http://www.mikropc.net/kaikki_uutiset/article489550.ece
Erittäin vaarallinen linux-aukko paikattiin hiljaisuudessa
Linux-käyttöjärjestelmän ytimestä on löytynyt ainakin kuusi vuotta vanha, erittäin vaarallinen haavoittuvuus, joka on paikattu kaikessa hiljaisuudessa. Asiasta kertoi ensimmäisenä verkkojulkaisu Softpedia.
Hyökkääjä pystyi aukkoa hyödyntämällä suorittamaan koodia graafisen käyttöliittymän kautta mistä tahansa sovelluksesta käsin. Haavoittuvuus ei kuitenkaan liittynyt suoraan itse graafista ympäristöä pyörittävään x-palvelimeen vaan linuxin ytimeen.
Käytännössä esimerkiksi tarkoitusta varten räätälöidyllä haitallisella pdf-tiedostolla on voinut ohittaa käyttöjärjestelmän kaikki suojaukset, vaikka pdf-lukijaa olisikin ajettu muusta käyttöympäristöstä eristetyssä niin sanottussa hiekkalaatikkotilassa (Wikipedia).
Ytimen haavoittuvuus on siis vakava, sillä hiekkalaatikkotilan tarkoituksena on nimenomaan estää sovelluksen pääseminen käsiksi varsinaiseen käyttöjärjestelmään ja laitteistoon. Haavoittuvuuden avulla hiekkalaatikossakin ajettu sovellus pystyi saamaan koko tietokoneen pääkäyttäjän (root) käyttöoikeudet eli tekemään käytännössä mitä tahansa.
Paikkaus jo kuusi vuotta sitten – korjausta ei otettu käyttöön
Mielenkiintoiseksi nyt havaitun turva-aukon tekee se, että haavoittuvuus havaittiin ensimmäisen kerran jo kuusi vuotta sitten. Suse-jakeluversion tietoturva-asiantuntija Marcus Meissner kertoo tietoturvasivusto H-Onlinelle, että korjaus aukkoon oli saatavilla jo syyskuussa 2004 – mutta paikkaus ei päätynyt koskaan linux-ytimeen. Paikkaus otettiin käyttöön ainoastaan Suse-jakeluversiossa.
Käytännössä kaikki muut paitsi Suse-pohjaiset linuxit ovat haavoittuvia. Useimmille jakeluversioille kuten Red Hatille ei ole saatavilla paikattua ydintä, mutta ylläpito voi tarvittaessa asentaa manuaalisesti haavoittuvuuden korjaavan päivityksen (patch).
Haavoittuvuuden löysi puolalaisen tutkimusyhtiö Invisible Things Labin tutkija Rafal Wojtczuk. Vika koskee sekä 32- että 64-bittisiä alustoja.
Linus Torvalds toteutti alustavan korjauksen ongelmaan viime viikolla. Tämän jälkeen on paikattu linuxin ytimen versiot 2.6.27.52, 2.6.32.19, 2.6.34.4 ja 2.6.35.2.
Linux-jakelija Red Hat on luokitellut haavoittuvuuden vakavuustason korkeaksi.
Erittäin vaarallinen linux-aukko paikattiin hiljaisuudessa
Linux-käyttöjärjestelmän ytimestä on löytynyt ainakin kuusi vuotta vanha, erittäin vaarallinen haavoittuvuus, joka on paikattu kaikessa hiljaisuudessa. Asiasta kertoi ensimmäisenä verkkojulkaisu Softpedia.
Hyökkääjä pystyi aukkoa hyödyntämällä suorittamaan koodia graafisen käyttöliittymän kautta mistä tahansa sovelluksesta käsin. Haavoittuvuus ei kuitenkaan liittynyt suoraan itse graafista ympäristöä pyörittävään x-palvelimeen vaan linuxin ytimeen.
Käytännössä esimerkiksi tarkoitusta varten räätälöidyllä haitallisella pdf-tiedostolla on voinut ohittaa käyttöjärjestelmän kaikki suojaukset, vaikka pdf-lukijaa olisikin ajettu muusta käyttöympäristöstä eristetyssä niin sanottussa hiekkalaatikkotilassa (Wikipedia).
Ytimen haavoittuvuus on siis vakava, sillä hiekkalaatikkotilan tarkoituksena on nimenomaan estää sovelluksen pääseminen käsiksi varsinaiseen käyttöjärjestelmään ja laitteistoon. Haavoittuvuuden avulla hiekkalaatikossakin ajettu sovellus pystyi saamaan koko tietokoneen pääkäyttäjän (root) käyttöoikeudet eli tekemään käytännössä mitä tahansa.
Paikkaus jo kuusi vuotta sitten – korjausta ei otettu käyttöön
Mielenkiintoiseksi nyt havaitun turva-aukon tekee se, että haavoittuvuus havaittiin ensimmäisen kerran jo kuusi vuotta sitten. Suse-jakeluversion tietoturva-asiantuntija Marcus Meissner kertoo tietoturvasivusto H-Onlinelle, että korjaus aukkoon oli saatavilla jo syyskuussa 2004 – mutta paikkaus ei päätynyt koskaan linux-ytimeen. Paikkaus otettiin käyttöön ainoastaan Suse-jakeluversiossa.
Käytännössä kaikki muut paitsi Suse-pohjaiset linuxit ovat haavoittuvia. Useimmille jakeluversioille kuten Red Hatille ei ole saatavilla paikattua ydintä, mutta ylläpito voi tarvittaessa asentaa manuaalisesti haavoittuvuuden korjaavan päivityksen (patch).
Haavoittuvuuden löysi puolalaisen tutkimusyhtiö Invisible Things Labin tutkija Rafal Wojtczuk. Vika koskee sekä 32- että 64-bittisiä alustoja.
Linus Torvalds toteutti alustavan korjauksen ongelmaan viime viikolla. Tämän jälkeen on paikattu linuxin ytimen versiot 2.6.27.52, 2.6.32.19, 2.6.34.4 ja 2.6.35.2.
Linux-jakelija Red Hat on luokitellut haavoittuvuuden vakavuustason korkeaksi.
Vastaukset 21
Vanhimmat
Windows-käyttäjän elämä on jännittävää:
"Windowsissa jättimäinen turvaongelma - aukko sadoissa ohjelmissa
Microsoftin Windows-käyttöjärjestelmistä löytynyt tietoturva-aukko on vakavampi kuin aiemmin luultiin. Vielä paikkaamaton haavoittuvuus koskee jopa satoja ohjelmia.
”Lähes jokaisessa Windows-ohjelmassa on tämä haavoittuvuus,” sanoo slovenialaisen tietoturvayhtiö Acros Securityn johtaja Mitja Kolsek uutispalvelu IDG:lle.
Kaksi päivää sitten julkistetun tietoturvaongelman arvioitiin aluksi koskettavan noin neljääkymmentä Windows-ohjelmaa. Aukosta kertoi yhdysvaltalainen tietoturvatutkija HD Moore. Hän ei kuitenkaan nimennyt ohjelmia.
Kolsek kertoo tietoturvayhtiönsä kartoittaneen haavoittuvuutta jo useita kuukausia. Acros on tähän mennessä löytänyt yli 500 bugia reilusta kahdestasadasta haavoittuvasta ohjelmasta. Yhtiö on kertonut löydöksistään myös Microsoftille.
”Tutkimme yli 220 ohjelmaa sadalta johtavalta valmistajalta, ja miltei jokaisesta löytyi haavoittuvuus,” Kolsek sanoo.
Hänen mukaansa Windowsin ohjelmia koskeva ongelma on tavassa, miten ne lataavat ja käyttävät koodikirjastoja eli tiedostoja .dll-päätteillä.
Pelkkä yksittäinen korjaus ei vielä poista ongelmaa, joka on Windowsin tavassa toimia. Jos Microsoft muuttaa tätä tapaa, myös monien ohjelmien toiminta rikkoutuu, uskoo Kolsek.
”Olen melko varma, että Microsoft kehittää ratkaisun, joka toimii kohtalaisesti suurimmalla osalla. Mutta se ei kuitenkaan poista täysin ongelmaa,” hän arvioi."
7 vinkkiä Windows 7:n tietoturvaan
Tietoturva oli avainasemassa Microsoftin kehittäessä Windows Vistaa. Windows 7 parantaa tietoturvaa jonkin verran. Parilla vinkillä järjestelmästä saa luotettavamman.
Alkujaankin täytyy muistaa, että oletusasetuksilla Windows 7 on hiukan turvallisempi. Tietoturvan uhraaminen helppokäyttöisyyden alttarille on kuitenkin helppoa.
Infoworldin tietoturva-asiantuntija Roger Grimes listasi yhteensä seitsemän vinkkiä , joilla Seiskan saa turvallisemmaksi.
1.Käytä BitLockeria
BitLocker-salaus on Windows 7:n kalliimmissa versioissa mukana tuleva tekniikka, joka kryptaa asemien sisällön ulkopuolisen kannalta sekavaksi mössöksi.
Edeltäjiinsä ja ulkopuolisiin sovelluksiin verrattuna Bitlockerin käyttäminen on helppoa. Tekniikka tukee myös Ntfs- ja FAT-tiedostojärjestelmiä.
Kotikäyttäjän kannattaa kuitenkin tallettaa salattujen asemien avaamiseen tarvittavat tiedot, jossain varmassa tallessa kaukana itse laitteesta. Vastaavasti Grimes neuvoo it-ylläpitoa varmistamaan käyttäjien Bitlocker-avaimet omaankin talteen.
2.Pidä UAC-liukuri tapissa
User Account Control eli UAC on kehittynyt Vistan ajoista huomattavasti. Lyhyesti UAC varoittaa käyttäjää, kun tämä tekee muutoksia järjestelmän asetuksiin.
Vistassa UAC ajoi käyttäjiä raivon partaalle kysymällä lähes jokaisen muutoksen perään. Windows 7:ssä UAC:n tasoa voi kuitenkin säätää itse eri tasoille.
Grimes neuvoo alkuasennuksien jälkeen nostamaan UAC:n takaisin tappiin, jolloin järjestelmä varoittaa kaikista tehdyistä muutoksista.
3.Päivitä kaikkea jatkuvasti
Oletuksena Windows 7 päivittää itsensä ja Microsoftin tuotteet järjestelmällisesti ja riittävän vikkelästi.
Muiden valmistajien tuotteita järjestelmä ei kuitenkaan edelleenkään osaa päivittää keskitetysti Linux-jakeluiden tavoin. Grimes neuvookin huolehtimaan, että nämä sovellukset saavat päivityksensä mahdollisimman nopeasti.
Erityisen tarkkana pitää olla erilaisten selainten lisäosien suhteen, koska niiden päivittäminen unohtuu helposti ja niiden hyväksikäyttömenetelmät kehittyvät kovaa vauhtia.
4.Asenna asialliset virustorjuntasovellukset
Suurin uhka päätteille ovat erilaiset troijalaiset, joita tulee väärinä päivityksinä, vale anti-virustutkina ja Britney Spearsin videoihin tarvittavina purkukoodekkeina.
Paras vastaisku näille ovat ajan tasalla olevat roskapostisuotimet ja virustutkat.
5.Käytä Internet Explorerissa SmartScreen-suodinta
Ensimmäisellä käynnistyskerralla Internet Explorer 8 kysyy haluatko käyttää SmartScreen-suodinta. Suodin tarkistaa paikallisesta tietokannasta tai Microsoftin sivuilta onko käyttämäsi verkkosivu listattuna haitalliseksi.
SmartScreen tarkkailee myös onko sivulla käytetty haitallisia menetelmiä kuten sivustojen ristiviittauksia (cross-site scripting).
6.Pidä inventaari
Käy läpi kaikki käyttämäsi sovellukset ja poista turhat. Jokainen taustalla pyörivä sovellus käyttää muistia, altistaa järjestelmää kaatumisille, vaatii päivityksiä ja toimii mahdollisena hyökkäysreittinä.
Järjestelmän voi tarkistaa esimerkiksi Microsoftilta ladattavalla, ilmaisella Autoruns-sovelluksella.
7.Tee varmuuskopiot
Viimeisenä vinkkinä Grimes kehottaa tekemään säännöllisesti varmuuskopiot erilaisten rikkoontumisten varalta. Windows 7:ssä se käy helposti järjestelmän omalla varmuuskopiointisovelluksella.
Markkinoilla on myös helppokäyttöisiä ja edullisia verkon yli toimivia varmuuskopiointipalveluita.
kukaan koskaan reaalimaailmassa osannut käyttää....
Joten jonninjoutavaa meuhkaamista.
Olisit voinut varoitella silloin kun aukko oli. Enää on turha huudella kun aukko on paikattu.
Tuohon tuli korjaus tämän käyttöjärjestelmän päivityksistä eilen aamulla. Turhaa älämölöä kun tuollaiset korjataan heti, tosin kuin vaihtoehtokäyttöjärjestelmillä joissa yhdessä on rakenteellinen vika ja korjauksesta ei ole vielä mitään hajua.
Ei sitä nyt kyllä ihan heti kyllä korjattu jos tarkkoja ollaan.. :)
aika omituista jopa tuon korjauksen hitaus...
Sehän korjattiiin heti kun tieto tuosta tuli. Se miksi oli 5v korjaamatta johtuu varmaan siitä, että oli huonosti ilmoitettu tästä ja ehkä ajateltu, että se on ns. "false alarm". Heti kun tieto levisi siitä, että virhe on niin korjaus tuli saman tien päivityksistä Ubuntussa. Nopeammin tuli kuin uutisointi asiasta.
