Itt a 2.4.18 második RC kiadása. Tosatti reméli, hogy hamarosan kiadható lesz a végleges 2.4.18 kernel.

Kernel.org Mirrors

Subject: Linux 2.4.18-rc2


From: Marcelo Tosatti


Date: Mon, February 18, 2002 12:16 pm

Well hopefully have a 2.4.18 pretty soon..

Letölthető a mirrorokról.

Változások logja:rc2:


- Make get_user_pages handle VM_IO areas


gracefully (Manfred Spraul)


- Fix SMP race on PID allocation (Erik A. Hendriks)


- Fix SMP race on dnotify scheme (Alexander Viro)


- Add missing checks to shmem_file_write (Alan Cox)

Szeretnénk az egyetemen használni az Mplayer-t, de mielőtt használnánk, szeretnénk tudni, hogy jogtisztán tesszük-e ezt. Gondolok itt az Mplayer win32 codec-jeire.

Tehát a kérdés:

Milyen licence feltételek vonatkoznak az Mplayer által használt win32 codec-ekre? Használhatók -e szabadon? Vagy van-e valami felhasználási megkötés rájuk?

Csomag: hanterm


Támadhatóság: Puffer-túlcsordulás


Probléma típus: helyi


Debian-specifikus: nem

Számos puffertúlcsordulási hibát találtak a hanterm nevű terminálemulátor programban, ami egy xterm származék, és amely koreai karakterek írását-olvasását is tudja.

A hiba lehetőséget ad arra, hogy a felhasználók az utmp csoport lehetőségeivel éljenek, és így az utmp és wtmp fájlokat módosítsák.


A hibát a stabil disztribúcióban a 3.3.1p17-5.2 verzió javítja, míg a fejlesztői változatban a 3.3.1p18-6.1 verzió.

A frissítés mikéntjéről lásd a FAQ ide vonatkozó részét.

A hibáról a DSA-112-1 hibajelentésben olvashatsz.

Két héten belül, március 1-én a Corel bezárja az Open Source oldalát - olvashatjuk a http://opensource.corel.com/-on. Talán csak a CVS-t tartják meg.

A Corel egy felhasználóbarát, debian alapú disztribúciót dobott piacra, és szépen kezdte támogatni az open source törekvéseket. A CorelOS 1999. november. 15-én mutatkozott be a Comdex/Ősz99 kiállításon. Sokan szép reményeket fűztek ahhoz, hogy a Corel is beszáll a nyílt forrássú programok fejlesztésébe. Ez tényleg szépnek látszott.

Egészen addig amíg a micro$oft meg nem jelent a színen. Most úgy néz ki, hogy a Corel teljesen kiszáll az open source fejlesztésekből. Kár érte.

Egy levelet postázott ma Anthony 'AJ' Towns (Debian Release Maganer) a debian-devel-announce listára. A levél subjectje: Release Status Update. A lényege, hogy mind a három RC bugot fixálták a base szekcióban, és a többi bugok fixálása folyamatban van a Bug-Squashing Party keretén belül a standard szekcióban.

A levélben ez áll:

"Jó hírek, rossz hírek."

Lássuk a jó híreket: a Woody base megint szép állapotba került. A glibc, base-passwd és az rsync RC (release critical) bugjait fixálták, és ez megnyugtató. Vannak még bugok fontos csomagokban, mint például apache, bind, binutils, bison, emacs, iproute, kdebase-libs, menu, php3, sudo, tetex, és a vim, de ezeket a bugokat könnyen lehet kontrollálni.

A rossz hírek a következők: lassan ki akarják adni a a Woody-t, viszont egy rakás kevésbé fontos csomagban van RC bug: bugzilla, craft, crossfire-{client,server}, epic4, fvwm95, gmc, gnome-admin, intuitively, kdepim, moon-lander, tkdesk, wine, és xosview

Hát hajrá, és lassan lesz szép, stabil, csillogó-villogó Woody.

Itt a vadász szezon!

A hetedik Debian Woody Bug-Squashing Party vette kezdetét tegnap. A Party február 15-17-ig tart. A Party célja, hogy a release-critical bugokat a lehető legalacsonyabb szintre szorítsák.

