FreeBSD

Új PF

Címkék

Max Laier ma bejelentette, hogy az érdeklődők nekiállhatnak tesztelni a PF régóta várt új verzióját. Az anyag a majdan megjelenő OpenBSD 3.7-ben levő pf szintjén van és annak majdnem az összes funkcióját tudja. Újdonságok: + pfctl(8) now provides a rules optimizer to help improve filtering speed.

+ pf, now supports nested anchors.

+ Support limiting TCP connections by establishment rate, automatically

adding flooding IP addresses to tables and flushing states

(max-src-conn-rate, overload , flush global).

+ Improved functionality of tags (tag and tagged for translation rules,

tagging of all packets matching state entries).

+ Improved diagnostics (error messages and additional counters from

pfctl -si).

+ New keyword set skip on to skip filtering on arbitrary interfaces, like

loopback.

+ Several bugfixes improving stability.

Ami hiányzik:

- Filtering on route labels (we don't have any).

- Return-rst on IP-less bridges (bridge support is still behind; There is

work ongoing to improve this as well, though.).

- Congestion prevention/graceful comeback (subject to future work)

Bejelentés itt.

FreeBSD Security Advisory FreeBSD-SA- 05:04.ifconf

Címkék

Téma: Kernel memory disclosure in ifconf()

Kategória: core

Modul: sys_net

Bejelentve: 2005-04-15

Közreműködők: Ilja van Sprundel

Érintett verziók: All FreeBSD 4.x releases

All FreeBSD 5.x releases prior to 5.4-RELEASE

Javítva: 2005-04-15 01:51:44 UTC (RELENG_5, 5.4-STABLE)

2005-04-15 01:52:03 UTC (RELENG_5_4, 5.4-RELEASE)

2005-04-15 01:52:25 UTC (RELENG_5_3, 5.3-RELEASE-p9)

2005-04-15 01:52:40 UTC (RELENG_4, 4.11-STABLE)

2005-04-15 01:52:57 UTC (RELENG_4_11, 4.11-RELEASE-p3)

2005-04-15 01:53:14 UTC (RELENG_4_10, 4.10-RELEASE-p8)Az ifconf() függvényben levő programozási hibát kihasználva a rosszindulatú támadó érzékeny információkhoz juthat a rendszerről, amelyet felhasználva akár emelt privilégium szinthez is juthat.

Workaround nincs.

A hiba részletes leírása, patch, stb. a bejelentésben.

BSD bináris frissítés: beta teszterek kerestetnek

Címkék

Napjainkban megnőtt a bizalom a számítógépes rendszerek iránt (banki rendszerek, közlekedés irányítás, online áruházak, ...). Nyilvánvaló, hogy ahhoz, hogy ez a bizalom fennmaradhasson, a számítógépes rendszerekkel foglalkozni kell, azokat biztonságtechnikai szempontból karban kell tartani. Itt jönnek a képbe a biztonsági patchek. Annak érdekében, hogy egy operációs rendszer biztonságos legyen, elkerülhetetlen, hogy rendszeresen frissítsük, naprakész állapotban tartsuk. Bizonyított, hogy az elmúlt években a biztonságot veszélyeztető támadások nagymértékben megnőttek. Egyes felmérések szerint a frissítés nélküli, sebezhető operációs rendszerek az Internetre való kapcsolás után órákkal, de nem ritka, hogy már percekkel, másodpercekkel később kompromittálódnak. Tehát az idő kritikus!

A BSD-k világában a biztonsági frissítés többnyire abból áll, hogy a disztribútor az általa bejelentett hibákra kiad egy patchet. A patchet alkalmaznunk kell az operációs rendszer forrásfájára, majd újra kell fordítanunk a rendszer érinetett részét. Ez az eljárás számos embernek okoz problémát. Sokan jönnek ún. point-and-click rendszerekből, ahol megszokták, hogy az eféle frissítések két kattintással elvégezhetők. Lassú gépeken az újrafordítás akár órákat is igénybe vehet. Beágyazott rendszereken előfordulhat, hogy nincs elegendő hely a forráskód és a fordítás közben keletkező fileok tárolására... A BSD listák forgalmát elemezve észrevehető, hogy a BSD világába újoncként csöppenő felhasználóknak gondot okoz az egész rendszer ily módon történő frissítése.

