Forum Debian Users Gang

[b]Data publikacji:[/b][tt][/tt] 13 Maj, 2014 r
[b]URL:[/b][tt][/tt] [url=https://helpx.adobe.com/security/products/flash-player/apsb14-14.html][color=blue]Biuletyn bezpieczństwa - APSB14[/color][/url]
[b]Pakiet:[/b][tt][/tt] flashplugin-nonfree, pepperflashplugin-nonfree
[b]Typ:[/b][tt][/tt] aktualizacja wersji [color=red][tt]11.2.202.356[/tt][/color] (Linux), [tt][color=red]13.0.0.206[/color][/tt] (wersja Google Chrome etc.)

[b]Opis[/b]: Pakiet [tt][/tt]Adobe Flash Player [tt][color=green]11.2.202.359[/color][/tt], Pepper Flash Player [tt][color=green]13.0.0.214[/color][/tt] zawiera poprawki odnoszące się do bezpieczeństwa. Dotyczą one luk, które mogą - potencjalnie - umożliwić atakującemu przejęcie kontroli nad zaatakowanym systemem.

Ostatnio edytowany przez remi (2014-05-15 15:59:06)

Cześć [b]Jacku[/b], czy mając profil zarówno dla Firefoxa oraz procesu plugin-container (oczywiście, mam na myśli typ [tt]enforce[/tt]), w wyniku np. polecenia [tt]apparmor_status[/tt], pojawiają się dwa wpisy odnoszące się, tylko do Firefoxa (przykładem może być uruchomiona przeglądarka wraz z włączoną stroną typu YouTube etc.), czy istnieje również informacja dla [tt]/usr/lib64/firefox/plugin-container[/tt]? Być może nie wyraziłem się dosyć jasno. Chodzi mi o w/w polecenie i wynik jego działania. Czy w Twoim przypadku, wygląda to, powiedzmy w ten sposób?:

[tt][color=green]$ sudo apparmor_status[/color]
[color=darkblue](...)
2 processes are in enforce mode.
/usr/lib/firefox/firefox{,*[^s][^h]} (1976)
/usr/lib64/firefox/plugin-container (1755)[/color][/tt]

Czy jest zupełnie inaczej, tj. w miejscu informującym o [b]procesach[/b] będących w trybie [tt]enforce[/tt], pojawia się podwójny wpis odnoszący się, tylko do Firefoxa? Oczywiście [tt]/usr/lib64/firefox/plugin-container[/tt], wymieniony jest w miejscu, które podaje ilość [b]profili[/b] w trybie [tt]enforce[/tt], ale [tt]plugin-container[/tt] nie występuje właśnie w pozycji odnoszącej się do procesów. Podsumowując;

[tt][color=darkblue]2 processes are in enforce mode.
/usr/lib/firefox/firefox{,*[^s][^h]} (1976)
/usr/lib/firefox/firefox{,*[^s][^h]} (1663)[/color][/tt]

I jeszcze jedno; dodałeś może do profilu Firefoxa taką oto rzecz: [tt]"/usr/lib/firefox/plugin-container Px,"[/tt]? (W tym przypadku dotyczy, oczywiście wersji 32 bitowej).

Pozdrawiam serdecznie.

Serwus. Dzięki, zapytałem z czystej ciekawości. Pozdrawiam.

Faktycznie było później ogłoszone na GLSA, czasem tak się zdarza.
Przy czym mnie to w ogóle nie przejmuje, patrzy wyżej (cały plugin-container w klatce Apparmora), i myślę że więcej ludzi na Gentoo tak ma, Chroot, Apparmor, Selinux, GRSEC-ACL, czy inne dziwadła, które powodują, że Flasha nie trzeba się obawiać.

W programach zawsze będą mniejsze i większe dziury, dlatego robi się rożne inne linie obrony, mające chronić przed potencjalnym zagrożeniem ze strony takiego programu, a sam plugin-container w Firefoxie i  operapluginwrapper Operze to też są sandboxy dla wtyczek, i też stanowią dodatkową linię obrony.

Także nie ma co demonizować Flasha i jego zagrożenia,
Gentoo, to nie XP. :D

Kiedy zainstalowana?

   Info about currently installed ebuild:

   * www-plugins/adobe-flash-11.2.202.359
   Install date: Thu May 15 20:39:14 2014
   USE="sse2 -debug -kde -selinux"
   CFLAGS="-march=native -mssse3 -O2 -pipe"

Także nie ma się czym przejmować, myślę, że trochę przesadzasz z tym przywiązaniem do rożnych DSA/GLSA, w Linuxie się po prostu aktualizuje system, i to wszystko.

Z resztą tu masz historię wersji z Gentoo:
http://data.gpo.zugaina.org/gentoo/www-plugins/adobe-flash/ChangeLog

PS:
Flash 11.2.202.359 wczoraj wyleciał z drzewa, zastąpił go:

   * www-plugins/adobe-flash-11.2.202.378
   Install date: Wed Jun 11 15:11:38 2014
   USE="sse2 -debug -kde -selinux"
   CFLAGS="-march=native -mssse3 -O2 -pipe"

:D

Także tym razem Developerzy Gentoo byli szybsi od Ciebie xD

Pozdro
;-)

Ostatnio edytowany przez Jacekalex (2014-06-11 15:15:05)

Lepiej i tak czekać na Shumwaya niż Flash Playera ;)

Fervi

[quote=Jacekalex][quote=fervi]Lepiej i tak czekać na Shumwaya niż Flash Playera ;)

Fervi[/quote]
Bzdura, lepiej na nic nie czekać.

Na połowie serwisów, gdzie "wymagany jest flash" przy braku Flasha, albo zmianie User Agenta na Iphona czy Andka, od razu leci mp4 zamiast Flasha.

Także spokojnie możemy patrzeć, jak Html5 wysyła Flasha i Silverighta na śmietnik historii. ;)[/quote]
Na razie to tylko czcze słowa - HTML5 nie zagroził na razie nikomu. Uważam, że Shumway to zrobi (który wykorzystuje JS i chyba HTML5) - i tylko w ten sposób

Fervi

[quote=Jacekalex][quote=fervi][quote=Jacekalex]Bzdura, lepiej na nic nie czekać.

Na połowie serwisów, gdzie "wymagany jest flash" przy braku Flasha, albo zmianie User Agenta na Iphona czy Andka, od razu leci mp4 zamiast Flasha.

Także spokojnie możemy patrzeć, jak Html5 wysyła Flasha i Silverighta na śmietnik historii. ;)[/quote]
Na razie to tylko czcze słowa - HTML5 nie zagroził na razie nikomu. Uważam, że Shumway to zrobi (który wykorzystuje JS i chyba HTML5) - i tylko w ten sposób

Fervi[/quote]
Pieprzysz.

Co najmniej 85% albo i więcej filmów na necie jest serwowanych
w locie przez takie narzędzia, jak FlowPlayer, JWPlayer czy Projektorr.
Takich odtwarzaczy napisanych w JS jest może najwyżej 15,
i wystarczy jedna większa aktualizacja połowy z nich, żebyśmy się obudzili w innej rzeczywistości.
Piłeczka z resztą po stronie Google, coraz trudniej znaleźć stronę,
w której organizowaniu nie biorą udziału biblioteki JQuery pobierane wprost z serwerów Google.

I to nie jest żaden śpiew przyszłości, to już się dzieje.[/quote]
Słyszę o dominacji HTML5 od czasów Firefoksa 4 przynajmniej
Youtube na HTML5 dalej nie ogarnia sporej liczby filmów
Gier na Flasha jest ciągle mnóstwo i mnóstwo powstaje
Ciągle nic poza Vimeo, Youtube i paru innych - nie wspiera HTML5

Smutne, ale taka prawda - od wielu lat mamy rok HTML5 :P

Dlatego nie ma co się spinać, tylko czekać na Shumwaya

Fervi

Ostatnio edytowany przez fervi (2014-06-11 21:13:46)

4.4 i 5.0 zrywają z Flashem - bo go nie mają.

iPhone nigdy nie miał
Nie wiem jak z Windows RT, bo on Flasha ma - i nie wiem czemu wycofywać się z tego mieliby (nawet Flash Player jest zainstalowany bezpośrednio w systemie MS)