Ha szeretnénk, hogy a Woody minél előbb kiadható állapotba kerüljön, akkor lehetőségünk van arra, hogy segíthessünk.

A csomagok listája amelyekre feltétlen szükség van, és amelyeknek a fixálását feltétlenül meg kell csinálni:

http://base.debian.net/

http://standard.debian.net/ ˇ

A bug-squashing party-t a #debian-bugs IRC csatornáról irányítják (OpenProjects network, IRC server irc.debian.org). Ott vannak emberek akik tudnak segíteni, és átnézni a patcheket.

Segíts te is javítani a bugokat!

Bővebb információ itt.

Egy hosszabb interjút készített az ITWales Alan Cox-szal. Az interjúban Cox beszél a Red Hat-ról, a Linux kernelről (természetesen), a Microsoft-ról, Linux Standard Base-ről, stb.

Az interjút megtalálod itt.

Alan Cox-ról egy képet találsz itt.

Úgylátszik nem telhet el nap Alan Cox patch nélkül. Ennek a patchnek az érdekessége, hogy megjelent benne az IBM naplózó (journaling fs) filerendszerének a JFS-nek a támogatása.

From: Alan Cox To: linux-kernel@vger.kernel.org

Subject: Linux 2.4.18pre9-ac4

Date: 14 Feb 2002 16:12:06 -0500

[+ indicates stuff that went to Marcelo, o stuff that has not,

* indicates stuff that is merged in mainstream now, X stuff that proved bad and was dropped out]

*

* If you have SIS IDE hardware please handle this kernel with care

* and report success/failures to Lionel.

*

Letölthető a mirrorokról.

Változások logja:Linux 2.4.18pre9-ac4

Ahogy arról tegnap beszámoltunk, az Oulu University Biztonsági Programozó Csoportja hibát talált több gyártó, és operációs rendszer SNMP implementációjában. Ahogy az várható volt, sorra meg fognak jelenni a Linux disztribútorok is a saját hibajavításukkal. Ahogy az lenni szokott, a Debian (és a Caldera) ébredt legelőször.

Csomag neve: ucd-snmp

Probléma típus: remote exploit

Debian-specifikus: nem

CERT Advisory: CA-2002-03

A hibát kihasználva, távoli DoS (Denial of Service) támadás kezdeményezhető.A frissítés javasolt a szokásos módon:

Megjelent a Debian community szokásos heti hírlevelének legújabb száma.

A tartalomból:

- Debian Project vezető választás

- a PHP4 elárvult (a karbantartó lemondott)

- Debian a Sharp Zaurus PDA-ján

- 3.0.19-es Boot-floppyk

- Új Bug Squashing Party kezdődik a hétvégén

- Elárvult csomagok. Ezen a héten 8 elárvult (orphaned) csomag keletkezett, amellyel az árva csomagok száma 111-re növekedett (árva csomag az, amelynek nincs karbantartója), tehát aki kedvet érez arra, hogy Debian maintainer legyen, annak itt az alkalom =), munka van...

A Debian Weekly News legfrissebb számát itt olvashatod.

Andy Keen bemutatkozik, mint x86-64 maintainer. Jó hír az ALSA-t használóknak. Ahogy Linus ígérte a 2.5-ben meg fog jelenni az ALSA (Advanced Linux Sound Architecture). Lássuk mit ír erről Linus:

"From: Linus Torvalds


Subject: linux 2.5.5-pre1


Date: Wed, 13 Feb 2002 14:38:12 -0800 (PST)

This is a _huge_ patch, mainly because it includes three big pending things: the ALSA merge (which is much smaller in the BK tree than in the patch, because a lot of them are due to renames), merging most of x86_64, and merging some PPC patches. Full changelog appended.

Linus"

Letölthető a mirrorokról.

Változások logja itt.

Itt a 2.4.18 Release Candidate 1. Intel EtherExpress Pro fix, ReiserFS bugfixek, néhány Alan Cox merge jellemzi. Lassan végleges 2.4.18 várható.

