Un exploit per crashare Linux

Un esperto di sicurezza ha scritto alcune righe di codice che, se eseguite da una qualunque shell di sistema, possono mandare in crash moltissimi sistemi operativi basati sul kernel di Linux

Roma - Nei giorni scorsi è stato pubblicato un exploit che, sfruttando una debolezza del kernel di Linux, è in grado di causare il crash di un sistema operativo x86 e x86-64 basato su molte versioni dei kernel 2.4.x e 2.6.x.

A rendere il problema piuttosto serio interviene il fatto che l'exploit, costituito da poche righe di codice C, può essere eseguito da un qualunque utente - anche con privilegi limitati - che abbia accesso alla shell del sistema operativo.

Secondo quanto riportato da Linux Reviews, la vulnerabilità interessa virtualmente tutte le distribuzioni di Linux tranne quelle basate su alcuni kernel a cui siano state applicate alcune patch, tra cui un paio sviluppate da Gentoo.
Sul sito si sostiene che per il momento non è chiaro perché siano soltanto due patch di Gentoo a rendere il kernel immune, quando invece tutte le altre versioni sono vulnerabili.

Vi sono già diversi sistemi per aggirare il problema, fra cui alcune patch scaricabili dai link pubblicati su Linux Reviews.
232 Commenti alla Notizia Un exploit per crashare Linux
Ordina
  • Perche' tutto quel codice e non solo qualcosa del tipo

    while 1 do print ".";

    ??
    non+autenticato
  • - Scritto da: Anonimo
    > Perche' tutto quel codice e non solo
    > qualcosa del tipo
    >
    > while 1 do print ".";
    >
    > ??

    non basta solo questo, infatti con il codice descritto nell'articolo, è il kernel che non restituisce più la CPU al processo user,
    non vi è più nessun context switch,
    il sistema non risponde più ai comandi impartiti da tastiera (proprio perchè non gestisce più gli interrupt generati dalla medesima)
    e quindi non rimane che resettare ...

    non tutti i kernel sono vurnerabili a quel codice


    ==================================
    Modificato dall'autore il 16/06/2004 17.56.39
    non+autenticato
  • ma adesso ne sono convinto: mai più linux. Microsoft almeno ha un'assistenza, qui ci sarà da aspettare il solito pio di buona volontà che corregga questo clamoroso baco, e uscirà poi la ennesima versione del kernel.

    Molto meglio m$
    non+autenticato
  • - Scritto da: Anonimo
    > ma adesso ne sono convinto: mai più
    > linux. Microsoft almeno ha un'assistenza,
    > qui ci sarà da aspettare il solito
    > pio di buona volontà che corregga
    > questo clamoroso baco, e uscirà poi
    > la ennesima versione del kernel.

    Già, con m$ bisogna invece aspettare (mesi) che venga rilasciato un service pack... che bella assistenza!

    Comunque, che strano, qui ci sono già patch applicabili... C'è stato bisogno d'aspettare davvero tanto per una risoluzione del problema!

    > Molto meglio m$

    concordo, per la tua tipologia di utente è sicuramente meglio m$
    non+autenticato
  • > Già, con m$ bisogna invece aspettare
    > (mesi) che venga rilasciato un service
    > pack... che bella assistenza!

    non per le patch
    non+autenticato
  • per quelle solo un mesetto...quando va bene
    non+autenticato

  • - Scritto da: Anonimo
    > ma adesso ne sono convinto: mai più
    > linux. Microsoft almeno ha un'assistenza,
    > qui ci sarà da aspettare il solito
    > pio di buona volontà che corregga
    > questo clamoroso baco, e uscirà poi
    > la ennesima versione del kernel.
    >
    > Molto meglio m$

    Sono davvero contento per te.
    Sei arrivato ad una conclusione, ora puoi smettere di spolverare i soliti luoghi comuni.
    certo che con un po' di impegno potevi almeno inserire nel post "non ci sono più le mezze stagioni" ... aggiunge quel tocco di credibilità in più alle parole...Perplesso

    ciao
    Trin
    132

  • - Scritto da: Anonimo
    > ma adesso ne sono convinto: mai più
    > linux. Microsoft almeno ha un'assistenza,
    > qui ci sarà da aspettare il solito
    > pio di buona volontà che corregga
    > questo clamoroso baco, e uscirà poi
    > la ennesima versione del kernel.
    >

    è uscita oggi la versione del kernel che corregge il problema...

