Обнаружена серьезная уязвимость в Glibc

Обнаружена серьезная уязвимость в Glibc

В системной библиотеке GNU C Library (glibc), являющейся основой большинства Linux-дистрибутивов, обнаружена критическая уязвимость, позволяющая любому локальному пользователю получить привилегии суперпользователя.



Проблема вызвана игнорированием в Glibc требования спецификации ELF по запрещению использования текущего пути к исполняемому файлу ($ORIGIN) в процессе динамического связывания программ с идентификатором смены владельца или группы (suid/sgid). Проблема проявляется в конфигурациях, в которых пользователь имеет возможность создавать жесткие ссылки в файловой системе, допускающей наличие suid-файлов.

Уязвимость протестирована в Fedora 13 и RHEL 5 / CentOS 5, другие дистрибутивы судя по всему также подвержены проблеме. Исправления пока недоступны, статус выхода обновлений в различных Linux-дистрибутивах можно наблюдать на следующих страницах: Slackware, Gentoo, Mandriva, openSUSE, CentOS, Fedora, RHEL, Debian, Ubuntu.

Проблема была известна и ранее, но разработчики Glibc считали, что эксплуатировать ее невозможно. Используя режим аудита связывания программ (LD_AUDIT) в ld.so, вкупе с подменой $ORIGIN через создание жесткой ссылки и запуском suid-программы через файловый дескриптор, удалось разработать практический метод атаки.

Источник

Подтверждение возраста через MAX закрепят законом

В Госдуме РФ завершено рассмотрение законопроекта о поправках, закрепляющих возможность подтверждения возраста с помощью MAX. Предложенные изменения приняты во втором и третьем чтении и ждут одобрения Совфеда.

Согласно сообщению Думы, при использовании мессенджера с этой целью паспорт уже не понадобится.

Подтверждать возраст через MAX можно будет в следующих случаях:

  • при покупке алкоголя, тоников, табака, а также кальянов и подобных им устройств;
  • при подаче заявки на участие в лотерее;
  • при посещении зрелищных мероприятий.

В MAX уже реализована функциональность, позволяющая на основе данных с Госуслуг создать доказательство совершеннолетия — цифровой ID.

В сентябре новую опцию запустили в пилотном режиме в торговой сети «Магнит». По всей видимости, обкатка проходит успешно.

RSS: Новости на портале Anti-Malware.ru