Letölthető: patch-2.4.18-rc1.gz

Változások logja:rc1:

A CUPS (Common Unix Printing System) alkotói hibát találtak saját munkájukban. Egy potenciális buffer overflow hibát fedeztek fel a CUPS daemon kódjában.

A hiba az összes eddigi CUPS verziót érinti!!!

Mivel a hiba nem Debian specifikus, az összes disztribúció hibás csomagot tartalmazhat. A hiba típusa távoli (remote).

A stabil Debian disztribúcióban a 1.0.4-10-es verzió, a testing debian disztribúcióban pedig a 1.1.13-2-es verzió tartalmazza a javításokat.

Azonnali frissítés javasolt.A frissítés javasolt a szokásos módon:

A hírek szerint kiadták a következő beta KDE 3.0 tesztet, a harmadik KDE 3.0 pre releaset (kis ellentmondásnak látszik a Beta 2, és a harmadik pre release, de így áll a bejelentésben). A letöltési lehetőségekről ez a bejelentés tájékoztat minket.

A KDE 3.0 tervezett kiadása 2002. második negyedévére tehető.

Újabb -ac patch.

Letölthető a mirrorokról.

From: Alan Cox

Subject: Linux 2.4.18pre9-ac3

Date: Wed, 13 Feb 2002 08:17:28 -0500 (EST)

[+ indicates stuff that went to Marcelo, o stuff that has not,

* indicates stuff that is merged in mainstream now, X stuff that proved bad and was dropped out]

Változások logja:Linux 2.4.18pre9-ac3

A népszerű Gauntlet termékvonalat teljes egészében felvásárolta a Secure Computing a Network Associatestól.A megállapodás a Gauntlet tűzfalszoftverről és a VPN termékekről szól. A NAI Gauntletes ügyfeleit szintén a Secure Computing fogja ezután támogatni. A Secure Computingnak szintén van már egy tűzfal terméke, a Sidewinder Firewall és VPN Gateway.

Sandra England elmondása szerint a Network Associates már tavaly októberben közölte a Gauntlet felhasználókkal, hogy a cég eladni készül a termékvonalat, biztosítva annak jövőjét azzal a kitétellel, hogy az átállás fennakadásmentes lesz a meglévő ügyfelek számára. A Secure Computing szerintük ebben nagyon jó, így ez az ígéret maradéktalanul teljesül.

A Gauntlet tűzfalat eredetileg a Trusted Information Systems, Inc. (TIS) fejlesztette ki, amelyet a NAI 1998-ban vásárolt meg. Mind a TIS, mind a Secure Computing dolgozott az Egyesült Államok kormányának, beleértve az NSA-t is.

Tim McGurran, a Secure Computing elnöke szerint a tranzakcióval a Secure Computing világvezetővé válik az applikációs szintű tűzfalak piacán.

A hírhez kapcsolódik az is, hogy a NAI papírjai a napokban kerültek bevezetésre a NYSE-on.

Kapcsolódó linkek:

A Secure Computing közleménye a vásárlásról.

A NAI tőzsdei jegyzéséről szóló oldal.

A Secure Computing weblapja.

A NAI weblapja.

Csomag neve:faqomatic

Támadhatóság: Siteon keresztüli támadhatóság

Probléma típusa: távoli

Debian specifikus: nem

A program nem kódolja vissza a html kódot. Ennek következtében olyan adatok is belehelyezhetôk, amik segítségével pl. az adminisztrátor sütijeit (cookie) megszerezheti a gonosz támadó.


A siteok közti támadhatóság egy hibatípus amely pl. a fent említett módon Javascriptekkel lehetôvé teszi, hogy ilyen jellegű adatokat el lehessen csenni.A stabil debian disztribúcióban a 2.603-1.2-es verzió, a testing debian disztribúcióban pedig a 2.712-2-es verzió tartalmazza a javításokat.

Találtam egy nagyon korrekt, rendszeresen karbantartott Linux IPv6 HOWTO-t. Aki érdeklődik a téma iránt, nézzen bele:



Az IPv6 HOWTO-t megtalálod itt.

kb. 2 héttel ezelôtti debian Weekly news-ban olvashattunk arról, hogy az apt-ot és a köré tartozó programokat is szeretnék nemzetköziesíteni. Nekem meg véletlen adódott egy szabad hétvégém. Az eredményt Piefel apt-os oldalán érheted el, és itt találsz némi leírást is arról, hogy hogy teszteld.

