Так в какой версии Bash прикрыли дыру? Если я правильно понимаю, то в версии bash_4.3-9.2?
LinuxForum.Fans
Так в какой версии Bash прикрыли дыру?
Автор: CoolAller
26 сообщений
899 просмотров
CoolAller, можно скриптом проверить уязвима ли твоя версия
https://github.com/hannob/bashcheck/blob/master/bashcheck
xxblx, спасибо! Проверил скриптом:
Vulnerable to CVE-2014-7186 (redir_stack bug)
А еще похоже имеется баг в новой версии bash: ./bashcheck: line 18: 6021 Segmentation fault ...
Сейчас появилась информация, что еще две уязвимости CVE-2014-6277 и CVE-2014-6278 обнаружил сотрудник Google и учитывая, что для разбора кода функций в bash применяется большой универсальный пласт кода, который потенциально может предоставлять множество различных векторов для атак, так как данный код написан без оглядки на обработку данных, поступающих извне, неизвестно сколько ещё уязвимостей содержится в bash'е. Так что как я понял тестить бесполезно даже когда указанные уязвимости будут устранены. Ясно одно, Линух никогда не был более безопасным чем прочие OS.
CoolAller, все не так плохо как кажется. В закрытой ОС уязвимость бы может еще три десятка лет висела, а тут вон все разом бросились закрывать найденное, искать подобное и его тоже чинить-закрывать =)
Ошибки есть в любом коде. И 100% неуязвимых и безопасных систем не существует, уязвимости находили, находят и будут находить. Просто не надо поддаваться всеобщей панике.
xxblx, да это не паника, просто при помощи этой уязвимости, например, можно было даже на сервере репозиторий выполнить код вносящий изменения в какие-то еще пакеты и понеслось. Лично я сомневаюсь, что подобные "ошибки" это результат оплошности, коей впрочем и без того хватает. Да и потом теперь как минимум весь Bash нужно перелопачивать, а я очень сомневаюсь, что кто-то будет это делать, тупо закроют известные дыры и на этом все кончится.
Еще очень удручает тот факт, что большинство кода очень низкого качества, если взять даже какую-то отдельную программу, то сам автор написав ее ничего не гарантирует, он ничего никому не должен и если что, разгребайте сами господа хорошие. Такой подход не может обеспечивать качество софта и безопасность самой OS. При этом автор кода даже не удосуживается дать какие-либо пояснения или рекомендации по его улучшению, например: " -- здесь я не знал как сделать правильно, требуется помощь по доработке или вот это можно переделать" и т.д... В Linux системах до сих пор нет стандартизированных API, поэтому все кто в лес, кто по дрова. А потом еще и пытаются все это как-то склеить и заставить работать совместно. Почему до сих пор многие пишут код вручную, при этом делая его потенциально опасным, так как в большинстве случаев именно человек причина серьезных багов. При этом при написании большинства софта можно спокойно обходится GC. Может все таки стоит чему-то поучится у Microsoft и взглянуть на .NET? Так нет же они продолжают упорото писать код как попало, чтобы потом наткнуться на очередной ShellShock.
Если говорить про linux на десктопе, то качество gui просто ниже всяческой критики. ИМХО, но оно просто ужасно. Если отбросить всяческий фанатизм и посмотреть на проблему трезво, кто-нибудь может назвать хоть одно DE без косяков, которые бы не бросались в глаза при каждодневном использовании? Думаю наврядли. А сколько багов и глюков с удивительной периодичностью кочует из релиза в релиз в каждом из DE, при том, что имеются многочисленные багрепорты описывающие проблемы. Так нет же, разработчикам плевать на них, они лучше еще глюков наделают в новых свистопределках абсолютно ненужных для подавляющего большинтсва пользователей. Или наоборот сломают даже то, что до них работало нормально. И все это потому, что никто не стремится к качеству, так как никаких гарантий и никто ничего никому не должен. В некоторых дистрибутивах годами живут костыли подобные перезапуску сервиса при его регулярных падениях, причем исправлять никто и не собирается, дескать ну и что, что падает, он же после падения перезапускается и на какое-то время снова поднимается перед тем, как он ляжет в очередной раз...
Сам ShellShock уже больше недели ходит в широких кругах и на его основе уже строят ботнеты, а разработчики того же Debian, который между прочим ориентирован на корпоративное использование, даже не удосужились прикрыть известные дыры, не говоря уж о том, что новые дыры нашел человек из google. Если говорить о закрытой OS, то во-первых, для нее и эксплоиты разрабатывать сложнее, а во-вторых злоумышленнику сложнее искать дыры благодаря тому, что код закрыт. И потом, закрытый код всегда хорошо документирован, над его разработкой трудится одна и та же команда или человек с четким регламентом полной преемственности сделанного и если что будет проще отреагировать на найденный баг. Если говорить о бекдорах, оставленных в каждом дистрибутиве, то здесь процент риска примерно одинаковый, так как никто не дает никаких гарантий, особенно там, где код кусочно-обрывочный, да еще и от разных разработчиков. Авторитет надежности линукса после Heartbleed и ShellShock пожалуй настолько подорван, что даже федеральные программы пересмотрят свое решение перехода на Open Source, а это далеко не на пользу и без того не особо популярной OS.
Почему до сих пор многие пишут код вручную, при этом делая его потенциально опасным [...] Может все таки стоит чему-то поучится у Microsoft и взглянуть на .NET?
Он научился писать код за программистов?
Если говорить о закрытой OS, то во-первых, для нее и эксплоиты разрабатывать сложнее, а во-вторых злоумышленнику сложнее искать дыры благодаря тому, что код закрыт.
И потом, закрытый код всегда хорошо документирован
:)
Авторитет надежности линукса после Heartbleed и ShellShock пожалуй настолько подорван
OpenSSL и bash.
Обе проблемы затронули не только линукс.
Еще очень удручает тот факт, что большинство кода очень низкого качества
Пруф? Что-то если посмотреть результаты аудитов крупных открытых проектов (например, chromium, truecrypt и т.д.), вывод напрашивается прямо противоположный.
Если говорить про linux на десктопе, то качество gui просто ниже всяческой критики.
Ну как, в 2014-то хотя бы научился файловый менеджер Windows вкладкам в одном окне? :) А кнопку "Свернуть все окна" уже можно перенести в произвольное место? А в GNU/Linux можно.
Я не знаю что у вас за проблемы, но у меня и тысяч других пользователей все работает. Люди и без предварительной подготовки переход на GNU/Linux и свободно пользуются граф. окружениями местными.
Может все таки стоит чему-то поучится у Microsoft и взглянуть на .NET?
И чего же разработчики даже крупных коммерческих проектов (например, Sony Computer Entertainment) выбирают свободный Mono, а не .Net?
Debian, который между прочим ориентирован на корпоративное использование
Это где такое написано?
На корпоративное использование ориентированы дистрибутивы, где есть подписки и техподдержка (вы им платите и голова у вас не болит), RHEL или SUSE, например.
Debian же скорее универсален, хоть и широко распространен в т.ч. на серверах из-за длительного цикла поддержки релиза и использования стабильных версий.
над его разработкой трудится одна и та же команда или человек с четким регламентом полной преемственности сделанного и если что будет проще отреагировать на найденный баг
Ага, прям одна команда закрытого проекта способна сделать больше, чем Google, Samsung, Intel, IBM и т.д. вместе взятые.
Это даже не смешно.
Если говорить о закрытой OS, то во-первых, для нее и эксплоиты разрабатывать сложнее, а во-вторых злоумышленнику сложнее искать дыры благодаря тому, что код закрыт.
Ну прям это останавливало хакеров от взломов Windows Server. Глупость. Для закрытых систем эксплойтов также хватает.
А если говорить о закрытой ОС, как коммерческом продукте, то фиг разработчики - правообладатели еще и огласке придадут уязвимость, ведь это негативно скажется на продажах. В СПО, в этом плане, более честно, нашли - всех предупредили. Те, кто на подписках - не парятся, за них тех поддержка сделает, кто сам по себе - обновит вручную.
