[Sysadmins] Fwd: Re: [Comm] Уязвимости ядра 2.6.х

[Sysadmins] Fwd: Re: [Comm] Уязвимости ядра 2.6.х

[Michael Shigorin]

[-- Attachment #1: Type: text/plain, Size: 1207 bytes --]

	Здравствуйте.
Вообще если корки не нужны, то могу рекомендовать занесение
в /etc/sysctl.conf

kernel.core_pattern = /dev/null

----- Forwarded message from Sergey Vlasov <vsu/altlinux.ru> -----

Date: Sun, 16 Jul 2006 23:09:20 +0400
From: Sergey Vlasov <vsu/altlinux.ru>
To: ALT Linux Community <community/lists.altlinux.org>
Subject: Re: [Comm] Уязвимости ядра 2.6.х

On Sun, Jul 16, 2006 at 10:27:08PM +0400, Odergimiy wrote:
> Есть ли заплаты на Alt от этих уязвимостей.
> 
> http://altlinux.jino-net.ru/viewtopic.php?p=17#17

CVE-2006-3626 - в пути; можно, не дожидаясь обновлений, устранить
возможность использования данной уязвимости, добавив noexec,nosuid в
опции монтирования для /proc.

CVE-2006-2451 - в Сизифе было исправлено в std26-2.6.16-alt8, для
Compact 3.0.x неактуально (в 2.6.12 этой ошибки не было).  Эксплойты
через /etc/cron.d в дистрибутивах от ALT не работают, поскольку у
пользователей нет прав входа в каталог /etc/cron.d (впрочем, это не
означает, что не существует других способов использовать эту
уязвимость).

----- End forwarded message -----

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [Sysadmins] Fwd: Re: [Comm] Уязвимости ядра 2.6.х

[Sergey V Kovalyov]

Michael Shigorin wrote:

> CVE-2006-3626 - в пути; можно, не дожидаясь обновлений, устранить
> возможность использования данной уязвимости, добавив noexec,nosuid в
> опции монтирования для /proc.

ERROR: Couldn't find 'CVE-2006-3626'

Could not find a CVE entry or candidate named 'CVE-2006-3626'

Re: [Sysadmins] Fwd: Re: [Comm] Уязвимости ядра 2.6.х

[Sergey V Kovalyov]

Sergey V Kovalyov wrote:

>> CVE-2006-3626 - в пути; можно, не дожидаясь обновлений, устранить
>> возможность использования данной уязвимости, добавив noexec,nosuid в
>> опции монтирования для /proc.
> 
> ERROR: Couldn't find 'CVE-2006-3626'
> 
> Could not find a CVE entry or candidate named 'CVE-2006-3626'

Открыли. http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-3626

Кстати, может, noexec,nosuid для /proc добавить по умолчанию из коробки?

Re: [Sysadmins] Fwd: Re: [Comm] Уязвимости ядра 2.6.х

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 727 bytes --]

On Sun, Jul 23, 2006 at 11:40:42AM +0300, Sergey V Kovalyov wrote:
> Sergey V Kovalyov wrote:
> 
> >> CVE-2006-3626 - в пути; можно, не дожидаясь обновлений, устранить
> >> возможность использования данной уязвимости, добавив noexec,nosuid в
> >> опции монтирования для /proc.
> > 
> > ERROR: Couldn't find 'CVE-2006-3626'
> > 
> > Could not find a CVE entry or candidate named 'CVE-2006-3626'
> 
> Открыли. http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-3626
> 
> Кстати, может, noexec,nosuid для /proc добавить по умолчанию из коробки?

noexec ещё надо проверить, а nosuid я использую последние несколько лет
для proc и devpts (а со времён 2.6 и для sysfs).  Я бы добавил по умолчанию.


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [Sysadmins] Fwd: Re: [Comm] Уязвимости ядра 2.6.х

[Sergey V Kovalyov]

Dmitry V. Levin wrote:

>> Кстати, может, noexec,nosuid для /proc добавить по умолчанию из коробки?
> 
> noexec ещё надо проверить, а nosuid я использую последние несколько лет

А что noexec может поломать? Откуда там executable в /proc ?

