Πρόσφατα εντοπισμένο linux bug καθιστά ευάλωτους την πλειοψηφία των linux servers

[nnn]

Ένα πρόσφατα εντοπισμένο linux bug, μπορεί να προκαλέσει παράπλευρες απώλειες στην λειτουργία του Internet.

Το GHOST -το όνομα προέρχεται από την gethostbyname function- δίνει την δυνατότητα απομακρυσμένης πρόσβασης σε επιτιθέμενους οι οποίοι μετά μπορούν να μολύνουν με κακόβουλο λογισμικό email και hosting servers.

Ως τώρα δεν έχει γίνει γνωστή κάποια εκμετάλευση του GHOST, αλλά η Qualys -που το εντόπισε- σύντομα πρόκειται να δώσει λεπτομέρειες για το πως λειτουργεί, εκθέτοντας σε κίνδυνο πολλούς υπολογιστές παγκοσμίως.

Ενώ υπάρχει διαθέσιμο patch για το GHOST, η πλειοψηφία των παραγωγικών linux servers δεν το έχουν ακόμα εφαρμόσει, παραμένοντας ευάλλωτοι.


Πηγή : Gizmodo

[Nikiforos]

GHOST, a critical Linux security hole, is revealed
Summary:This security hole, which impacts many older versions of Linux and some current ones, should be patched as soon as possible.

Researchers at cloud security company Qualys have discovered a major security hole, GHOST (CVE-2015-0235), in the Linux GNU C Library (glibc). This vulnerability enables hackers to remotely take control of systems without even knowing any system IDs or passwords.

Qualys alerted the major Linux distributors about the security hole quickly and most have now released patches for it. Josh Bressers, manager of the Red Hat product security team said in an interview that, "Red Hat got word of this about a week ago. Updates to fix GHOST on Red Hat Enterprise Linux (RHEL) 5, 6, and 7 are now available via the Red Hat Network."

This hole exists in any Linux system that was built with glibc-2.2, which was released on November 10, 2000. Qualys found that the bug had actually been patched with a minor bug fix released on May 21, 2013 between the releases of glibc-2.17 and glibc-2.18.

However, this fix was not classified as a security problem, and as a result, many stable and long-term-support distributions are wide open today. Linux systems that are liable to attack include Debian 7 (Wheezy), RHEL 5, 6, and 7, CentOS 6 and 7 and Ubuntu 12.04. Besides Red Hat's fix, Debian is currently repairing its core distributions, Ubuntu has patched the bug both for 12.04 and the older 10.04, and I'm told the patches are on their way for CentOS.

The security hole can be triggered by exploiting glibc's gethostbyname functions. This function is used on almost all networked Linux computers when the computer is called on to access another networked computer either by using the /etc/hosts files or, more commonly, by resolving an Internet domain name with Domain Name System (DNS).

To exploit this vulnerability, all an attacker needs to do is trigger a buffer overflow by using an invalid hostname argument to an application that performs a DNS resolution. This vulnerability then enables a remote attacker to execute arbitrary code with the permissions of the user running DNS. In short, once an attacker has exploited GHOST they may be capable of taking over the system.

"GHOST poses a remote code execution risk that makes it incredibly easy for an attacker to exploit a machine. For example, an attacker could send a simple email on a Linux-based system and automatically get complete access to that machine," said Wolfgang Kandek, Qualys's CTO in a statement. "Given the sheer number of systems based on glibc, we believe this is a high severity vulnerability and should be addressed immediately. The best course of action to mitigate the risk is to apply a patch from your Linux vendor."

Unlike some security announcements, Kandek is not crying wolf. Qualys has developed a proof-of-concept in which simply sending a specially created e-mail to a mail server enabled them to create a remote shell to the Linux machine. According to Qualys, "This bypasses all existing protections (like ASLR, PIE and NX) on both 32-bit and 64-bit systems."

My advice to you is to now, not later today, now, update your Linux system as soon as possible. After patching it, you should then reboot the system. I know for Linux it's rarely needed to reboot, but since gethostbyname is called on by so many core processes, such as auditd, dbus-daem, dhclient, init, master, mysqld, rsyslogd, sshd, udevd, and xinetd, you want to make absolutely sure that all your system's running programs are using the patched code.

