Prieš kelias dienas buvo paskelbta aptikta „X.Org“ serverio klaida, kelianti pavojų „Linux“ ir BSD sistemų saugumui.
Personalo „ZDNet“ buvo tas, kuris įspėjo apie naują saugumo pažeidimą „X.Org“ leido užpuolikui gauti ribotą prieigą prie sistemos.
Apie rastą gedimą
Rastas gedimas yra X.Org serveryje Tai leido įsibrovėliui gauti ribotą prieigą prie sistemos, kuri gali būti per terminalą vietoje arba per SSH sesiją nuotoliniu būdu, tokiu būdu sugebant pakeisti leidimus ir pasiekti „Root“ režimą.
Rastas pažeidžiamumas Tai nėra „pavojingų“ tipo gedimų kategorija Tai taip pat nėra sutrikimas, kuris gali kelti nerimą gerai suplanuotiems, labai saugiems kompiuteriams.
Tačiau šis nedidelis trūkumas, kurį gerai užpuolikas turi pakankamai žinių, gali greitai pakeisti tai, kas neturi nerimą keliančios siaubingos invazijos, sako Catalinas Cimpanu.
Jo negalima naudoti skverbiantis į saugius kompiuterius, tačiau jis vis tiek yra naudingas užpuolikams, nes tai gali greitai paversti paprastus įsilaužimus klaidingais piruetais.
Nors „Linux“ ir „infosec“ bendruomenės negalėjo ignoruoti pažeidžiamumo, kuri praėjusį ketvirtadienį buvo viešai paskelbta apie šio saugumo trūkumo buvimą, pradėjo dirbti su taisymu.
Gedimas jau buvo nustatytas prieš daugelį metų
ZDNet išklausyta saugumo konsultantė Narendra Shinde perspėjo Šis trūkumas buvo nurodytas jų 2016 m. Gegužės mėn. Ataskaitoje ir kad X.Org serverio pakete yra šis pažeidžiamumas kuris gali suteikti užpuolikams root teises ir pakeisti bet kokį failą, net svarbiausią operacinei sistemai.
Šis pažeidžiamumas buvo identifikuotas kaip CVE-2018-14665 ir joje buvo pastebėta, kas galėjo sukelti tokią klaidą.
Neteisingai tvarkant dvi kodo eilutes, ty eilutes „-logfile“ ir „-modulepath“, įsibrovėliai būtų galėję įterpti savo kenkėjišką kodą.
Ši klaida nuskaitoma, kai „X.Org Server“ veikia su pagrindinėmis teisėmis ir tai būdinga daugeliui sričių.
Paveikti paskirstymai
Los „X.Org Foundation“ kūrėjai jau planuoja naują sprendimą X.Org versijai 1.20.3 ir taip išspręsti šias šių dviejų eilučių keliamas problemas.
Paskirstymai patinka „Red Hat Enterprise Linux“, „Fedora“, „CentOS“, „Debian“, „Ubuntu“ ir „OpenBSD“ jau buvo patvirtinti kaip paveikti, nors tai daro įtaką ir kitiems mažesniems projektams.
Pakete esantys saugos naujinimai skirti ištaisyti „X.Org“ serverio pažeidžiamumą, kuris turėtų būti įdiegtas per kelias kitas valandas ar dienas.
OpenBSD # 0 diena „Xorg LPE“ per CVE-2018-14665 galima suaktyvinti iš nuotolinio SSH seanso, nereikia būti vietinėje konsolėje. Užpuolikas gali pažodžiui perimti paveiktas sistemas naudodamas 3 ar mažiau komandų. išnaudoti https://t.co/3FqgJPeCvO ? pic.twitter.com/8HCBXwBj5M
- „Hacker Fantastic“ (@hackerfantastic) Spalis 25, 2018
Be to, „Linux Mint“ ir „Ubuntu“ pataisymas jau buvo išleistas ir patvirtintas, jums tereikia atnaujinti sistemąNors kiti paskirstymai dar nežino, ar jie ketina išleisti pataisą, ar laukti, kol ją išleis „X.Org“ kūrimo grupė.
„Užpuolikas gali pažodžiui perimti paveiktas sistemas naudodamas 3 ar mažiau komandų“, - „Twitter“ sakė Hickey. „Yra daugybė kitų išnaudojimo būdų, pavyzdžiui,„ crontab “. Juokinga, kaip tai trivialu.
Tai rodo, kad „Linux“ ir BSD nėra visiškai saugios sistemos, tačiau jos yra patikimos ir saugios alternatyvos, palyginti su „Windows“ sistemomis.
Pagaliau Štai kodėl tokie klausimai X.org ir kiti, apie kuriuos jau seniai buvo žinoma, dar kartą parodo aktyvaus alternatyvų, tokių kaip Wayland, plėtros svarbą.
Kadangi „X.org“ yra gana senas protokolas ir jį reikia pakeisti dabar, nors, deja, net jei turime alternatyvų, tokių kaip „Wayland“ ar „Mir“, jie nėra pakankamai tvirti, kad visiems būtų galima juos naudoti.
Šios alternatyvos jau yra kai kuriuose „Linux“ paskirstymuose ir yra išbandytos, nors kai kuriose jos neveikė taip, kaip tikėtasi (pvz., „Ubuntu“ su „Wayland“ atveju). Šios „X.org“ alternatyvos dar turi nueiti ilgą kelią, kad bet kuri iš jų galėtų tapti „Linux“ standartu.