> для proc и devpts (а со времён 2.6 и для sysfs).  Я бы добавил по умолчанию.

Кстати, sysfs она ж более-менее факультативна, да? У меня и без нее 
работает на 2.6 ядре. Без hotplug'ов и т.п.

Re: [Sysadmins] Fwd: Re: [Comm] Уязвимости ядра 2.6.х

[Igor Zubkov]

[-- Attachment #1: Type: text/plain, Size: 287 bytes --]

В сообщении от 24 июля 2006 14:34 Sergey V Kovalyov написал(a):
> Кстати, sysfs она ж более-менее факультативна, да? У меня и без нее
> работает на 2.6 ядре. Без hotplug'ов и т.п.

Если я правильно ошибаюсь, то sysfs это замена для /proc.

-- 
Papa Roach - singular indestructible droid

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [Sysadmins] Fwd: Re: [Comm] Уязвимости ядра 2.6.х

[Andrey Rahmatullin]

[-- Attachment #1: Type: text/plain, Size: 343 bytes --]

On Mon, Jul 24, 2006 at 08:13:37PM +0300, Igor Zubkov wrote:
> Если я правильно ошибаюсь, то sysfs это замена для /proc.
Ни разу.

-- 
WBR, wRAR (ALT Linux Team)
Powered by the ALT Linux fortune(8):

[...] он не следует нашей PAM Policy.  Насколько я понимаю, этим
правилам в Сизифе следуют только мои пакеты. :(
		-- ldv in devel@

[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 191 bytes --]

Re: [Sysadmins] Fwd: Re: [Comm] Уязвимости ядра 2.6.х

[Sergey V Kovalyov]

Andrey Rahmatullin wrote:
> On Mon, Jul 24, 2006 at 08:13:37PM +0300, Igor Zubkov wrote:
>> Если я правильно ошибаюсь, то sysfs это замена для /proc.
> Ни разу.

Андрей, я давно за Вами наблюдаю. Лаконичность Ваших ответов в 
отдельных чайниковых случаях просто восхищает, но можно более 
развернутый ответ ;)?

Re: [Sysadmins] Fwd: Re: [Comm] Уязвимости ядра 2.6.х

[Sergey S. Skulachenko]

On Tue, 25 Jul 2006 10:35:10 +0300
Sergey V Kovalyov wrote:

> >> Если я правильно ошибаюсь, то sysfs это замена для /proc.
> > Ни разу.
> 
> Андрей, я давно за Вами наблюдаю. Лаконичность Ваших ответов в 
> отдельных чайниковых случаях просто восхищает

Так он всего лишь подражатель. У него учитель есть - настоящий
Мастер. Так этот М. вообще без всякого повода бессмысленные
"вау" подпускает. Казалось бы, можешь дать полноценный
комментарий, люди будут благодарны. А выпрыгивать из платья ..?
Этому М. я отсылал личной почтой подборку его перлов с личной
просьбой, мол, тормознись хотя бы на пару недель, помолчи.
Бесполезняк.
А Андрей гораздо более контактная личность :-).
То, что Дмитрий посоветовал, я уже сделал. Спасибо ему!

-- 
С уважением,
С.С.Скулаченко

Re: [Sysadmins] /sys & /proc

[Sergey V Kovalyov]

Sergey S. Skulachenko wrote:

>>>> Если я правильно ошибаюсь, то sysfs это замена для /proc.
>>> Ни разу.
>> Андрей, я давно за Вами наблюдаю. Лаконичность Ваших ответов в 
>> отдельных чайниковых случаях просто восхищает

[...]
Это все лирика офтопичная.

> А Андрей гораздо более контактная личность :-).

Именно поэтому я и попросил его расширить свой ответ. Без всяких 
там... Или, возможно, Дима ответит, в очередной подход к почте ;).

