Pred niekoľkými dňami bola zverejnená chyba nájdená na serveri X.Org Server, ktorá ohrozuje bezpečnosť systémov Linux a BSD.
Zamestnanci spoločnosti Varovanie pred novým narušením bezpečnosti varovala ZDNet v X.Org, ktorá umožnila útočníkovi získať obmedzený prístup do systému.
O zistenej poruche
Zistená chyba je na serveri X.Org Umožnilo to útočníkovi získať obmedzený prístup do systému, ktorý by mohol byť cez terminál lokálne alebo v relácii SSH na diaľku, čím sa podarilo zmeniť povolenia a dosiahnuť koreňový režim.
Zistená zraniteľnosť nepatrí do kategórie porúch „nebezpečného“ typu A tiež nejde o závadu, ktorá by sa mohla trápiť s dobre naplánovanými počítačmi s vysokou úrovňou zabezpečenia.
Ale táto malá chyba dobre použitá útočníkom, ktorý má dostatok vedomostí, môže rýchlo premeniť niečo, čo nemusí mať strach zo strašnej invázie, hovorí Catalin Cimpanu.
Nemôže sa použiť na preniknutie do zabezpečených počítačov, ale pre útočníkov je stále užitočná, pretože dokáže z rýchlych zásahov rýchlo urobiť chybné piruety.
Zatiaľ čo zraniteľnosť nemohla byť ignorovaná komunitami Linux a infosec, ktoré minulý týždeň po zverejnení svojej existencie tejto bezpečnostnej chyby začali pracovať na oprave.
Porucha bola zistená už pred rokmi
Varoval to bezpečnostný konzultant, ktorého vypočula ZDNet, Narendra Shinde Na túto chybu poukázali v správe z mája 2016 a na to, že balík servera X.Org obsahuje túto chybu zabezpečenia ktorý môže útočníkom poskytnúť oprávnenie root a môže zmeniť akýkoľvek súbor, dokonca aj ten najdôležitejší pre operačný systém.
Táto zraniteľnosť bol identifikovaný ako CVE-2018-14665 a sledovalo sa, čo mohlo spôsobiť takúto chybu.
Nesprávne zaobchádzanie s dvoma riadkami kódu, čo sú riadky „-logfile“ a „-modulepath“, by útočníkom umožnilo vložiť ich škodlivý kód.
Táto chyba je skontrolovaná, keď je server X.Org spustený s oprávneniami root a je to bežné v mnohých distribúciách.
Ovplyvnené distribúcie
undefined Vývojári nadácie X.Org už plánujú nové riešenie pre X.Org verzie 1.20.3 a tým vyriešiť tieto problémy spôsobené týmito dvoma riadkami.
Distribúcie ako Red Hat Enterprise Linux, Fedora, CentOS, Debian, Ubuntu a OpenBSD už boli potvrdené ako ovplyvnené, aj keď sú ovplyvnené aj ďalšie menšie projekty.
Cieľom bezpečnostných aktualizácií obsiahnutých v balíku je opraviť zraniteľnosť servera X.Org, ktorá by sa mala nasadiť v priebehu niekoľkých hodín alebo dní.
OpenBSD #0 deň Xorg LPE cez CVE-2018-14665 sa dá spustiť zo vzdialenej relácie SSH, nemusí byť na lokálnej konzole. Útočník môže doslova ovládnuť napadnuté systémy s 3 alebo menej príkazmi. využívať https://t.co/3FqgJPeCvO ? pic.twitter.com/8HCBXwBj5M
- Hacker Fantastic (@hackerfantastic) Októbra 25, 2018
Okrem toho, v Linux Mint a Ubuntu bola oprava už vydaná a potvrdená, stačí len aktualizovať systémZatiaľ čo ostatné distribúcie ešte nevedia, či majú v úmysle patch vydať alebo počkať na ten, ktorý vydá vývojová skupina X.Org.
„Útočník môže doslova ovládnuť postihnuté systémy s 3 alebo menej príkazmi,“ uviedol Hickey na twitteri. "Existuje mnoho ďalších spôsobov zneužitia, napríklad crontab." Je sranda, aké je to triviálne.
To ukazuje, že Linux a BSD nie sú úplne bezpečné systémy, v porovnaní so systémami Windows sú to však spoľahlivé a bezpečné alternatívy.
Konečne Preto problémy ako tento na X.org a ďalšie, o ktorých sa už dávno hovorilo, opäť demonštrujú dôležitosť aktívneho vývoja alternatív, ako je Wayland.
Pretože X.org je dosť starý protokol a teraz ho treba nahradiť, aj keď bohužiaľ, aj keď máme alternatívy ako Wayland alebo Mir, nie sú dosť pevné na to, aby poskytli použiteľnosť pre všetkých.
Tieto alternatívy sú už v niektorých distribúciách Linuxu a boli testované, aj keď v niektorých nefungovala podľa očakávaní (napríklad Ubuntu s Waylandom). K týmto alternatívam k X.org čaká ešte dlhá cesta, kým sa z ktorejkoľvek z nich stane štandard v systéme Linux.