Megjegyezném, hogy lassan a hivatalos debianba is be fognak kerülni a nemzetköziesített apt csomagok.

Ha valakinek kifogása van a magyarítással az priv-ben küldhet diff-et.

A hét elején kezdtek el szivárogni azok a levelek, amelyek alapján látszott, hogy az egyes SNMP implementációk környékén nincs valami rendben, most pedig megjelent erről a témáról egy CERT Advisory is.Az első levelek a témában a Securityfocus egyik levelezési listáján jelentek meg, amelyekben a CISCO routerek SNMP-vel való támadhatóságáról beszéltek. A hibák kihasználásával DoS-t (Denial of Service - a szolgáltatás működésének veszélyeztetése), nem megengedett hozzáférést, illetve instabil működést érhetnek el a támadók.

Az SNMP (Simple Network Management Protocol) hálózati erőforrások monitorozására, kezelésére szolgál, szinte minden operációs rendszerben elérhető valamilyen formában (beleértve természetesen a routerek, switchek és egyéb hálózati eszközöket is). A leggyakrabban használt a protokol 1-es változata (SNMPv1), amely számos üzenetet definiál, amelyben információkat kérhetünk le, beállításokat módosíthatunk, vagy akár riasztásokat is küldhetünk bizonyos események bekövetkezésekor. Az Oulu Egyetem Biztonságos Programozó Csoportja (OUSPG - Oulu University Secure Programming Group) több gyártó SNMPv1 implementációjában is talált hibákat. A Csoport a PROTOS segítségével, amely biztonsági hibák felderítésére szolgál különböző protokollokban több hibát is talált a protokoll trap és kérvénykezelésében.

Az SNMP trapeket az SNMP démonok (ügynökök) küldik az SNMP menedzsereknek valamilyen figyelmeztetés, vagy hibejelenség esetén. Az SNMP menedzserek ezeket az üzeneteket feldolgozzák és ez az a folyamat, amely nem minden esetben működik előirásszerűen.

A talált hibák másik előfordulási lehetősége a fenti folyamat ellentéte, a kérések küldése, amikor az SNMP menedzserek küldenek valamilyen kérést az SNMP ügynöknek, amelyet az hibásan dolgoz fel, ezáltal biztonsági rés keletkezik. Némely hiba kihasználásához még a communityt sem kell eltalálni, így ezek fokozott veszélyt jelentenek.



Lehetséges megoldások:

Az SNMP szolgáltatás (161, 162-es UDP portok, bizonyos esetekben a 161, 162, 199, 391, 705, 1993-es TCP és a 199, 391, 1993-as UDP portok is, lásd /etc/services) szűrése az illetéktelen hozzáférés megakadályozásának érdekében.

Az adott SNMP implementáció javításának telepítése (lásd a gyártó weblapját).

Az SNMP szolgáltatás leállítása.

Az alapértelmezett communityk átállítása (ez nem minden esetben lehet eredményes, egyrészt találgatással, hálózati forgalom lehallgatásával ezek kinyerhetők, másrészt némely hiba nem feltételezi az adott community nevének ismeretét).

Az SNMP forgalom menedzsment hálózatra való áthelyezése (illetéktelenek kizárása).



Bővebb információkat a CA-2002-03-as CERT Advisory tartalmaz, ahol elérhető a különböző gyártók biztonsági hibákkal foglalkozó weblapja is.

A RealTech-VR, a V3X 3D engine megalkotója, és a Direct3D-to-OpenGL wrapper készítője most open source-é tette munkáját. Hackereket keresnek, akik bekapcsolódnának a fejlesztésbe, és segítenének a wrapper Linux és MacOS portjának elkészítésében. Elég sok Direct3D funkció működik már, de sok munka van még hátra ahhoz, hogy teljesen kész legyen.