    > Molto meglio m$

    si, per beccarsi blaster o sasser dopo aver pagato fior di soldoni...
    non+autenticato

  • - Scritto da: Anonimo
    > > Molto meglio m$
    >
    > si, per beccarsi blaster o sasser dopo aver
    > pagato fior di soldoni...

    come è successo a noi in azienda proprio in questi giorni...
    non+autenticato
  • Ole! un utonto in meno nella comunita Open Source!
  • beh sì... in effetti è vero..... meglio avere un kernel del 2001.....da 3 anni
    precludendosi migliaia di funzionalità e dover spendere dinuovo i soldi per un nuovo sistema operativo quando queste saranno aggiunte in un nuovo windows.... io ho...per dire... un so che mi supporta i processori a 64 bit da ormai 7 mesi......
    non+autenticato
  • > io ho...per dire... un so che mi
    > supporta i processori a 64 bit da ormai 7
    > mesi......

    Fico! Negli ultimi 6 mesi non ho trovato un sistema che potesse beneficiare dei 64 bit in maniera significativa (roba grossa eh!), chissà cosa ci fai tu con il piccì!
    non+autenticato
  • Questa mattina è stato rilasciato il nuovo kernel 2.9.7, che fra le altre cose pone rimedio al bug in questione.
    non+autenticato

  • - Scritto da: Anonimo
    > Questa mattina è stato rilasciato il
    > nuovo kernel 2.9.7, che fra le altre cose
    > pone rimedio al bug in questione.

    ... il che mette a tacere tutti i win-maniac che circlano su questo forum...
    non+autenticato

  • - Scritto da: Anonimo
    > isc.incidents.org/diary.php?date=2004-06-14&i


    "Several sources worldwide report that large websites, among them Yahoo, Microsoft and Google, are currently not reachable due to DNS problems."


    Chissà perchè Microsoft mette i DNS su server Linux....
    non+autenticato
  • > Chissà perchè Microsoft mette
    > i DNS su server Linux....
    perchè MS non mette i dns sotto Linux, ma ha dato in outsourcing la gestione dei propri ad Akamai, società leader nel settore. Se poi Akamai usa Linux a MS non interessa: lei paga per un servizio. Rimane il fatto che i server hanno subito il DoS, il che dimostra che anche con un Linux ben configurato si possono subire attacchi (i tecnici di Akamai non sono certo degli sprovveduti).
    non+autenticato

  • - Scritto da: Anonimo
    > > Chissà perchè Microsoft
    > mette
    > > i DNS su server Linux....
    > perchè MS non mette i dns sotto
    > Linux, ma ha dato in outsourcing la gestione
    > dei propri ad Akamai, società leader
    > nel settore. Se poi Akamai usa Linux a MS
    > non interessa: lei paga per un servizio.
    > Rimane il fatto che i server hanno subito il
    > DoS, il che dimostra che anche con un Linux
    > ben configurato si possono subire attacchi
    > (i tecnici di Akamai non sono certo degli
    > sprovveduti).

    difesa molto debole, come fa un gigante come M$ ad appoggiarsi ad una società che usa il SO 'nemico' per eccellenza ? non mi dire che M$ non ha le risorse tecniche per mettere su una struttura come quella di akamai o di appoggiarsi ad altri regalando tante belle copie di win2003 server... chi ci crede ? la figura è magra... se poi il sito M$ è raggiungibile grazie a Linux e M$ si lamenta degli attacchi DoS dimostra come al solito di dare uncolpo al cerchio e uno alla botte.
    non+autenticato
  • > la figura è magra... se
    > poi il sito M$ è raggiungibile grazie
    > a Linux e M$ si lamenta degli attacchi DoS
    ...DDoS fatti tra l'aqltro tramite macchine zombie windows, conquistate grazie alle sesquipedali vulnerabilità del sistema...
    non+autenticato

  • - Scritto da: Anonimo
    > > Chissà perchè Microsoft
    > mette
    > > i DNS su server Linux....
    > perchè MS non mette i dns sotto
    > Linux, ma ha dato in outsourcing la gestione
    > dei propri ad Akamai, società leader
    > nel settore. Se poi Akamai usa Linux a MS
    > non interessa: lei paga per un servizio.
    .....


    A questo punto le ipotesi sono 2:

    1) Alla Microsoft sono degli incompetenti perchè sprecano i loro soldi rivolgendosi ad una società che utilizza un sistema operativo che ha un maggior TCO, e quindi per forza di cose dovrà chiedere tariffe più alte.

    2) La Microsoft prende gli utenti per i fondelli quando va a fare il discorso sul TCO....

    Io propendo per la seconda ipotesi, e tu ?
    non+autenticato

  • - Scritto da: Anonimo
    > isc.incidents.org/diary.php?date=2004-06-14&i

    Da cosa deduci che i server di Akamai usano Linux?
    A me pare che la pagina che hai indicato riporti due notizie distinte: la prima è relativa al DDoS di cui sono stati vittima i server di Akamai, la seconda riguarda la vulnerabilità del kernel di cui parla si parla nell'articolo di P.I.
    non+autenticato

  • - Scritto da: Anonimo

    > Da cosa deduci che i server di Akamai usano
    > Linux?

    Non si deduce. Si sa. E' una notizia vecchia di mesi.
    Ciao.
  • non vedo cosa ci sia di male...
    un qualunque sistema operativo è creato dall'uomo, che, come si sa, e tutt'altro che perfetto.

    l'errore di programmazione può scappare e ricordo che è cosa ben meno gravo di falle come rpc e lsass di win. Vulnerabilità critiche e sfruttabili remotamente, al contrario di questa.

    Faccio presente inoltre che poche ore dopo l'annuncio del bug era gia disponibile la patch.

    Quindi non veniamoci a raccontare stronzate del genere "linux non è sicuro"
    non+autenticato
  • Normale una sega... se ne impippa dei privilegi e va diretta al kernel. E con poche righe. Io la chiamerei critica. Ma gia` patchata, quindi non cosi` critica.

    > non vedo cosa ci sia di male...
    > un qualunque sistema operativo è
    > creato dall'uomo, che, come si sa, e
    > tutt'altro che perfetto.

    Vero.
    Ma se l'uommmo creasse 100,000 righe invece di 100 milioni di righe per le piu` assurde cacchiate e i giri peschi di codice piu` invidiati dagli universitari oopizzati, magari sarebbe un PO' MENO imperfetto, no?

    > Quindi non veniamoci a raccontare stronzate
    > del genere "linux non è sicuro"

    Linux non e` sicuro al pari (e sottolineo al pari) di Windows, al pari di MacOSX, al pari di qualsiasi sistema che conti milioni di linee di codice in cui migliaia di errori e strane interazioni possono aver luogo. E` un dato di fatto, un fenomeno naturale.

    Quindi?
    Boh, nessuna soluzione in vista.
    Bisognrebbe ripartire daccapo.
    non+autenticato

  • > Linux non e` sicuro al pari (e sottolineo al
    > pari) di Windows

    Di certo non e' _cosi'_ insicuro come windows perche' il codice e' scritto un po meglio, e di certo e' un po piu' sicuro se non altro come architettura.

    Scusa se e' poco.
CONTINUA A LEGGERE I COMMENTI
1 | 2 | 3 | 4 | 5 | 6 | Successiva
(pagina 1/6 - 26 discussioni)