Nem kell megijedni, a Linux Mint 18.2 és korábbi változatai nem sérülékenyek. Az LMDE2 sem. Csak ezeknél újabb, azaz teszt verziókban kell javítani a systemd túlcsordulásos sebezhetőségét és minden linux disztribúciónál, amely a sebezhető verziójú systemd-t használja. A probléma abból ered, hogy a systemd túlságosan kicsi buffert biztosít a TCP-csomagok számára, így egy speciálisan összeállított csomag segítségével túlcsordulás idézhető elő, speciális körülmények között pedig kódfuttatásra is rávehető a megtámadott rendszer. A sebezhetőség a 2015-ben kiadott systemd 223-ban jelent meg és ott van az azóta kiadott verzióban is.
Chris Coulson (Canonical) felfedezett egy sebezhetőséget a Linux-rendszerek egyik betöltőjében, a systemd-ben. A távolról, például egy rosszindulatú DNS-szerverrel kihasználható sebezhetőség rendszer-összeomláshoz és jogosulatlan kódfuttatáshoz vezethet.
A Canonical (Ubuntu) már kiadta a sebezhetőség javítását, ami az elkövetkező napokban várhatóan az összes Linux rendszerre meg fog jelenni.
A hírben felhasznált szöveg, magyarázat: Androbit
Néhány sebezhetőség bejelentés az érdekesség kedvéért:
http://openwall.com/lists/oss-security/2017/06/27/8
https://people.canonical.com/~ubuntu-security/cve/2017/CVE-2017-9445.html
https://www.ubuntu.com/usn/usn-3341-1/
https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=866147
https://security-tracker.debian.org/tracker/CVE-2017-9445
A systemd és a sysVinit különbözőségei
:::::
A nyitó kép forrása:
https://community-cdn-digitalocean-com.global.ssl.fastly.net/assets/tutorials/images/large/systemdessentials-twitter.png
A nagy kép forrása:
http://images.linoxide.com/systemd-vs-sysVinit-cheatsheet.jpg
Hozzászólások
Sziasztok!
Beküldte stray -
Értékelés:
Sziasztok!
A frissítés kezelőben van egy systemd 229-4ubuntu17 változat. ez már a javított vagy ezt nem szabad teepítni?
köszi
Sziasztok!
Beküldte kimarite -
Értékelés:
Szia, ez már a javított változat, ugyanaz, mint a most elérhető:
https://packages.ubuntu.com/source/xenial/systemd
A biztonsági frissítések telepítését érdemes bekapcsolni.
Csak az Ubuntu 16.10 és a 17.04 kiadások alatt volt sebezhetőség:
https://www.ubuntu.com/usn/usn-3341-1/
(http://people.canonical.com/~ubuntu-security/cve/2017/CVE-2017-9445.html)
A Linux Mint 18+ az Ubuntu 16.04-ből épül.
Összességében:
As systemd-resolved figures into other Linux distributions like Debian Linux, Red Hat’s Fedora, and openSUSE, users may want to independently verify whether or not they’re affected.
Only the “stretch”, and “buster,” and “sid” releases of Debian are considered vulnerable, according to Debian’s bug tracker on the issue. Debian stressed Coulson’s bug was only a minor issue for Debian “stretch” users, as systemd-resolved comes disabled by default on that build. The vulnerable code isn’t present in Debian “Jessie” and “wheezy” builds.
It appears Fedora 25 received an update, FEDORA-2017-29d909f5ec, for the issue on Wednesday.
https://threatpost.com/linux-systemd-bug-could-have-led-to-crash-code-ex...
Itt úgy tűnik, a Debian Strech változata érintett, de Salvatore Bonaccorso említi, hogy a Debian alatt nem alapértelmezett a systemd-resolved szerviz folyamat használata, viszont egy patch-et lehet használni, aki nagyon úgy érzi, hogy szüksége van erre a megerősítésre mégis ..., a javításig:
however "systemd-resolved is not enabled by default in Debian," according to the project's Salvatore Bonaccorso, so either you have nothing to worry about, apply the patch
https://github.com/systemd/systemd/pull/6214
yourself, or hang tight for the next point release.
https://www.theregister.co.uk/2017/06/29/systemd_pwned_by_dns_query/
Nálam, a Debian Jessie-n így is van:
(https://manpages.debian.org/testing/systemd/systemd-resolved.service.8.e...)
Strech:
-- ez volt/van most
https://security-tracker.debian.org/tracker/CVE-2017-9445
-- jelenleg / magyarázat
https://security-tracker.debian.org/tracker/CVE-2017-9217
[stretch] - systemd <no-dsa> (Minor issue, systemd-resolved not enabled by default)
Kicsit részletes voltam a Debian tekintetében, lényeg, hogy a Linux Mint támogatott kiadásai, a Linux Mint 17+ és a Linux Mint 18+ sosem voltak sérülékenyek a systemd csomag említett sérülékenységében, és az LMDE2 sem. :-)