Re: [Sysadmins] Fwd: Re: [Comm] Уязвимости ядра 2.6.х

[Andrey Rahmatullin]

[-- Attachment #1: Type: text/plain, Size: 684 bytes --]

On Tue, Jul 25, 2006 at 10:35:10AM +0300, Sergey V Kovalyov wrote:
> Андрей, я давно за Вами наблюдаю. Лаконичность Ваших ответов в 
> отдельных чайниковых случаях просто восхищает,
:)

> но можно более развернутый ответ ;)?
Ну /sys несколько для другого. Т.е. /sys не заменяет и не дублирует /proc.
/sys - это экспорт driver model ядра наружу. /proc - нагромождение
информации о процессах, о железе (вот оно и перетаскивается в /sys
местами), всяческих настроек ядра и т.д.

-- 
WBR, wRAR (ALT Linux Team)
Powered by the ALT Linux fortune(8):

> > >Как добиться сборки с gcc3.4?
> > select-gcc 3.4
> В hasher? Каким образом?
%set_gcc_version
		-- inger in devel@

[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 191 bytes --]

Re: [Sysadmins] /sys & /proc

[Sergey V Kovalyov]

Andrey Rahmatullin wrote:

>> но можно более развернутый ответ ;)?
> Ну /sys несколько для другого. Т.е. /sys не заменяет и не дублирует /proc.
> /sys - это экспорт driver model ядра наружу. /proc - нагромождение

То есть, нужна для некоторых модулей, так?

> информации о процессах, о железе (вот оно и перетаскивается в /sys
> местами), всяческих настроек ядра и т.д.

Ну, с этим как раз ясно.
Больше интересуют случаи, когда /sys _необходима_ для работы.

Re: [Sysadmins] /sys & /proc

[Michael Shigorin]

On Wed, Jul 26, 2006 at 11:06:39AM +0300, Sergey V Kovalyov wrote:
> >> но можно более развернутый ответ ;)?
> > Ну /sys несколько для другого. Т.е. /sys не заменяет и не дублирует /proc.
> > /sys - это экспорт driver model ядра наружу. /proc - нагромождение
> То есть, нужна для некоторых модулей, так?

Не, для юзерспейса.

> > информации о процессах, о железе (вот оно и перетаскивается в
> > /sys местами), всяческих настроек ядра и т.д.
> Ну, с этим как раз ясно.  Больше интересуют случаи, когда /sys
> _необходима_ для работы.

Утиль, который рассчитывает найти в /sys необходимую для работы
информацию, скажем, о железе.  Представь себе такой mkinitrd...

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [Sysadmins] /sys & /proc

[Sergey V Kovalyov]

Michael Shigorin wrote:

>>> Ну /sys несколько для другого. Т.е. /sys не заменяет и не дублирует /proc.
>>> /sys - это экспорт driver model ядра наружу. /proc - нагромождение
>> То есть, нужна для некоторых модулей, так?
> 
> Не, для юзерспейса.

Имя пакета?

>>> информации о процессах, о железе (вот оно и перетаскивается в
>>> /sys местами), всяческих настроек ядра и т.д.
>> Ну, с этим как раз ясно.  Больше интересуют случаи, когда /sys
>> _необходима_ для работы.
> 
> Утиль, который рассчитывает найти в /sys необходимую для работы
> информацию, скажем, о железе.  Представь себе такой mkinitrd...

Ну-у-у... по моему (не уверен), год назад я собирал какое-то 
безобразие для USB софт-модема, и оно хотело /sys, но для реальной 
жизни кому надо /sys, пару имен пакетов, можно?

Re: [Sysadmins] /sys & /proc

[Andrey Rahmatullin]

[-- Attachment #1: Type: text/plain, Size: 438 bytes --]

On Thu, Jul 27, 2006 at 02:10:04PM +0300, Sergey V Kovalyov wrote:
> > Не, для юзерспейса.
> Имя пакета?
libhw-tools
Кто-то вроде бы из /sys сенсоры берет
Новый suspend2 (саавсем новый) из /proc/suspend2/ переехал в /sys.

-- 
WBR, wRAR (ALT Linux Team)
Powered by the ALT Linux fortune(8):

> # apt-cache show syslog-ng
Кстати отдам в хорошие руки. Один раз уже отдавал,
но руки куда-то подевались ;)
		-- inger in devel@

[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 191 bytes --]

[Sysadmins] SysAdmmins Day

[Anton Gorlov]

Всех СисАдминов с наступающим проффесиональным праздником. Ку!