Индия разрабатывает собственную операционную систему

 Представители Организации оборонных исследований и разработок (DRDO) при Министерстве обороны Индии заявили, что ведомство, в сотрудничестве с целым рядом специалистов, работает над созданием национальной операционной системы, призванной повысить уровень безопасности информационных сетей страны.

По информации The Times of India, над разработкой операционной системы уже более полутора лет работает 150 специалистов, собранных по всей стране, но для реализации проекта потребуются еще около трёх лет.

Генеральный директор DRDO заявил, что Индия нуждается в национальной операционной системе.

Он подчеркнул, что абсолютно все существующие операционные системы, используемые на данный момент (независимо от того создаются ли они на базе Windows или Linux), содержат многочисленные уязвимости, и множество других реальных и потенциальных угроз безопасности. Именно поэтому для Индии крайне важно создать собственную операционную систему.

Чиновник также отметил, что это исключительно национальный проект, реализуемый только индийскими специалистами, и не допускающий участия иностранцев.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

11-летняя уязвимость в Linux-команде wall позволяла утащить sudo-пароли

Последние 11 лет в команде «wall» пакета «util-linux», являющегося частью операционной системы Linux, присутствовала уязвимость, позволяющая атакующему без высоких прав утащить пароли пользователя или изменить содержимое буфера обмена.

Проблему отслеживают под идентификатором CVE-2024-28085, эксперты дали ей имя WallEscape. Согласно описанию, брешь можно найти во всех версиях пакета за последние 11 лет, вплоть до выпущенной на днях 2.40.

К счастью, эксплуатация бага возможна только при определённых сценариях, однако она демонстрирует незаурядный способ кражи учётных данных целевого пользователя.

У атакующего должен быть доступ к Linux-серверу, на котором уже сидят несколько юзеров, подключившись в терминале. Такое бывает, например, когда студенты выполняют задания в режиме онлайн.

На WallEscape указал исследователь в области кибербезопасности Скайлер Ферранте (TXT). По его словам, это проблема некорректной нейтрализации escape-последовательностей команды «wall».

Это команда используется в Linux для передачи сообщений на терминалы всех пользователей, вошедших в одну систему (например, тот же сервер). Из-за некорректной фильтрации при обработке ввода неаутентифицированный злоумышленник может использовать escape-символы для создания фейкового запроса SUDO.

Если целевой пользователь клюнет на уловку и введёт пароль в запрос, атакующий спокойно получит его. Следует учитывать, что эксплуатация возможна только в том случае, если утилита «mesg» активна и у команды «wall» есть права на setgid.

Код демонстрационного эксплойта доступен на GitHub. Чтобы устранить уязвимость, администраторам достаточно забрать права на setgid у команды «wall» или же урезать функциональность передачи сообщений в терминал (использовать флаг «n» с командой «mesg»).

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru