Forum Debian Users Gang

@hi -- a domy to nie są tak robione, żeby łato można było się do nich włamać? Pokaż mi kraty w oknach czy pancerne szyby albo jakieś zapory ogniotrwałe i ściany grubości metra, a całość schowana głęboko pod Racoon City... xD Właśnie po to się stosuje zabezpieczenia, by atakujący tak łatwo nie mógł się poruszać po naszym środowisku... Poza tym, ja się nie łudzę, że mam system jak skała, ja to po prostu wiem.... Przekonałem się parę miechów temu jak pendrive próbowałem zamontować w systemie i mi nie wyszło, bo zapomniałem o regułach polkita... xD Ale system zabronił podłączyć obcego pendrive, a skoro mi zabronił, to i każdemu, kto by próbował coś podłączyć, również... i o to chodzi w tych zabezpieczeniach. :]

@Jacekalex zaraz popatrzę na te 4.19

Ostatnio edytowany przez morfik (2018-11-08 17:49:04)

Ale ty widzisz, jaki tam jest fix? kernel.unprivileged_userns_clone=0 . To było poprawione już od początku. Ale z takim ustawieniem to przeglądarki się rzucają, i tego dotyczy ten wątek.

W sumie to tylko jeden został fix'nięty w kodzie. Drugi to nie wiem przez co, a trzeci przez ustawienie 0 w kernel.unprivileged_userns_clone . Więc co najmniej jeden błąd wciąż jest do wykorzystania. xD

Ostatnio edytowany przez morfik (2018-11-08 18:03:40)

No tak, wszystkie chodzą póki co za wyjątkiem chromium v70. Więc skoro wszystkie poza FF są podobne do chromium, to pewnie niedługo też przestaną działać.

Nie znam szczegółów tego ataku to ci nie powiem jak on działa i czy cokolwiek w naszej rzeczywistości jest jeszcze na to podatne poza płytką ubuntu 8.04, która mam jeszcze w szafce. xD

[quote="morfik"]Nie znam szczegółów tego ataku to ci nie powiem jak on działa i czy cokolwiek w naszej rzeczywistości jest jeszcze na to podatne poza płytką ubuntu 8.04, która mam jeszcze w szafce. xD[/quote]
https://github.com/MorteNoir1/virtualbox_e1000_0day

@ Jacekalex już chyba wiem o co chodzi z tym brakiem kernel.unprivileged_userns_clone u ciebie. To właśnie był ten fix, tj. danie możliwości wyłączenia tego syfu w debianie. W debianowej 4.19 (z exp) ten parametr dalej figuruje. Czyli nie masz tego pacza w swoim kernelu i masz podatny system na tego CVE. xD

Co do wersji przeglądarki, z reguły jak się aktualizują chrome, chromium i opera u mnie, to ten sam zestaw rzeczy chcą (czasem zmieniane nazwny chromium na opera, itp). Ale ja mam obecnie niby:

$ chromium --version
Chromium 70.0.3538.67 built on Debian buster/sid, running on Debian buster/sid

$ google-chrome --version
Google Chrome 72.0.3595.2 dev

I nawet na tej v70 google-chrome również działał, czyli coś pozmieniali w chromium.

Na bugtrackerze jest jeszcze coś takiego:
https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=913116&archived=False&mbox=no

Wygląda na to, że ja nie mam chromium-sandbox w systemie.

Zaraz to sprawdzę czy działa. xD

[quote="morfik"]serio, bug w aplikacji, którego nie chcą fixnąć przez pół roku? Właśnie po to jest apparmor, by tego typu błędy ograniczyć[/quote]
w tym przypadku prędzej grsecurity, tylko kto tego używa na desktopie?

[quote="morfik"]Nawet jeśli by u mnie tego typu błąd zaistniał i miałbym profi[/quote]
widzę, że u Pana remedium na wszystko to apparmor, niezłe podejście ale zalecam jednak twarde zejście do rzeczywistości i wysłuchanie tego wykładu w całości (szczególnie drugą część o backdorach w oprogramowaniu sprzętowym:

https://www.youtube.com/watch?v=1wO-o_mIUTU

[quote="morfik"]idealny przykład, dlaczego powinniśmy jednak stosować zabezpieczenia.[/quote]
nie napisałem nigdzie, że nie powinniśmy zabezpieczać swoich maszyn, jedyne co to śmieszą mnie takie frazy:

[quote="morfik"]Poza tym, ja się nie łudzę, że mam system jak skała, ja to po prostu wiem[/quote]
sorry ale nawet niebezpieczniaki wiedzą, że to gówno prawda i traktują swoje sprzęty tak jak te które hakują tylko trochę lepiej je zabezpieczają :) Poczytaj co w tym temacie pisze gostek z z3s i jakiego systemu używa i co na jego temat mówi

Ostatnio edytowany przez hi (2018-11-08 20:27:32)