Баг Looney Tunables открывает root-доступ в популярных дистрибутивах Linux

Баг Looney Tunables открывает root-доступ в популярных дистрибутивах Linux

Баг Looney Tunables открывает root-доступ в популярных дистрибутивах Linux

Уязвимость под названием Looney Tunables затрагивает популярные дистрибутивы Linux и позволяет атакующему получить права root. Корень проблемы — возможность переполнения буфера в загрузчике ld.so библиотеки GNU C.

Упомянутая библиотека (glibc) отвечает за базовую функциональность; например, за системные вызовы: open, malloc, printf, exit и пр. Она необходима для запуска и работы софта.

Загрузчик в glibc также имеет большое значение и отвечает за подготовку и запуск программ в системе Linux.

Команда Qualys Threat Research Unit обнаружила уязвимость в glibc версии 2.34 в апреле 2021 года. Тогда брешь получила идентификатор CVE-2023-4911. Саид Абаси, один из исследователей, описал (TXT) брешь так:

«Успешная эксплуатация уязвимости привела к получению root-прав в дистрибутивах Fedora, Ubuntu и Debian. Другими словами, это весьма распространённая проблема с большим потенциальным охватом пользователей».

«Мы решили пока не публиковать код нашего эксплойта, однако в скором времени другие специалисты могут подготовить свои варианты и слить их в открытый доступ».

Уязвимость возникает в момент обработки переменной среды GLIBC_TUNABLES на установках Debian 12 и 13, Ubuntu 22.04 и 23.04, а также Fedora 37 и 38 по умолчанию.

Red Hat выпустила собственное описание бага, уточнив, что злоумышленники могут использовать специально подготовленные вредоносные переменные GLIBC_TUNABLES при запуске бинарников с правами SUID.

ГАИ проиграла суд против роботов-доставщиков

Московский городской суд отклонил жалобу ГАИ на решение суда первой инстанции, который не усмотрел в действиях роботов-доставщиков состава административного правонарушения, связанного с нарушением Правил дорожного движения. Ранее ГАИ обвинило дочернюю компанию Яндекса — «Рободоставку» — в нарушении ПДД.

Поводом для разбирательства стало происшествие 7 марта, когда инспектор ГАИ счёл, что робот-доставщик, передвигавшийся по тротуару, создаёт помехи пешеходам.

По мнению инспектора, это подпадало под статью 12.33 КоАП РФ. Компании «Рободоставка» в этом случае грозил штраф в размере 300 тыс. рублей.

Представители Яндекса с такой трактовкой не согласились, указав, что в действиях роботов-доставщиков отсутствует и не может присутствовать умысел. Дело было рассмотрено в Мещанском районном суде Москвы, который поддержал позицию компании.

«Роботы-доставщики не относятся к транспортным средствам, определённым нормами действующего законодательства. Как следует из видеозаписи, робот-доставщик передвигался по краю тротуара, не перекрывая пешеходную зону, автоматически останавливался при приближении людей. Пешеходы продолжали движение. Контакта, вынужденного сближения, опасных манёвров или остановок зафиксировано не было. Следовательно, объективных признаков угрозы безопасности дорожного движения не имелось», — такую выдержку из решения суда приводит Autonews.

ГАИ с таким решением не согласилась и подала жалобу в Московский городской суд. Однако Мосгорсуд оставил её без удовлетворения. Решение было принято ещё 5 февраля, но опубликовано только вечером 9 февраля.

«Мы работаем над тем, чтобы роботы-доставщики безопасно и корректно интегрировались в городскую среду и городскую инфраструктуру в рамках экспериментального правового режима, а также находимся в постоянном взаимодействии с профильными ведомствами. Подобные кейсы помогают формировать и развивать понятные правила использования автономных устройств в городе по мере накопления практического опыта», — прокомментировали судебное решение в Яндексе.

RSS: Новости на портале Anti-Malware.ru