ΠΗΓΗ : http://www.zdnet.com/article/critica...ty-hole-found/

[malakudi]

Αν έχω καταλάβει σωστά την είδηση, το πρόβλημα διορθώθηκε μεταξύ glibc 2.17 και 2.18 αλλά επειδή το patch δε θεωρήθηκε σημαντικό, δεν έχει γίνει backport στις εκδόσεις glibc που χρησιμοποιούν παλιότερα linux distros. Έτσι, ενώ ubuntu 14.04 ή Debian Jessie δε χρειάζονται αναβάθμιση, τα παλιότερα Ubuntu 12.04 ή Debian Wheezy χρειάζονται.
Φυσικά για να μπορεί να γίνει remote exploit θα πρέπει το μηχάνημα να τρέχει κάποια υπηρεσία σε κάποια ανοιχτή πόρτα, ο κώδικας της οποίας να κάνει χρήση της gethostbyname.

[charly130.mk2]

@malakudi

Σωστά. Οι μόνοι που είναι εκτεθειμένοι είναι όσοι τρέχουν παλαιότερες εκδόσεις ΚΑΙ τρέχουν κάποιο service που χρησιμοποιεί το συγκεκριμένο call της συγκεκριμένης βιβλιοθήκης σε ανοιχτή πόρτα. ΟΜΩΣ, ως γνωστόν, πολλοί δεν κάνουν συχνά upgrade τα συστήματα τους, ειδικά αν είναι σε παραγωγή (θεωρείται υψηλού ρίσκου αλλαγή). Επίσης, διανομές όπως το RHEL/CentOS που προτιμάνε την σταθερότητα σε σχέση με τα καινούργια features, παραμένουν (μέχρι να patch-αριστούν τουλάχιστον) εκτεθειμένες γιατί δεν χρησιμοποιούν πρόσφατες εκδόσεις kernel, βιβλιοθηκών, κλπ. Σε αντίθεση, διανομές όπως το ubuntu αλλάζει πολύ συχνά (υπερβολικά συχνά για μερικούς), αλλά συχνά αποφεύγει τέτοιου είδους κακοτοπιές. Από την άλλη βέβαια με το να αλλάζει τόσο συχνά θεωρείται λιγότερο stable (με την έννοια ενός stack που δεν μεταβάλλεται συνέχεια, όχι δλδ ότι 'σκάει') για παραγωγική δουλειά.

Take your pick...

[raidenfreeman]

:O Η gethostbyname() είναι εξαιρετικά βασική συνάρτηση! Αναρωτιέμαι πως δεν παρατηρήθηκε νωρίτερα το κενό.

[charly130.mk2]

Αναρωτιέμαι πως δεν παρατηρήθηκε νωρίτερα το κενό.

Δεν είναι ούτε η πρώτη, ούτε η τελευταία που ένα σημαντικό λάθος παραμένει άγνωστο για πολλά χρόνια... That's life.

[mrsaccess]

Τελικά το bug είχε βρεθεί και διορθωθεί από τα πρώτα μισά του 2013. Επίσης η Google «ξανα-ανακάλυψε» (δεν περνούσαν updates στο Chrome OS με απλά λόγια) το bug τον Απρίλιο του 2014 και το διόρθωσε χωρίς να κάνει θέμα.

Στα τέλη του 2014 λοιπόν, η Qualsys το ανακάλυψε για 3η φορά.
Δεν έστειλε όμως fix, δεν το διόρθωσε σιωπηρά. Αντίθετα προσέλαβε designers για να του φτιάξουν logo () και εταιρεία PR για να το ανακοινώσει ( ).

Το bug δεν ήταν τόσο σοβαρό αλλά η εταιρεία PR κατάφερε και το «διέρρευσε» ώρες πριν την επίσημη ανακοίνωση γιατί προφανώς με αυτό το τρόπο πρέπει να αντιμετωπίζουμε ένα δυνητικό zero-day.

http://lwn.net/Articles/630866/

[charly130.mk2]

Στα τέλη του 2014 λοιπόν, η Qualsys το ανακάλυψε για 3η φορά.
Δεν έστειλε όμως fix, δεν το διόρθωσε σιωπηρά. Αντίθετα προσέλαβε designers για να του φτιάξουν logo () και εταιρεία PR για να το ανακοινώσει ( ).http://lwn.net/Articles/630866/

Ε ναι, γιατί αλλιώς πως θα μάθουν όλοι τι σούπερ γουάου εταιρία είναι;;;