Bir kaç gün önce X.Org Sunucusunda bulunan bir hata yayınlandı ve Linux ve BSD sistemlerinin güvenliğini riske attı.
Çalışanları ZDNet, yeni bir güvenlik ihlali uyarısını yapan kişiydi Bir saldırganın sisteme sınırlı erişim sağlamasına izin veren X.Org'da.
Bulunan hata hakkında
Bulunan hata X.Org Sunucusundadır İstilacıya yerel olarak terminal yoluyla veya uzaktan bir SSH oturumunda olabilecek sisteme sınırlı erişim sağladı, böylece izinleri değiştirmeyi ve Kök moduna ulaşmayı başardı.
Güvenlik açığı bulundu "Tehlikeli" tip arızalar kategorisine girmez. Ayrıca iyi planlanmış, yüksek güvenlikli bilgisayarları endişelendirebilecek bir aksaklık da değil.
Ancak yeterli bilgiye sahip bir saldırgan tarafından iyi kullanılan bu küçük kusur, korkunç bir istilayı endişelendirmeyen bir şeyi hızla dönüştürebilir., diyor Catalin Cimpanu.
Güvenli bilgisayarlara sızmak için kullanılamaz, ancak saldırganlar için yine de yararlıdır çünkü basit izinsiz girişleri hızlı bir şekilde hatalı piruetlere dönüştürebilir.
Güvenlik açığı Linux ve infosec toplulukları tarafından göz ardı edilemese de, geçen Perşembe günü bu güvenlik açığının varlığı kamuoyuna duyurulduğunda, düzeltme üzerinde çalışmaya başladı.
Başarısızlık yıllar önce tespit edilmişti
ZDNet, Narendra Shinde tarafından dinlenen bir güvenlik danışmanı, Bu kusur, Mayıs 2016 raporlarında belirtilmiş ve X.Org Sunucu paketinin bu güvenlik açığını içerdiği belirtilmiştir. bu, saldırganlara kök ayrıcalıkları verebilir ve işletim sistemi için en önemli olanları da dahil olmak üzere herhangi bir dosyayı değiştirebilir.
Bu güvenlik açığı CVE-2018-14665 olarak tanımlandı ve içinde böyle bir hataya neyin neden olabileceği gözlendi.
"-Logfile" ve "-modulepath" satırları olmak üzere iki satır kodun yanlış işlenmesi, işgalcilerin kötü amaçlı kodlarını eklemelerine izin verirdi.
Bu hata, X.Org Sunucusu kök ayrıcalıklarıyla çalışırken taranır ve bu birçok dağıtımda yaygındır.
Etkilenen dağılımlar
Jardines de Viveros X.Org Foundation geliştiricileri zaten yeni bir çözüm planlıyor X.Org sürüm 1.20.3 için ve böylece bu iki satırın neden olduğu bu sorunları çözün.
Gibi dağılımlar Red Hat Enterprise Linux, Fedora, CentOS, Debian, Ubuntu ve OpenBSD'nin etkilendiği onaylandıdiğer küçük projeler de etkilense de.
Paketin içerdiği güvenlik güncellemeleri, önümüzdeki birkaç saat veya gün içinde devreye alınması gereken X.Org Sunucusu güvenlik açığını düzeltmeyi amaçlamaktadır.
OpenBSD #0day CVE-2018-14665 üzerinden Xorg LPE, uzak bir SSH oturumundan tetiklenebilir, yerel bir konsolda olması gerekmez. Bir saldırgan, 3 veya daha az komutla, etkilenen sistemleri tam anlamıyla devralabilir. istismar etmek https://t.co/3FqgJPeCvO ? pic.twitter.com/8HCBXwBj5M
- Hacker Fantastik (@hackerfantastic) 25 Ekim 2018
Ayrıca, Linux Mint ve Ubuntu'da düzeltme zaten yayınlandı ve onaylandı, sadece sistemi güncellemeniz gerekiyorDiğer dağıtımlar hala yamayı yayınlamayı veya X.Org geliştirme grubu tarafından piyasaya sürülmesini bekleyip beklemeyeceklerini bilmiyorlar.
Hickey Twitter'da "Bir saldırgan, etkilenen sistemleri 3 veya daha az komutla tam anlamıyla ele geçirebilir" dedi. “Crontab gibi yararlanmanın başka yolları da var. Ne kadar önemsiz olduğu komik.
Bu, Linux ve BSD'nin tamamen güvenli sistemler olmadıklarını, ancak Windows sistemlerine kıyasla sağlam ve güvenli alternatifler olduklarını göstermektedir.
Nihayet Bu nedenle, X.org'daki bunun gibi konular ve uzun zaman önce bilinen diğerleri, Wayland gibi alternatiflerin aktif geliştirilmesinin önemini bir kez daha gösteriyor.
X.org oldukça eski bir protokol olduğundan ve şimdi değiştirilmesi gerektiğinden, ne yazık ki Wayland veya Mir gibi alternatiflerimiz olsa bile, bunlar herkese kullanılabilirlik sağlayacak kadar sağlam değil.
Bu alternatifler halihazırda bazı Linux dağıtımlarında bulunmaktadır ve bazılarında beklendiği gibi çalışmamasına rağmen test edilmiştir (Wayland ile Ubuntu durumu böyledir). X.org'a yönelik bu alternatiflerin, bunlardan herhangi birinin Linux içinde bir standart haline gelmeden önce kat edilmesi gereken hala uzun bir yolu var.