настолько подорван, что даже федеральные программы пересмотрят свое решение перехода на Open Source, а это далеко не на пользу и без того не особо популярной OS.
Пускай. Этих федеральных программ и громких заявлений по нац платформе уже столько было, что всерьез воспринимать все равно нельзя.
В любом случае, мораль-то простая, не нравится - не пользуйтесь. Если вы хотите предложить здесь закрытое ПО как какое-то решение, ты вы ошиблись тематикой форума.
И да, вы по ссылочке сходите и внимательно изучите список участников Linux Foundation: http://www.linuxfoundation.org/about/members
HP, Intel, Oracle, Samsung, Fujitsu, IBM, Toyota, Google и десятки других крупный компаний с мировым именем не просто так свободное ПО поддерживают, в т.ч. Linux, Xen, Tizen и т.д. (и это только в контексте Linux Foundation, раз уж я на нее сослался, а эти же и другие компании и тысячи других свободных проектов поддерживают).
Даже у Microsoft есть открытые проекты http://www.microsoft.com/en-us/openness/default.aspx#opensource
з.ы. чую срежут посты в холиварню :D
Вот поналетели-то, я валяюсь, как всегда вместо того чтобы найти рациональное зерно, лучше все отрицать)
Показать
Он научился писать код за программистов?
OK, видимо нужно было более подробно расписать. Но думаю смысл и так понятен, руки конечно он не выправит, но вполне способен снизить количество ошибок, если вообще не свести их к нулю.
OpenSSL и bash.
Обе проблемы затронули не только линукс.
Согласен, но я с этим и не спорил, только посмотрим кто более оперативно решит данную проблему.
результаты аудитов крупных открытых проектов (например, chromium, truecrypt и т.д.)
Не chromium и truecrypt 'ом единым, нужен пруф? Исходный код очень многого написанного на питоне, из-за своей корявости еле-еле пережевывается при запуске и тормозит там, где тормозов вообще быть не должно.
И чего же разработчики даже крупных коммерческих проектов (например, Sony Computer Entertainment) выбирают свободный Mono, а не .Net?
Я не имел ввиду именно .NET, я имел ввиду стандартизацию для написания приложений. Хотя если брать именно его, то в данном случае мы имеем и Microsoft CLR Debugger и Runtime Debugger, обеспечивающий отладочные службы командной строки с помощью стандартной среды выполнения Debug API и визуальный интерфейс для отладки.
Для закрытых систем эксплойтов также хватает.
Вспомните сопоставимую по эпичности дыру в безопасности Windows и сколько лет назад это было?
И да, вы по ссылочке сходите и внимательно изучите список участников Linux Foundation
Помнится некоторых участников Linux Foundation крыл матом сам Торвальдс *ROFL*
Debian же скорее универсален, хоть и широко распространен в т.ч. на серверах
Последний инцидент был последней каплей для ряда компаний, уже сейчас активно обсуждают замену.
PS. Я не против Open Source и Linux в частности, мне не нравится бардак во всех его проявлениях.
Исходный код очень многого написанного на питоне, из-за своей корявости еле-еле пережевывается при запуске и тормозит там, где тормозов вообще быть не должно.
Ну так, для любой платформы и на любом ЯП можно писать "говнокод". Понятно, что можно найти 100500 "швабодных хеллоу ворлдов" в лучшиях традициях "быдлокода". Но разговор-то про крупные свободные проекты, меня-то именно в них интересовал конкретный пример плохого кода.
А если все грести, ну так и под винду написано говнокода не меньше, а даже больше (чем платформа популярней, тем больше любого кода под нее написано, в т.ч. плохого).
Помнится некоторых участников Linux Foundation крыл матом сам Торвальдс
Уже скоро станет проще вспомнить кого он не крыл матом :D
На самом деле, во всем свои плюсы, и в данном вопросе они тоже есть. GNU/Linux не дает гарантий просто сам по себе, он дает возможность. Важно это понимать.
К сожалению (вы не подумайте, это я не в ваш адрес), есть Васи, который свято верят, что сменив Windows Server 2003 на Ubuntu оградили себя от любых бед. Ну и, пожалуй, плюс поднятой паники в том, что хотя бы до избранных единиц из толпы этих Вась дойдет, что GNU/Linux - это не супер щит и не "как винда но без вирусаф", это операционная система, которая дает возможность только при грамотном использовании.
