Баг systemd позволяет привести к сбою в работе Linux, патч уже готов

Баг systemd позволяет привести к сбою в работе Linux, патч уже готов

Специалисты Qualys обнаружили уязвимость systemd, подсистемы управления службами в операционной системе Linux. Если злоумышленник задействует этот баг в атаке, у него появится возможность привести к сбою в работе системы.

Согласно описанию Qualys, эксплуатация не требует высоких прав. Поскольку все необходимые патчи уже доступны, пользователям рекомендуют как можно скорее установить апдейты.

Учитывая, что systemd используется практически во всех современных дистрибутивах Linux, вырисовываются довольно приличные масштабы уязвимости. По словам экспертов, брешь впервые появилась в коде в апреле 2015 года.

Суть бага кроется в некорректном использовании функции alloca(), что в результате приводит к повреждению памяти. Именно так атакующий может вызывать DoS в systemd и всей операционной системе. Для эксплуатации локальный злоумышленник должен смонтировать файловую систему с очень длинным путём.

Такой подход приведёт к использованию слишком большого количества памяти в стеке systemd, в результате чего операционная система аварийно завершит работу.

Исследователи отметили, что с багом нельзя бороться никаким другим способом, кроме установки соответствующего патча. Поэтому пользователям затронутых дистрибутивов настоятельно рекомендуется накатить обновления.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Google: Над ядром Linux должны работать ещё минимум 100 разработчиков

Команда безопасников Google резко раскритиковала разработку ядра Linux: дескать, код недостаточно хорош, поскольку каждую неделю выходят около 100 новых фиксов. По мнению экспертов, над ядром должны работать как минимум 100 дополнительных разработчиков.

Кис Кук, один из девелоперов в штате Google, посвятивший добрую часть своего времени работе над функциями безопасности ядра Linux, опубликовал свои мысли по поводу продолжающихся проблем.

«Каждый стабильный релиз ядра содержит около ста новых фиксов, выпускаемых еженедельно. Это создаёт нагрузку на вендоров, включат тех, которые поддерживают массу продуктов на Linux. В результате приходится либо выбирать только важные патчи, либо поставить себе крайне сложную задачу — установить их все», — пишет Кук.

Специалист частично винит в сложившейся ситуации язык программирования C: «если Linux продолжит использовать C, проблемы не закончатся». Кук также напомнил, что некоторые организации сознательно избегают частых обновлений, поскольку никогда не знаешь, какие проблемы тебе принесёт очередной апдейт.

Кук упомянул инструмент Google под названием Syzkaller, который в настоящее время сообщает о тысячах потенциальных проблем в ядре Linux. А решение тут одно — автоматизировать тестирование и фаззинг, постоянную интеграцию и другими способами облегчить процесс разработки.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru