaukset tiistaina.
Ovatko muut _saaneet_ päivityksen Ubuntu 14.04 LTS 64-bit?