Три серьезные уязвимости во FreeBSD

[borisko]

Не очень понятно, при чем к первым двум FreeBSD — ведь это проблемы в сторонних программах?

[andoriyu]

ZFS это как бы Sun тоже. Эти приложения входят в basesystem. А вообще не понятно GNU/Linux значит не уязвим по первым двум пунктам? там же те же самые демоны используются…

[borisko]

Ну, согласитесь, неправильно называть уявзимостью именно FreeBSD или Linux уязвимость в ПО, которое можно использовать на этой ОС. null pointer dereference в kqueue — на мой взгляд это уязвимость в FreeBSD.
ZFS в ядре, насколько я понимаю, реализовал не Sun, так что этот баг как раз в FreeBSD.

[andoriyu]

Согласен. Разве ZFS в только у фряхе в ядре? ZIL же это часть ZFS, которая используется в других осях. Иначе правильнее писать уязвимость в модули ядра…

[afiskon]

Господа, ядро FreeBSD (чем он отличается от Linux) — это не только /boot/kernel/kernel но и куча утилит, включая named и ntpd.

[Pavel7]

По-моему, куча утилит — это все же мир. А ядро — это ядро, и ни named ни ntpd там нет.

[afiskon]

Верно, я ошибся. Правильнее было бы сказать что и ядро и утилиты — это (!) ОС (а не ядро) FreeBSD. То есть ядро и мир разрабатываются в рамках одного проекта — FreeBSD. В отличии от ОС Linux, где отдельно разрабатывается ядро (kernel.org), а отдельно — «мир» (проект GNU, gnu.org).

Таким образом все три уязвимости найдены в ОС FreeBSD, а не в каких-то сторонних программах.

[onk]

они не разрабатываются, а ПОСТАВЛЯЮТСЯ вместе с FreeBSD
именно поэтому данным уязвимостям подвержены ВСЕ системы, использующие данные версии программ

[Pavel7]

И разрабатываются тоже. Все исходники мира мы получаем из того же репозитория, что и ядро и комиттят туда именно разработчики FreeBSD.

[AndrewTishkin]

У меня нет кармы для публикации в этом блоге

Поделился

Ещё пара голосов и это недоразумение будет исправлено окончательно

[afiskon]

Спасибо за карму. Пост перенес в BSD'ельники.

[Xronos]

про ntpd понравилось

[TroLLik]

Ушел обновлять сервера

[MAD_Kolia]

Если бы такое опубликовали о винде, то линупсятники налетели бы и обосрали. Но когда у них проблемы, то все молчат и делают вид, что так и надо. Это так и надо?

[Ebaut]

у линупсятников нет проблем. проблемы у бздунов ;)

[youROCK]

Вы давно на ЛОРе комменты читали :)?

[Antigluk]

все дело в промежутке времени между обнаружением бага и его исправлением. от МС мы бы ждали неделю минимум.

[AstonMartin]

Это разные вещи: обнаружение бага, публикация данных о нем и исправление. В данном случае одновременно произошла публикация и исправление. А когда произошло обнаружение — нифига не известно. И вполне возможно, что в привате информация о этих багах уже давно распространялась среди заинтересованных лиц.

[MAD_Kolia]

Собственно, как я и говорил. Уже «карму» заминусовали. Как дети малые. Чего вы так переживаете о своем линуксе? Ох и озабоченные…

[xtender]

Таки FreeBSD и Linux несколько разные вещи. Мы же не путаем Windows 7 с Вистой.

[youROCK]

Я бы даже сказал, что FreeBSD очень сильно отличается от Linux, и дело не только в лицензии :).

[xtender]

Вижу, что все-таки кто-то путает :) Объяснил бы хоть, что и с чем прежде чем «отметиться».

[nsinreal]

Я использую ОС Windows. Я поставил вам минус.

[Ebaut]

подозреваю что все уязвимости, как всегда локальные, паники не будет

[xtender]

>>Для устранения уязвимостей предлагается обновиться до последней версии вашей ветки ядра или применить патчи (подробности — по приведенным выше ссылкам).
Честно говоря, не понял зачем предлагается обновить ядро для первых двух пунктов. Неужели сделали исправление этого на уровне ядра?

[xtender]

Прочитал более внимательно — в списке изменений у бинда, например, исключительно src/contrib/bind9/lib

[soltpain]

Кстати да, получается нужно пересобрать named и ntpd, с зфс пока пофиг. Так как это сделать не используя buildworld?

[afiskon]

Я уже понял свою ошибку — habrahabr.ru/blogs/bsdelniki/80211/#comment_2360533

[xtender]

Эмм… Может лучше текст немного подправить? Но все равно спасибо. Так бы еще не скоро прочитал рассылку.

[afiskon]

Уже подправил.

[gigawatt]

Где-то еще используют FreeBSD?..

[afiskon]

Повсеместно.

[xtender]

Там где это больше подходит под задачи. Не надо фанатизма.©

[iZENfire]

На десктопе — PC-BSD.

[afiskon]

Пользуясь случаем хочу поделиться своими впечатлениями о PC-BSD. В целом они хорошие — понравилась и операционка и бинарные пакеты (имхо простого пользователя невозможно приучить собирать что-то из сорцев).

Но вот одна беда — как только возникают какие-то трудности (не ставится программа, не переключается раскладка и тп) начинаешь лазить по меню и искать магическую кнопку «решить все моим проблемы». По этой причине пришлось отказаться от PC-BSD. Не знаю, как влияет GUI на вас, а меня он отупляет.

Сейчас у меня на домашнем ноуте и на работе FreeBSD. После прочтения Лукаса и пары других умных книжек научился решать проблемы самостоятельно. О потраченном времени нисколько не жалею.

[vgrichina]

Как следствие, сервер будет до бесконечности слать пакеты с error-response, замедляя работу сети, съедая ресурсы процессора, и свободное место на жестком диске, что рано или поздно приведет к DDoS.

<pedantic>
Наверное все таки просто DoS (denial of service) а не DDoS (distributed denial of service), так как насколько я понял проблема как раз в том что можно послать всего один специально сфабрикованный запрос который в итоге положит сервер.
</pedantic>

[afiskon]

Вы правы, исправил.
Меня перемкнуло, что DDoS — это _временный_ отказ в обслуживании.