История о трёх уязвимостях ядра

[evocatus]

Не пользуйтесь бинарными дистрибутивами.

[borisko]

Заведите себе больше одного компьютера.

[Ruckus]

Держу 2 десктопа и 2 сервера на source-based и испытываю сложности только иногда с домашним десктопом ибо много экспирементирую и сижу на нестабильной ветке. Бинарные дистрибутивы не дают такой свежести пакетов и гибкости, увы.

[librarian]

Почти ничего(кроме редких ситуаций, когда чтобы бэкпортировать пакет нужно ввести больше 4-5 команд) не мешает нужные пакеты собирать аналогично с source-based

[merlin-vrn]

И тем не менее, в бинарных дистрибутивах это делать ужасно неудобно, по сравнению с тем, как это сделано в Gentoo. В ней — как лёгкая прогулка.

[J_o_k_e_R]

Откройте себе binhost и аналоги.

[borisko]

То есть сделать себе свой собственный бинарный дистрибутив?

[Ruckus]

Подозреваю имели ввиду это, поправьте если ошибся.

[sebres]

с момента обнаружения уязвимости до выхода патча в среднем проходит почти три года

Статистика — такая статистика: делать такую далекоидущую оценку по двум фиксам — это имхо верх идиотизма!
Граничит с взятием среднего от двух boolean (true и false) — в среднем получается и правда и ложь.

[librarian]

Я думаю они специально нашли два крайних случая чтобы показать как всё плохо. Единственное что они передёргивают, что это «среднее» время.

[khim]

Вот как раз со средним временем всё в порядке.

Предположим, что у вас есть две системы: в одной все уязвимости закрываются через день и только парочка живёт по три года, в другой все уязвимости закрываются через год. Какая из них безопаснее?

Ответ: никакой разницы ибо обе никуда не годятся. Они обе могут быть взломаны злоумышленником в любой момент. Умереть можно только один раз.

А вот то, что обе уязвимости весьма и весьма непросто использовать там, где Linux, в общем-то только и используют (на сервере) — другой вопрос. PTRACE-уязвимость в этом смысле куда сурьёзнее.

[bypasser]

А вот то, что обе уязвимости весьма и весьма непросто использовать там, где Linux, в общем-то только и используют (на сервере) — другой вопрос.

Да и на десктопе тоже (может быть это может сработать с флешкой, форматированной в ext4, но даже тут придется повозиться ибо с ext4 на внешних флешках все, насколько я знаю, не очень гладко)

[fshp]

Всё нормально с флешками и ext4. Журнал лишь отключить для лучшей производительности.

[bypasser]

Я смутно помню что флешка c ext (3 или 4 не помню) у меня на десктопной Ubuntu монтироваться без дополнительных зуботычин не желала. Я решил не заморачиваться и переделал флешку обратно в FAT.

Но таки да, в принципе да, флеш с таким вот «заряженным» ext4 — вполне себе могла быть орудием пролетариата все эти три года.

[fshp]

До первого компьютера с Windows

[bypasser]

А ей и не надо «пререживать комп с Windows». Это прицельный булыжник, который оставляется вблизи мест обитания любопытной линуксоносной жертвы.
Конечно, такой сценарий предполагает наличие еще одной уязвимости — в wetware жертвы. Однако, практика показывает что у большинства людей (даже бородатых дяденек с подготовкой в области ИБ) желание узнать «что же на флешечке со стразиками и котиком» легко пересиливает здравый смысл и чувство самосохранения.

[merlin-vrn]

Боже, какая махровая заказуха от Trustwave! Никогда не стоит доверять этой шарашке.

[DancingOnWater]

Вот поэтому я и предпочитаю rolling-релиз дистрибутивы

[J_o_k_e_R]

А есть разница? Патчи безопасности в обычных бинарных дистрах имхо накатываются так же оперативно, как и выпускаются новые релизы с этими патчами в rolling. Другое дело source-based. Кинул ебилд в оверлей, скачал патчик, все, у тебя готов свой собственный релиз, который через binhost разливается на все нужные хосты.

[symbix]

кинул патч в deb-src, собрал пакет, обновил на хостах. В чем разница-то?

[ingrysty]

В фане ;)

[KrD]

У бинарных и сурсовых дистро разные m4|automake|autoconf|configure|make|gcc|ld и прочая?

[fshp]

Не стоит ныть «аааа, ядро уязвимо! мы скоро все умрём!». Беспокоит проблема? Patch и make вам в помощь. А если мешает лень, то может не такая уж и критическая уязвимость?

«А как же моя бабушка? Она не умеет собирать ядро!»
А ваша бабушка умеет файлы использовать в качестве блочных устройств? Да и на флешках такая fs будет жить до первого компьютера с Windows.

[sluge]

>: с момента обнаружения уязвимости до выхода патча в среднем проходит почти три года

Вот насчет в среднем не понял: значит должны быть уязвимости, которые должны фиксится больше чем три года, причем их должно быть довольно много. Что это игра со статистикой? заказуха от микрософта?
Есть в отчете такие уязвимости?