И к еще большему сожалению (опять же, это я не в ваш адрес, не подумайте), маркетологи из компаний-разработчиков закрытых решений сейчас будут принимать резкие и агрессивные меры, чтобы подлить еще масла в огонь и создать максимально возможный уровень обеспокоенности и паники в сообществе. Думаю цели, ими преследуемые, можно не объяснять :)
Уже скоро станет проще вспомнить кого он не крыл матом ag
Этопять!
Ладно заканчиваем оффтоп.
Этопять!
Не, ну а чего. У него характер такой. Регулярно случаются же какие-то ситуации, когда он кого-нибудь и за что-нибудь отчитывает. Ладно бы это один-два раза было.
Ладно заканчиваем оффтоп.
Ок.
у вас LFS что-ли?Так в какой версии Bash прикрыли дыру? Если я правильно понимаю, то в версии bash_4.3-9.2?
Или свой дистрибутив?
Патрик пишет:
patches/packages/bash-4.2.050-i486-1_slack14.1.txz: Upgraded.
Another bash update. Here's some information included with the patch:
"This patch changes the encoding bash uses for exported functions to avoid
clashes with shell variables and to avoid depending only on an environment
variable's contents to determine whether or not to interpret it as a shell
function."
откуда у вас запуск на сервере bash-скриптов в окружении злоумышленника? О какой "безопасности" вы говорите вообще? На Руси говорят: "слышал звон, да не знает, где он".Такой подход не может обеспечивать качество софта и безопасность самой OS.
при чём тут gui? Какое отношение имеет к нему уязвимость в bash? Что за бред?Если говорить про linux на десктопе, то качество gui просто ниже всяческой критики.
И да, качество маздайных гуёв тоже не лучше. Знаем, плавали.
есть. Glibc называется. Третий раздел man pages.В Linux системах до сих пор нет стандартизированных API
да? В Slackware Linux всё давно закрыто.разработчики того же Debian, который между прочим ориентирован на корпоративное использование, даже не удосужились прикрыть известные дыры
Вы уверены?
тем не менее, эксплоиты имеются, и закрывать дыры никто не собирается.Если говорить о закрытой OS, то во-первых, для нее и эксплоиты разрабатывать сложнее, а во-вторых злоумышленнику сложнее искать дыры благодаря тому, что код закрыт
в среде таких как вы диванных теоретиков?Авторитет надежности линукса после Heartbleed и ShellShock пожалуй настолько подорван
только посмотрим кто более оперативно решит данную проблему.
Date: Mon, 29 Sep 2014 12:33:36 -0700 (PDT)
From: Slackware Security Team <security@slackware.com>
To: slackware-security@slackware.com
Subject: [slackware-security] bash (SSA:2014-272-01)
User-Agent: Alpine 2.02 (LNX 1266 2009-07-14)
можно подумать, что этот ваш C# тормозит меньше.Исходный код очень многого написанного на питоне, из-за своей корявости еле-еле пережевывается при запуске и тормозит там, где тормозов вообще быть не должно.
интересно, что подумал Билл Гейтс, когда у него венда зависла на презентации? Чью маму он вспомнил, и в каком контексте(позе)?Помнится некоторых участников Linux Foundation крыл матом сам Торвальдс
ИЧСХ, ошибки в маздае так и остались не исправлены.
Glibc называется.
Не смешите. Вы путаете мягкое с теплым.
среде диванных теоретиков
В среде специалистов по безопасности.
качество маздайных гуёв тоже не лучше.
Отнюдь, в них вообще нет такого чтобы не работал какой-то элемент интерфейса.
drBatty, зачем коментировать то, чего вы не понимаете/не хотите понимать? Не все написанное здесь, в т.ч. и мной относиться к bash. Да и если говорить о уязвимостях, то кстати одним bash они не ограничатся в apt тоже найдены множественные уязвимости, одна из которых выполнение произвольного кода через man-in-the-middle. И да, C# тормозит меньше, чем криво написанное на питоне.
