Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"Локальная root-уязвимость в pam-python"	+/–
Сообщение от opennews (??), 01-Окт-19, 08:44
В предоставляемом проектом pam-python PAM-модуле, позволяющем подключать модули аутентификации на языке Python, выявлена уязвимость (CVE-2019-16729), дающая возможность повысить свои привилегии в системе. При использовании уязвимой версии pam-python (по умолчанию не устанавливается), локальный пользователь может получить доступ с правами root, путём манипуляций с обрабатываемыми в Python по умолчанию переменными окружения (например, можно инициировать сохранение файла с байткодом для перезаписи системных файлов)... Подробнее: https://www.opennet.ru/opennews/art.shtml?num=51592
Ответить | Правка | Cообщить модератору

Сообщения

[Сортировка по времени | RSS]

2. "Локальная root-уязвимость в pam-python"	–4 +/–
Сообщение от Аноним (2), 01-Окт-19, 08:45
Все языки для быстрого изучения и лёгкого написания провоцируют писать с отключённой головой.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	4. "Локальная root-уязвимость в pam-python"	+19 +/–
	Сообщение от Аноним (4), 01-Окт-19, 09:21
	> Все языки для быстрого изучения и лёгкого написания провоцируют писать с отключённой головой. Модуль написан на C
	Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

	10. "Локальная root-уязвимость в pam-python"	+5 +/–
	Сообщение от Аноним (10), 01-Окт-19, 09:51
	Каджый второй язык написан на С, все интерпритаторы, все машины. Мы все умрём.
	Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

	12. "Локальная root-уязвимость в pam-python"	+4 +/–
	Сообщение от Аноним (12), 01-Окт-19, 10:46
	С провоцирует писать с отключенной головой только асм только хардкор.
	Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

	28. "Локальная root-уязвимость в pam-python"	+1 +/–
	Сообщение от eganru (?), 01-Окт-19, 16:12
	только асм я время от времени пишу на asm для mips32r2(то, что сложно написать на C). нет ничего сложного в том, чтобы писать на asm и на мой взгляд это абсолютно не то, что делает код умнее. на мой взгляд коды на asm вводят в ступор людей, что не хотят глубоко вникать. отбивают охоту разбираться. поэтому трезвое решение использовать такие вещи как можно реже. ИМХО.
	Ответить | Правка | ^ к родителю #12 | Наверх | Cообщить модератору

	16. "Локальная root-уязвимость в pam-python"	+/–
	Сообщение от Анонче (?), 01-Окт-19, 11:46
	Так всё правильно, C для >быстрого изучения и лёгкого написания с отключённой головой.
	Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

	20. "Локальная root-уязвимость в pam-python"	–1 +/–
	Сообщение от Gannet (ok), 01-Окт-19, 13:06
	А Java тогда для какой головы?
	Ответить | Правка | ^ к родителю #16 | Наверх | Cообщить модератору

	21. "Локальная root-уязвимость в pam-python"	+6 +/–
	Сообщение от Аноним (21), 01-Окт-19, 13:14
	> А Java тогда для какой головы? Для виртуальной.
	Ответить | Правка | ^ к родителю #20 | Наверх | Cообщить модератору

	14. "Локальная root-уязвимость в pam-python"	+/–
	Сообщение от foo (?), 01-Окт-19, 10:49
	На каком языке написан Exim?
	Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

	38. "Локальная root-уязвимость в pam-python"	+/–
	Сообщение от Аноним (38), 08-Окт-19, 02:29
	На отвратительном его даже Си не назвать. Эти ужасные отступы и оформление требует clang-format применять принудительно.
	Ответить | Правка | ^ к родителю #14 | Наверх | Cообщить модератору

	18. "Локальная root-уязвимость в pam-python"	+/–
	Сообщение от Аноним (18), 01-Окт-19, 11:57
	Некоторые культовые языки для тяжёлого написания провоцируют байто<бить>ствовать, так как в них нет ни нормальных функций для работы со строками, ни функций для работы с файловой системой работающих. Вместо этого есть стандарты, которые принимают десятилетиями, в результате нет ни<растение из семейства крестоцветных>а.
	Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