Ahogy készítők elmondják, a wrapper jelenleg windows környezetre van kész, de egy bordeaux-i mérnöki csapat már megkezdte a Linux portolást.A dolog már biztatóan működik, de egyelőre nem alkalmas komplex programok meghajtására. A sebességét nézve - természetesen függ a használt OpenGL implementáció használt kiterjesztésetõl is - megközelítőleg azonos sebességű az eredeti Direct3D kóddal.

Újabb Alan Cox patch.

From: Alan Cox Subject: Linux 2.4.18-pre9-ac2

To: linux-kernel@vger.kernel.org

Date: Tue, 12 Feb 2002 13:33:28 -0500 (EST)

[+ indicates stuff that went to Marcelo, o stuff that has not,

* indicates stuff that is merged in mainstream now, X stuff that proved bad and was dropped out]

Letölthető a mirrorokról.

Változások logja: Linux 2.4.18pre9-ac2

A BSD operációs rendszerekhez nem igazán jelennek meg harmadik személy által kiadott patchek, de ha ez mégis megtörténik és hasznosnak, használhatónak bizonyul a kezdeményezés, sok esetben a projekt CVS-ében köt ki az eredmény (lásd TrustedBSD). Most egy újabb patch jelent meg, ezúttal Przemyslaw Frasunektől. Kíváncsian várjuk a modullal kapcsolatos további fejleményeket.A biztonsági listákat olvasóknak biztosan ismerősen cseng a név, hiszen jópár hibáról kaptunk értesítést "venglin"-től, elsősorban FreeBSD-vel kapcsolatosan. Frasuneknek már volt egy régebbi projektje, az rexec, amely különféle exploitok ellen próbált védelmet nyújtani. A mostani modul - a Cerber - gyakorlatilag ennek a továbbfejlesztése.

A Cerber a következő rendszerhívások működését tudja befolyásolni:

execve(), ptrace(), open(), chmod(), lchmod(), fchmod(), kldload(), kldunload(),unlink(), __sysctl(), unlink(), link(), symlink(), kill(), mount(), umount(), chflags(), fchflags(), rename(), chown(), lchown(), fchown(), ioctl(), setuid(), setgid(), seteuid(), setegid(), setreuid(), setregid(), setresuid(), setresgid().

Megszabhatjuk, hogy milyen programok futtatását engedélyezzük, azok milyen más fájlokat indíthatnak, illetve azt is, hogy mindezt mely UID teheti meg. Ugyanígy a többi felsorolt syscallra is hasonló szabályok húzhatók, így biztosítva, hogy egy esetleges betörés esetén a rendszer még egy plusz szintet adjon a többi védelem fölé.
A beállítások sysctleken keresztül történnek, így a rendszer indításakor ezeket kultúráltan elvégezhetjük. A Cerber a rendszerhívások tiltásán kívül a naplózás feladatát is megoldja.

A projekt weblapja a Sourceforge-on található. A dokumentáció pedig itt.

Az Advanced Linux Sound Architecture (ismertebb nevén ALSA) úgy néz ki, hogy több éves fejlesztés után bekerül a Linux kernelbe, pontosabban a 2.5-ös fejlesztői fába. Az LKML legfrissebb thread-jei szerint Jaroslav Krysela elküldött egy patchet a 2.5.4-hez, amelynek során megjegyezte: "Linus nem hagyta jóvá ezt a patchet, és nem is beszél velünk jelenleg. Úgy látszik hogy a bio (block IO) fejlesztés minden idejét lefoglalja. Lehetséges, hogy olyan elfoglalt, hogy ignorálja a leveleinket".

Linus válasza: "Több oka van annak, hogy nem válaszoltam. Többek között, az hogy más dolgokkal foglalkozok. El fogom kezdeni az ALSA beolvasztását a közeli jövőben, de nem ez a dolog fut nálam elsődleges prioritással. Jelenleg más anyagokkal töltöm az időmet.".

Alan Cox legújabb foltja. Úgy látszik mégsem tud nyugodtan aludni, bár ez sejthető volt. Nem az a fajta ember aki tétlenül üldögél otthon.

A folt letölthető a mirrorokról.

Változások logja: From: Alan Cox Subject: Linux 2.4.18-pre9-ac1