Preorder drugiego tomu książki sekuraka: Wprowadzenie do bezpieczeństwa IT. -15% z kodem: sekurak-book
Systemd – tylko DoS… a nie, to local root!
Systemd, będący jednym z podstawowych procesów w wielu Linuksach, ostatnio nie ma szczęścia z bezpieczeństwem. W zeszłym roku DoS, a teraz możliwość uzyskania pełnych uprawnień roota przez lokalnego użytkownika:
It was found that systemd creates world-writable SUID files that allows local attacker to dump binaries into them and run arbitrary code as root.
Ciekawe jest odkrycie błędu, który najpierw został zakwalifikowany jako DoS, ale… okazało się że to pełen, lokalny root:
The analysis says that is a „possible DoS„, but its a local root exploit indeed. Mode 07777 also contains the suid bit, so files created by touch() are world writable suids, root owned.
Czy wszystkie Linuksy są podatne? Zapewne nie… tylko te używające feralnej wersji systemd (v228).
–ms
Raczej wątpię aby to było do wykorzystania w realnych zastosowaniach – chyba ze ktoś nie aktualizuje na bieżąco systemu. Wersja 229 nie ma już tej podatności.
osobiście znam wielu, co nie aktualizuje ;-)
Ja znam takich, co dziwili się, że Linuksa na serwerze się aktualizuje – byli też trochę zdziwieni, że Debian Stable też wypuszcza nowsze wersje pakietów ;)
Aktualizacja systemu nie zawsze jest taką prosta rzeczą w produkcji.
Czasem jest to kwestia sprawdzenia czy nic nie padnie i to jest przy dostatecznych zasobach ludzkich do ogarnięcia na bieżąco ale często to jest kwestia np dziwnych zależności i „padania kluczowego procesu” dla firmy który nie zostanie łatwo zaktualizowany bo odpowiada za to zewnętrzna firma i ma to w nosie. Masz kasę, wiedzę, zasoby i możliwości na rozwiązanie albo obejście problemu to super ale jak nie masz to metodą jest…
:D Pozostanie przy starszym systemie.
Wbrew pozorom najczęściej się takie problemy trafia w różnego rodzaju wyspecjalizowanych kluczowych systemach.
Zawsze jak aktualizuje serwery tam gdzie nie mam nadmiaru mam w tyle głowy że może tym razem spędzę noc na odkręcaniu tego…
Jeszcze jak coś przestanie działać od razu to fajnie a jak syf wyjdzie po kilku godzinach pracy to często jest urwanie głowy.
W wielu firmach są serwery ale nie ma administratorów…
Jak przyjdziesz do takiej zabawki „bo się spsuło” radosnej decyzji o aktualizacji czegoś co nie było ruszone od dwóch trzech lat.
Oczywiście można „zrobić klientowi dobrze” ale taki klient nie chce za to zapłacić a jak ta prosta operacja się nie powiedzie to możesz się nie pozbierać bo najnormalniej Ciebie obciążą :D.
W zeszłym roku wyłączałem serwer który chodził przez 12 lat bez ani jednej aktualizacji. Dyski były w stanie agonalnym w sumie nie wiem jakim cudem to działało i dane nie wyleciały w kosmos…
Problemów było całkiem sporo :D Brak narzędzi brak opcji doinstalowania czegoś z repo jakiekolwiek narzędzie darło się o coś co nie ruszy bo czegoś brak :D Strach to wyłączyć bo dysk może już nigdy więcej nie wystartować :D
W ciągu ostatnich pięciu lat dwa razy reanimowałem komputery 286 :D Nie nie pomyliłem się. Jak się okazało działają na takich całkiem pokaźne procesy technologiczne i upgrade to wydatek liczony w dziesiątkach mln bo działa na tym dedykowany program który dawno „umarł” i nie ma jak go zastąpić bez zastąpienia wielu innych elementów.
Wiec teoretycznie aktualizacja to no problem…. :D
W praktyce niezliczona ilość maszyn działa na niezaktualizowanym sofcie i nie zawsze można coś na to poradzić łatwo miło i przyjemnie.
A systemów wdrożonych i zapomnianych jest więcej niż byśmy sobie życzyli i co gorsza są w miejscach gdzie teoretycznie to nie powinno mieć miejsca.
A zdarza się też ze trafiasz na infr której nikt nie aktualizował bo poprzedni „administrator” uważał że aktualizacje są dziełem szatana :D
Zaraz zacznie sie dyskusja systemd vs nonsystemd a poki jej ni ma (owej wojny) to ja moge ja rozpetac :d mysle, ze bedzie coraz wiecej takich podatnosci zwiazanych z systemd, grono chwalace systemd czesto uzywa argumentu, ze super robic cos co te wszystkie dystrybucje polaczy no ale czy gdybysmy wszyscy trzymali kase w tym samym banku to czy nie bylby on celem wiekszosci atakow? Gdy przypomne sobie czasy gdy uzywalo sie IE 5.0 i jedyny problem, jaki byl podczas kozystania z internetu to, ze zaraz mi sie skonczy czas w kafejce a mam tylko 2zl w porownaniu do dzisiejszych 0dayow to byly piekne czasy dokad zmierza caly rozwoj technologiczny to ja nie wiem ale czasami wolalbym mieszkac, na wyspie i jedyna automatyke jaka posiadalbym w domu to automatyczna spluczka do klopa, a teraz koncze moje filozoficzne minuty i biore sie za apt-get update, upgrade a moze lepiej poprostu rm -** / i zaden 0day mi nie grozny!
Milego dnia panowie