	23. "Локальная root-уязвимость в pam-python"	+/–
	Сообщение от Лёня Потный (?), 01-Окт-19, 14:04
	Давно говорю, что всё должно быть встроено во всё: ядро в системд, а функции работы с файловой системой, сетью (причём любой) и шифрованием (причём любым) — прямо в язык. Ибо воистину.
	Ответить | Правка | ^ к родителю #18 | Наверх | Cообщить модератору

	34. "Локальная root-уязвимость в pam-python"	+/–
	Сообщение от Аноним (34), 01-Окт-19, 18:28
	>для тяжёлого написания провоцируют А ты не ведись, не мужик что ли?
	Ответить | Правка | ^ к родителю #18 | Наверх | Cообщить модератору

3. "Локальная root-уязвимость в pam-python"	–3 +/–
Сообщение от Аноним (3), 01-Окт-19, 09:14
> В Fedora и RHEL модуль не поставляется. Больше интересно, какая нужда заставила поставлять его в дебиан?
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	6. "Локальная root-уязвимость в pam-python"	+2 +/–
	Сообщение от Аноним (6), 01-Окт-19, 09:25
	Какая тебе разница, поставляется он там или нет? Не надо — не устанавливай.
	Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

	11. "Локальная root-уязвимость в pam-python"	+3 +/–
	Сообщение от Аноним (10), 01-Окт-19, 09:52
	> Больше интересно, какая нужда заставила поставлять $package_name в $distro_name? Бот, уйди.
	Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

	27. "Локальная root-уязвимость в pam-python"	–1 +/–
	Сообщение от IRASoldier_registered (ok), 01-Окт-19, 15:50
	Один из важнейших принципов линуксов - это _свобода выбора_ для пользователя. Намёк ясен или продолжить мысль?
	Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

	29. "Локальная root-уязвимость в pam-python"	–3 +/–
	Сообщение от Леня Потный (?), 01-Окт-19, 16:15
	лолшта? Один из важнейший принципов современных линуксов - свобода моего выбора, как вас пользовать. А тут непорядочек... вот и уязвимость!
	Ответить | Правка | ^ к родителю #27 | Наверх | Cообщить модератору

	32. "Локальная root-уязвимость в pam-python"	+/–
	Сообщение от IRASoldier_registered (ok), 01-Окт-19, 16:36
	Ещё один диванный конспиролог петросянит, прикрывая фрустрацию от цинично попранного чувства своей "свободы" указывать компетентным специалистам что и как им надо делать.
	Ответить | Правка | ^ к родителю #29 | Наверх | Cообщить модератору

5. "Локальная root-уязвимость в pam-python"	–1 +/–
Сообщение от Хомяк Анонима (?), 01-Окт-19, 09:23
Ну я бы поостерёгся юзать питон для такого. Ещё бы емакс туда засунули.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	7. "Локальная root-уязвимость в pam-python"	+/–
	Сообщение от Аноним (7), 01-Окт-19, 09:27
	Ну да, ведь использование %randomname% сразу повышает надёжность, да даже питон в новости про другие языки тоже повышает надёжность - вот парадокс то.
	Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

	15. "Локальная root-уязвимость в pam-python"	–1 +/–
	Сообщение от foo (?), 01-Окт-19, 10:51
	Создатели Exim тоже постеснялись бы.
	Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

	22. "Локальная root-уязвимость в pam-python"	+/–
	Сообщение от Аноним84701 (ok), 01-Окт-19, 13:42
	> Ну я бы поостерёгся юзать питон для такого. Так никто и не юзал: https://sourceforge.net/p/pam-python/code/ci/default/tree/sr... https://bugzilla.suse.com/show_bug.cgi?id=1150510#c1 > not_null_argument_for_strcmp.patch invokes undefined behaviour when strrchr doesn't find a match. 'dot' is a variable not a preprocessor macro, so #ifndef is the wrong construct to use. Best case this leads to a segfault when a Python file without a "." is configured, but the optimizer can end up doing arbitrarily weird things. >
	Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

