Dziura W Linuksie [ Cve-2016-0728 ]

[Miszcz]

http://niebezpiecznik.pl/post/dziura-w-linuksie-kazdy-moze-byc-rootem/

[@WalDo]

Właśnie sprawdzam czy przejdzie na F23, kernel-4.3.3.-300... Dam znać jak się skończy.

[Miszcz]

Daj znać bo na takim samym kernelu siedzę, a nie mam niestety teraz czasu bawić się

[@WalDo]

Na razie - na maszynie wirtualnej - działa od ok.2 h i bez widocznego efektu

[user@localhost temp]$ gcc exploit.c -o exploit -lkeyutils -Wall
[user@localhost temp]$ ./exploit PP1
uid=1000, euid=1000
Increfing...

I tyle.

SElinux: enforcing

[Miszcz]

Według researcherów na procku I7 wykonuje się 30 minut. Także na wirtualce mielenie może trochę potrwać.

\

[@sunrise]

Na razie - na maszynie wirtualnej - działa od ok.2 h i bez widocznego efektu

Na fedorze exploit nie działa. Nie wiem, czy to przez selinuxa, ale ja nie miałem żadnych komunikatów pochodzących od selinuxa. Na fizycznej maszynie (e3-1245v3) wykonuje sie w ok 30min, może krócej.

[Miszcz]

Ciekawe jak inne urządzenia smartfony, routery, wifki i inne systemy emdedded ?

 

btw. to się Torvaldsowi i całej społeczności usłyszy

[@WalDo]

To ja sobie jeszcze na drugiej wirtualce puściłem bez SELinux i też bez wskazanego efektu. Zaryzykowałbym, że F23 z jądrem 4.3.3 jest bezpieczna.

Poza tym zawsze można - zgodnie z poradą na Niebezpieczniku - ustawić ustawić maxkeys na 1.

[Miszcz]

Można to sobie ustawić łatwo na desktopie, gorzej jak administrujesz setkami serwerów i innymi urządzeniami, których np. producent nie updejtuje. Uuu.

[Fedoras]

Coś mi się wydaje, że jądro zawierające poprawkę na ten bug jest dopiero w testach:

https://bodhi.fedoraproject.org/updates/FEDORA-2016-b59fd603be

 

Pozdrawiam

[@WalDo]

Nie zmienia to faktu, że udostępniony przykład zastosowania exploita nie działa na 4.3.3-300. Oczywiście przykład może być zbyt prosty, odnosi się tylko do jądra 3.8 albo po prostu "przypadkiem" nie działa na Fedorze 23 ze zaktualizowanym jądrem.

Tak czy inaczej warto przez jakiś czas dokładniej niż zwykle przeglądać logi systemu.

Być może warto to robić dokładnie na co dzień, bo czasy kiedy Linux był bezpieczny, bo nie było na niego wirusów odchodzą do przeszłości m.in. przez popularność Androida. Wirusów nie ma - dziury są.

[Fedoras]

Logi trzeba zawsze przeglądać dokładnie, to jest podstawa pracy administratora.

 

W przypadku tego buga, włączanie obejścia można sobie ułatwić z pomocą sysctl, czyli w katalogu /etc/sysctl.d należy utworzyć plik konfiguracyjny np. cve-2016-0728.conf i w treści ustawić zmienną systemową dla jądra na 1 (kernel.keys.maxkeys = 1).

Potem polecenie sysctl -p cve-2016-0728.conf i nawet nie trzeba przeładowywać systemu. Cały problem, to pamiętanie o wyrzuceniu tego pliku jak już jądro będzie załatane