Korjattiinko se heti vai ei heti? Nyt menee mulla tällä laskupäällä jo vähän ohitse..
Alunperin tuo korjattiin vain suseen (vai muistanko nyt väärin?) ja muilta kesti sen 5vuotta(?)..
Heti vai ei heti?
Kun olet niin tarkka siitä, että aina on oltava uusimmat päivitykset ja yhtään ei saa olla vanhoja tai ei voi mennä edes nettiin.. Niin olikos tämä nyt sitten heti vai ei heti?
Maapallon ikään verrattuna korjaus tuli nopeasti (jos ihmiskuntakin on sekunti siinä kellossa) mutta itikan ikään verrattuna kesti hiivatin kauan. Noista voit valita paremman ;D
aika on suhteellinen käsite :)
Novellilla joku oli kaiketi perehtynyt asiaan tarkemmin, että käynyt tulkitsemaan epämääräistä ilmoitusta.
Uutinen tuli myöhemmin kuin korjaus, tälläkin kertaa. Eli kyllä se heti korjattiin. Siitä ei käytännössä oltu tietoisia aikaisemmin. Toki se olisi muuten korjattu.
Minulla on varmaan vaikeuksia ymmärtää tätä lukemaani:
"Paikkaus jo kuusi vuotta sitten – korjausta ei otettu käyttöön"
Ja muuta mitä tuossa jutussa sanottiin.. Tarkentaisitko hieman :)
Siitä paikkauksesta EI TIEDETTY! Mikä tässä nyt on vaikeata ymmärtää? Jos minä löydän bugin mistä tahansa ja korjaan sen mutta tiedon pitää tästä mennä tietysti perille.
Heti kun tuosta tiedettiin, se korjattiin.
ei tiedetty, niin miksi se sitten paikattiin joistakin jo vuosia sitten? sokkona? tietämättä?
Varmaan siksi koska jollain kehittäjällä ollut riittävästi ylimääräistä aikaa käydä selvittelee epämääräistä bugiraportteja ja kysellä vaikka virheen löytäjältä yksityiskohtia ja jne.
Epämääräisesti kirjoitettu vikailmoitus, ei ole tavoitettu silloin vikailmoituksen tekijää tms. niin on sitten korjattu niitä virheitä jotka on voitu tehdä HETI ja tuo on mennyt vuosien aikana johonkin mappi ö:n kun kehittäjät voineet arvella tuon olleen väärä hälytys.
Selvästikin tieto ei ole mennyt perille, muuten se olisi tietysti korjattu välittömästi.
kehittäjät ovat "arvelleet" ja suhtautuneet epäilevästi tuollaisiin ilmoituksiin, niin mitä se kuvastaa koko hommasta?
Minulle tulee mieleen ainakin, että ei mene hyvin.
Tosin tiedonkulku jättää aina toivomisen varaa..
Palataan nyt kuitenkin siihen että korjattiinko se nyt heti vai ei heti?
"kehittäjät ovat "arvelleet" ja suhtautuneet epäilevästi tuollaisiin ilmoituksiin, niin mitä se kuvastaa koko hommasta?"
Kehittäjille tulee 1000 vikailmoitusta, niistä osa on vääriä hälytyksiä, osa puutteellisesti tehty ettei ole ollut tarvittavia tietoja virheen toistamiseksi joten keskittyvät niihin mitä voidaan korjata. Ihan normaalia toimintaa siis.
"Palataan nyt kuitenkin siihen että korjattiinko se nyt heti vai ei heti?"
Korjatiin heti kun tieto asiasta meni perille. Edelleenkin, päivityksistä tuli korjaus ennen kuin tuosta edes uutisoitiin.
:D
Teoreettisia haavoittuvuuksia varmaan linuksissakin melko paljon mutta jokainen muutos tuo tullessa taas lisää teoreettisia haavoittuvaisuuksia eikä niitä kukaan pysty kaikkia poistamaan. Näiden teoreettisten haavoittuvaisuuksien hyödyntäminen taas on niin haastavaa ja teknillisesti vaikeata, että helpommalla pääsee ihan asentamalla keyscanner tms. käyttäjän kiusaksi. Lisäksi asiassa on sekin puoli, että kaikki ilmoitukset noista haavoittuvaisuuksista pitäs ensin tarkistaa ja testata ja todeta - jotta kaikki monimutkaisemmat ja äkkiseltään jo kaukaa haetut yksinkertaisesti vaan arkistoidaan.
Tässäkin on voinut käydä niin, että asia on arkistoitu aika kaukaa haetulta kuulostavana ja otettu huomioon sitten jonkin kernelimuutoksen yhteydessä. Tuskin tuon takia mitään muutettu pelkästään.