Permalänk
Medlem

GLIBC sårbar för MITM-attack

Sökte lite snabbt men hittade konstigt nog inte ett enda inlägg om denna stora säkerhetsrisk
https://googleonlinesecurity.blogspot.se/2016/02/cve-2015-754...

Permalänk
Medlem
Skrivet av Bozzeta:

Sökte lite snabbt men hittade konstigt nog inte ett enda inlägg om denna stora säkerhetsrisk
https://googleonlinesecurity.blogspot.se/2016/02/cve-2015-754...

http://dankaminsky.com/2016/02/20/skeleton/ kan också vara läsvärt.

Den korta sammanfattningen är väl iaf att många men inte alla Linux-baserade system använder glibc och i så fall så är det bara att patcha så snart som möjligt och starta om (iom att libc används av i princip allt är det inte någon större idé att försöka välja ut specifika tjänster eller liknande).

Visa signatur

Desktop: Ryzen 5800X3D || MSI X570S Edge Max Wifi || Sapphire Pulse RX 7900 XTX || Gskill Trident Z 3600 64GB || Kingston KC3000 2TB || Samsung 970 EVO Plus 2TB || Samsung 960 Pro 1TB || Fractal Torrent || Asus PG42UQ 4K OLED
Proxmox server: Ryzen 5900X || Asrock Rack X570D4I-2T || Kingston 64GB ECC || WD Red SN700 1TB || Blandning av WD Red / Seagate Ironwolf för lagring || Fractal Node 304

Permalänk
Datavetare

Detta är definitivt en väldigt allvarlig defekt, men att det inte blivit större skriverier beror nog på några saker:

  • buggen påverkar inte Android

  • om ASLR är aktiverat (vilket det i praktiken är i alla moderna Linux distros) så är det fortfarande möjligt att krascha ett system som har buggen och rent teoretiskt är det fortfarande möjligt att man lyckas köra valfri kod, men det är betydligt svårare än om ASLR inte är på och är inte säkert att man lyckas köra sin kod på önskat sätt

  • hemma-gateways pekades initialt ut som en massivt problem för denna bug då dessa sällan uppdateras av tillverkarna och där är det vanligt att ASLR inte används, visade sig att de flesta sådana enheter inte kör glibc utan ulibc som inte har buggen. Fast gissar nog ändå att hemma-gateways allt mer kommer gå över till glibc, även "enkla" system börjar bli rätt kapabla idag så ulibc behövs inte riktigt

Har man en Skylake CPU, Linux 3.19 och en distribution som använder Intels MPX teknik så är det faktiskt inte ens möjligt att använda denna bug för att ta över systemet, d.v.s. MPX gör det omöjligt medan ASLR "bara" gör det väldigt svårt. Går fortfarande att krascha programmet, men det kommer avslutas på ett "kontrollerat" sätt och peka ut att det finns en buffer-overflow bug i programmet.

Visa signatur

Care About Your Craft: Why spend your life developing software unless you care about doing it well? - The Pragmatic Programmer