Fervi

Witam serdecznie. W dniu wczorajszym, tj. 8.my Lipca, Adobe opublikowało kolejną aktualizację bezpieczeństwa dla produktu [tt]flashplugin-nonfree[/tt]. Użytkownicy korzystający z wydania [tt][color=red]11.2.202.378[/color][/tt] oraz wcześniejszych, powinni zaktualizować wtyczkę [tt]flashplugin-nonfree[/tt] do najnowszej wersji oznaczonej numerem [tt][color=green]11.2.202.394[/color][/tt]. Więcej informacji można znaleźć w oficjalnym biuletynie bezpieczeństwa Adobe: [url=https://helpx.adobe.com/security/products/flash-player/apsb14-17.html][color=blue]APSB14-17[/color][/url].

Pozdrawiam.

[b]2014-08-12 / [color=green]UPDATED[/color][/b] [b]([color=red]11.2.202.394[/color] ===> [color=green]11.2.202.400[/color])[/b]
[b][[color=blue]web[/color]] [/b] [url=https://packages.debian.org/search?keywords=flashplugin-nonfree][color=blue][b]contrib/[/b]flashplugin-nonfree[/color][/url]
[b]KOMENTARZ:[/b] Aktualizacja bezpieczeństwa.

Ostatnio edytowany przez remi (2014-08-28 10:30:01)

Serwus [b]Jacku[/b]. Przepraszam za opieszałość, wynikającą z obowiązków etc., w odpowiedzi na Twój post, a zwłaszcza część odnoszącą się do pliku [tt]/etc/adobe/mms.cfg[/tt]. Cieszę się, że rozwiązałeś problem [i]niebieskich pysków[/i] (notabene, bardzo ciekawe określenie), których doświadczyłeś wraz z wersją [tt]11.2.202.400[/tt] wtyczki od Adobe. Niemniej, nie byłbym w stanie pomóc Ci, wszakże nie korzystam z w/w pliku; po prostu, wszystko działa od ponad dwóch lat, czyli od czasu, kiedy bliżej poznałem tandem [tt]Wheezy/Sid[/tt]. Co dziwne, nigdy nie miałem - i wciąż nie doświadczam - żadnych komplikacji, łamigłówek, czy kłopotów spowodowanych aktualizacją Flash'a do kolejnej wersji. Myślę, że takich czarów nie należy traktować obojętnie :- )

Pozdrawiam.

Cześć [b]Morfik[/b]. Dzięki za podanie zawartości pliku [tt]/etc/adobe/mms.cfg[/tt], dzięki któremu możemy egzekwować, między innymi, pewne - nazwijmy to - globalne konfiguracje dot. zabezpieczeń i prywatności. Wydaje się, że Flash Player, po prostu odczytuje ustawienia z tego pliku, i używa ich do zarządzania w/w funkcjonalnością etc., prawda? Korzystałeś z tego poradnika; [url=http://wwwimages.adobe.com/content/dam/Adobe/en/devnet/flashplayer/pdfs/flash_player_11_2_admin_guide.pdf][color=blue]flash player 11.2 admin guide[/color][/url]?

Pozdrawiam serdecznie.

Cześć. Okay [b]Morfik[/b] dzięki za informacje. Słuchajcie, pojawiła się kolejna aktualizacja bezpieczeństwa dot. Flash Player'a. Ze względu na wczorajsze problemy z dostaniem się na portal [tt]dug.net.pl[/tt], stosowne info zamieszczam dopiero w dniu dzisiejszym. A więc oficjalny komunikat, na stronie Adobe, pojawił się w dniu 9.go września:

[b]2014-09-09 / [color=green]UPDATED[/color] ([color=red]11.2.202.400[/color][/b] ===> [b][color=green]11.2.202.406[/color][/b][b])[/b]   
        [[color=blue]web[/color]] [url=https://packages.debian.org/search?keywords=flashplugin-nonfree][color=blue]contrib/flashplugin-nonfree[/url][/color]
        [b]IDENTYFIKATOR LUKI:[/b] [url=http://helpx.adobe.com/security/products/flash-player/apsb14-21.html][color=blue]APSB14-21[/color][/url]
        [b]KOMENTARZ:[/b] Aktualizacja bezpieczeństwa

Pozdrawiam serdecznie.