откуда я знаю, про что вы? Что по вашему "API, которого нет в Linux"?Не смешите. Вы путаете мягкое с теплым.
Отнюдь, в них вообще нет такого чтобы не работал какой-то элемент интерфейса.
УМВР. А вот в маздае всё через сами знаете что.
зачем коментировать то, чего вы не понимаете?
потому и комментирую, потому что не понимаю, как можно так цепляться за этот ваш унылый маздай?
о да. А в божественной венде уязвимостей нет?Не все написанное здесь, в т.ч. и мной относиться к bash. Да и если говорить о уязвимостях, то они и в apt нашлись.
И да, C# тормозит меньше, чем криво написанное на питоне.
типичная демагогия. Или кривонаписанное на C# тормозит меньше? Или на божественном C# нельзя писать криво, только на питоне? Мне это непонятно. AFAIK криво писать можно на любом ЯП. И сравнивать кривой код не имеет смысла. А на питоне можно и нормально писать, никто не запрещает. К тому же, в отличие от ваших любимых маздайных язычков, для открытого питона есть открытая документация. А не только "сишарп для чайников за 3 дня".
Это касается не только ЯП, но и API, документация к которому имеется в составе man pages, в любом дистрибутиве. Т.е. в отличие от маздая, в Linux я могу набрать man fopen, и прочитать про функцию fopen. А как узнать подробности функционирования аналогичной функции в WinAPI? Жду ответ с нетерпением.
А то раньше мне приходилось покупать VisualStudio с MSDN. Сейчас это всё идёт в комплекте, да?
кривонаписанное на C# тормозит меньше?
Из-за своей специфики кривонаписанного на C# будет вообще меньше.
потому что не понимаю, как можно так цепляться за этот ваш унылый маздай?
Да никто за него не цепляется, но нужно отдать должное его создателям в плане пользовательской среды и user friendly интерфейсов, в т.ч. и инструментария для программистов. Бестолку общаться с человеком, который называет все отличное от линукса маздаем, только оффтоп разводить. Попробуйте программить сначала скажем на С, а потом перейдите на C# , разница как говорится будет на лицо. На сем пожалуй и закончим.
только посмотрим кто более оперативно решит данную проблему.
Смотрите на здоровье:
http://www.dailydot.com/technology/apple-icloud-brute-force-attack-march/
Про bash аналогично, поначалу наличие уязвимости они отрицали.
Vitri, это в стиле Apple, у нее всегда одна и та же реакция, чтобы там не случилось - все отрицать)) Это же кстати касается практически любой тех поддержки, кроме google и microsoft, эти всегда рады новым дыркам) А Apple вообще позорники, включили в дистрибутив свободный интерпретатор без предварительного аудита, хотя учитывая их связи с АНБ, возможно именно отсюда ноги растут.
PS. Тем не менее в Bash 4.3-9.2 дыра CVE-2014-7186 таки все еще присутствует. Не ясно одно, нафига кормить всех патчами, если можно пересобрать Bash включив в него исправления. Наверно ждут когда аудит безопасности за них кто-то другой проведет, а их только носом ткнут. Сейчас Cisco и Oracle активно взялись за аудит, похоже у кого больше бомбануло, те и будут активно разбираться в проблеме, а остальные похоже их ждут.
Из-за своей специфики кривонаписанного на C# будет вообще меньше.
бред. Вот вам, жрите: http://govnokod.ru/csharp
не захлебнитесь только.
не нужно передёргивать, маздаем я называю исключительно виндовз.Да никто за него не цепляется, но нужно отдать должное его создателям в плане пользовательской среды и user friendly интерфейсов, в т.ч. и инструментария для программистов. Бестолку общаться с человеком, который называет все отличное от линукса маздаем,
я пробовал и пробую.Попробуйте программить сначала скажем на С
а потом перейдите на C# , разница как говорится будет на лицо. На сем пожалуй и закончим.
согласен. ansi C вы не осилили, а вот на C# может писать даже обезьяна. О чём с вами спорить-то?
Войдите или зарегистрируйтесь, чтобы ответить.