9. "Локальная root-уязвимость в pam-python"	–1 +/–
Сообщение от Аноним (9), 01-Окт-19, 09:31
Актуальна ли уязвимость для дистрибутива Альт Linux?
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	13. "Локальная root-уязвимость в pam-python"	+1 +/–
	Сообщение от Аноним (12), 01-Окт-19, 10:47
	Сабж самая последняя уязвимость которую следует опасаться в Альте.
	Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

17. "Локальная root-уязвимость в pam-python"	–1 +/–
Сообщение от Аноним (-), 01-Окт-19, 11:51
Казалось бы, при чем тут Gentoo...
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	24. "Локальная root-уязвимость в pam-python"	+1 +/–
	Сообщение от Аноним (24), 01-Окт-19, 14:35
	Прекрати жевать сопли, при чём тут она?
	Ответить | Правка | ^ к родителю #17 | Наверх | Cообщить модератору

19. "Локальная root-уязвимость в pam-python"	+/–
Сообщение от bw (ok), 01-Окт-19, 12:33
Какой полезный модуль, хорошо, что я о нём не знал.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	39. "Локальная root-уязвимость в pam-python"	+/–
	Сообщение от Аноним (38), 08-Окт-19, 02:31
	Реклама модулей через уязвимости =)
	Ответить | Правка | ^ к родителю #19 | Наверх | Cообщить модератору

25. "Локальная root-уязвимость в pam-python"	+/–
Сообщение от anonymous (??), 01-Окт-19, 15:34
Есть причина, почему sudo не работает со скриптовыми языками. Слишком легко подменить окружение скрипта и заставить его работать совсем иначе.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	26. "Локальная root-уязвимость в pam-python"	+1 +/–
	Сообщение от Анонимчжан (?), 01-Окт-19, 15:44
	вот почему интерпретируемые языки следует использовать только для обработки внешних данных или расчетов. никак не встраивать внутрь системы. в лучшем случае обертки над консольными утилитами. конечно перл славился своим могуществом по обработке текстов, но думаю питон тут его легко заменит. вот так и надо было его использовать в маленьких программах обработки, а не пихать в системные.
	Ответить | Правка | ^ к родителю #25 | Наверх | Cообщить модератору

	30. "Локальная root-уязвимость в pam-python"	–1 +/–
	Сообщение от user90 (?), 01-Окт-19, 16:26
	Пфф! s/окружение/содержание (скрипт куда легче модифицировать по сравнению с бинарником)
	Ответить | Правка | ^ к родителю #25 | Наверх | Cообщить модератору

	31. "Локальная root-уязвимость в pam-python"	+/–
	Сообщение от userd (ok), 01-Окт-19, 16:26
	> sudo не работает со скриптовыми языками. Поясните мысль. > Слишком легко подменить окружение скрипта... Даа, но знаете - LD_PRELOAD тоже позволяет достичь многого. И безо всяких скриптовых языков.
	Ответить | Правка | ^ к родителю #25 | Наверх | Cообщить модератору

	33. "Локальная root-уязвимость в pam-python"	+/–
	Сообщение от user90 (?), 01-Окт-19, 17:08
	> Поясните мысль. Как мимокрокодил: возможно это про suid?
	Ответить | Правка | ^ к родителю #31 | Наверх | Cообщить модератору

	35. "Локальная root-уязвимость в pam-python"	+/–
	Сообщение от Аноним (35), 01-Окт-19, 19:38
	ld preload не работает с судом
	Ответить | Правка | ^ к родителю #31 | Наверх | Cообщить модератору

	36. "Локальная root-уязвимость в pam-python"	+1 +/–
	Сообщение от Аноним (36), 02-Окт-19, 01:58
	А так: sudo LD_PRELOAD=./libhook.so ./prog?
	Ответить | Правка | ^ к родителю #35 | Наверх | Cообщить модератору

37. "Локальная root-уязвимость в pam-python"	+/–
Сообщение от dotgggff (?), 02-Окт-19, 07:45
кодга поятвся в андорид?
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема