Re: [mdk-re] security updates

["Dmitry V. Levin" <ldv@alt-linux.org>]

[-- Attachment #1: Type: text/plain, Size: 1996 bytes --]

On Wed, Jun 13, 2001 at 11:14:35PM +0400, Yuri Ryazantsev wrote:
> > Конкретный ответ на конкретный вопрос:
> > 
> > bash - пакет из Spring не подвержен,
> > pine - пакет из Spring не подвержен,
> > glibc - пакет из Spring не подвержен,
> > cups - обновление будет завтра,
> > minicom - ошибка есть, но проблема не актуальна для Spring,
> > openssh - пакет из Spring не подвержен,
> > kdelibs - ошибка есть, но проблема практически не актуальна для Spring,
> > xmms - пакет из Spring не подвержен,
> > imap - (относительно) свежая ошибка, обновление будет завтра,
> > xinetd - свежая (и несущественная) ошибка, обновление будет сегодня.
> > 
> > Кроме того, мы ведем собственный аудит и исправление пакетов в рамках
> > Castle.
> 
> Спасибо за разъяснения. Пожелания:
> 1) А почему бы разработчикам не выносить выводы по собственному аудиту в
>    security list? Тогда бы всем и видно было, что вы не забыли, видели и
>    проанализировали ошибки в пакетах.

ok. (хотя будет непросто найти на это время)

> 2) Что значит:
>    "ошибка есть, но проблема не актуальна для Spring"

В minicom есть buffer overrun. Но в дистрибутиве minicom поставляется без
sgid-to-uucp. Поэтому exploit'ить нечего.

>    "ошибка есть, но проблема практически не актуальна для Spring"

Ошибка есть в программе /usr/bin/kdesu из пакета kdelibs.
При ее запуске после ввода root'ового пароля возможен т.н.
"local user exploit" (того самого пользователя, который запустил kdesu).
Поскольку механизм kdesu небезопасен в принципе, я не считаю эту ошибку
достаточно серьезной, чтобы выкладывать updates. Впрочем, тут могут быть
другие мнения.


Regards,
	Dmitry

+-------------------------------------------------------------------------+
Dmitry V. Levin     mailto://ldv@alt-linux.org
ALT Linux Team      http://www.altlinux.ru/
Fandra Project      http://www.fandra.org/
+-------------------------------------------------------------------------+
UNIX is user friendly. It's just very selective about who its friends are.

[-- Attachment #2: Type: application/pgp-signature, Size: 232 bytes --]