Todella paha haavoittuvuus Linuxissa. Tällaista ei koskaan saisi päästä tapahtumaan ohjelmistossa.
http://www.itviikko.fi/page.php?page_id=46&news_id=20084184&rss=8
Linux vuotaa kuin seula.
http://www.itviikko.fi/page.php?page_id=46&news_id=20084184&rss=8
Linux vuotaa kuin seula.
Vastaukset 10
Vanhimmat
siinä vahemmän reikiä?
kotikäytössä olevilla koneilla tuo ei mitään vaaraa aiheuta, kun ensin pitää tietää käyttäjätunnus ja salasana että ssh:n kautta pääsee koneelle. siis jos ssh on edes auki.
sen jälkeen mun koneella pääseekin rootiksi ilman tuota koodia, kirjoittamalla sudo su.
yrityskäytössä, jossa palvelimelle on paljon rajoitettuja tunnuksia, tuo on kyllä aika kriittinen haavoittuvuus kun sillä saa todella helposti otettua rootin oikeudet.
https://bugs.gentoo.org/attachment.cgi?id=143059
ton koodin kääntämiseen ja suorittamiseen menee joitain kymmeniä sekunteja ja sillä saa rootin oikeudet.
korjauskaan ei enää auta vaan sen jälkeen palvelimilla pitää varmistaa ettei sinne ole asennettu sudoa ja lisätty sudoersiin ei-toivottuja ylläpitäjiä.
joten kyllä tosta firmoille töitä tulee!
Kieltämättä vakava virhe, mutta ei lähimainkaan niin vakava kuin reiät joita Microsoft paikkaa 7 kappaletta seuraavassa turvapäivityksessään...
http://www.tietokone.fi/uutta/uutinen.asp?news_id=32743&tyyppi=1
kun microsoftin tuotteita käyttää, tietää jo valmiiksi että ne ei ole luotettavia ja tarvitsee käyttää tietoturvaohjelmia.
mutta linuxiin luotetaan joten siinä mielessä tuo on vakava reikä.
Millä päivityksellä linux ajatteli korjata ammottavan reikänsä ?
Esimerkiksi eilen klo 16:42 julkaistulla paikkauksella?
http://www.kernel.org/pub/linux/kernel/v2.6/ChangeLog-2.6.24.2
Reikä on vakava totta, mutta kannattaa nyt kuitenkin muistaa että esimerkiksi kotikäyttäjälle tuolla reiällä ole mitään merkitystä. Tuon bugin hyväksikäyttämiseen koneelle tarvitaan tunnukset jolla pääsee kirjautumaan. Sen jälkeen on mahdollista laajentaa käyttöoikeuksiaan.
Tuo ei tietenkään ole hyvä asia vaan on vakava ongelma. Onneksi se on korjattu jo.
se kotikoneen paras suoja on se, ettei käyttäjätunnus ole tux ja salasana qwerty.
omassa järjestelmässä (ubuntu) riittää että koneelleni ssh:n kautta pääsee. se vaatii tietysti käyttäjätunnuksen ja salasanan (joka ei ole qwerty).
sen jälkeen rootin oikeudet saa ihan kirjoittamalla sudo su.
joten ei vaikuta tuo aukko mun koneeseen mitenkään.
ja ei ole muuten vielä ubuntu laittanut tuohon korjausta pakettienhallinnan kautta saataville.
mutten usko että tuohon kovin montaa tuntia enää menee.
Näiden fleimaajien kannattaisi muistaa semmoinenkin pieni lisäjuttu Linuxista, että esimerkiksi Ubuntun oletusasennuksessa ei ole ssh-palvelinta mukana. Käyttäjän pitää siis erikseen ensin asentaa ssh-palvelin, käynnistää se, sallia kirjautuminen, hukata käyttäjätunnus ja salasana, jonka jälkeen on mahdollista käyttää tuota haavoittuvuutta.
Mutta edelleen, esimerkiksi operaattoreiden palvelimissa tuo ei ole kiva juttu.
ja noiden lisäksi, jos pitää lähiverkkoaan natattuna, niin tarttee vielä adsl-modeemi/palomuuriin tehdä reikä ssh-portille.
varsinkin ubuntun käyttäjistä aika iso osa ei edes tiedä mikä ssh-palvelin on, joten tuskin on asennettukaan.