Akkor vajon mi lehet a megoldás? Néhány FreeBSD fejlesztő szerint a bináris frissítés...Colin Percival (a bináris patchelés ötletgazdája) és egy csapat azon dolgozik, hogy egy olyan bináris formában történő frissítési metódust dolgozzon ki a FreeBSD-hez, amely akár automatikusan, időzítve elvégzi a rendszer kritikus frissítését. A munka már évekkel ezelőtt elkezdődött, és most már olyan állapotba került a projekt, hogy beta felhasználókat keresnek a rendszer teszteléséhez.

Létrejött egy oldal, a BSD Updates. Az oldal céljaként tűzte ki, hogy az összes jelentősebb BSD terjesztéshez (NetBSD, FreeBSD, OpenBSD és DragonFly BSD) fog ingyen bináris biztonsági frissítéseket kiadni. Az oldal szerint az alábbi előnyei vannak a bináris frissítésnek:

- A biztonsági lyukak befoltozása a rendszer újrafordítása nélkül

- A biztonsági frissítések automatikus alkalmazása

- A rendszerek távoli frissítése (?)

A BSD Updates jelenleg a FreeBSD 5.3 i386-hoz ad bináris frissítési lehetőséget, de a jövőben ezt kiterjesztik a többi BSD rendszerre is.

A BSD Updates a -RELESE-ekhez biztosít ingyen biztonsági frissítést. Azoknak, akik a -STABLE-t követik fel kell iratkozniuk a frissítésekre, és azok díjazás fejében érhetők el számukra. A projekt gazdái a -STABLE vonalhoz kiadott biztonsági patchek ``árából'' kívánják finanszírozni a projektet. Természetesen akinek ez nem felel meg, az továbbra is használhatja a megszokott cvsup / rendszer fordítása / telepítés metódust.

A BSD Updates már most biztosít bináris patcheket (FreeBSD 5.3 i386) az elmúlt időkben kiadott figyelmeztetők szerint. A FreeBSD 5.3 Security Patch 1 és 2 a korábban kiadott fetch, telnet, procfs és sendfile hibákra ad gyors segítséget.

A projektről bővebben a BSD Updates oldalon, bináris patch működéséről pedig Colin Percival korábbi írásában olvashatsz bővebben.

FreeBSD-SA-05: 03.amd64

Címkék

Téma: unprivileged hardware access on amd64

Kategória: core

Modul: sys_amd64

Bejelentve: 2004-04-06

Közreműködők: Jari Kirma

Érintett verziók: All FreeBSD/amd64 5.x releases prior to 5.4-RELEASE

Javítva: 2005-04-06 01:05:51 UTC (RELENG_5, 5.4-STABLE)

2005-04-06 01:06:15 UTC (RELENG_5_4, 5.4-RELEASE)

2005-04-06 01:06:44 UTC (RELENG_5_3, 5.3-RELEASE-p8)Az amd64 portban levő bugot kihasználva a rosszindulatú privilégium nélküli felhasználó közvetlenül hozzáférhet bizonyos hardverekhez, DoS-olhatja a rendszert, érzékeny információkhoz vagy emelt privilégium szinthez juthat.

Bővebb infók, patch, stb. a bejelentésben itt.

FreeBSD-SA-05: 02.sendfile

Címkék

Téma: sendfile kernel memory disclosure

Kategória: core

Modul: sys_kern

Bejelentve: 2005-04-04

Közreműködők: Sven Berkvens

Marc Olzheim

Érintett verziók: All FreeBSD 4.x releases

All FreeBSD 5.x releases prior to 5.4-RELEASE

Javítva: 2005-04-04 23:52:02 UTC (RELENG_5, 5.4-STABLE)

2005-04-04 23:52:35 UTC (RELENG_5_4, 5.4-RELEASE)

2005-04-04 23:53:24 UTC (RELENG_5_3, 5.3-RELEASE-p7)

2005-04-04 23:53:36 UTC (RELENG_4, 4.11-STABLE)

2005-04-04 23:53:56 UTC (RELENG_4_11, 4.11-RELEASE-p2)

2005-04-04 23:54:13 UTC (RELENG_4_10, 4.10-RELEASE-p7)

2005-04-04 23:54:33 UTC (RELENG_4_8, 4.8-RELEASE-p29)

CVE név: CAN-2005-0708A sendfile(2) rendszerhívás lehetővé teszi szerver alkalmazások (pl. HTTP vagy FTP szerverek) számára, hogy a fileok tartalmát úgy küldjék át a hálózati kapcsolaton keresztül, hogy azt előtte nem másolják be az alkalmazás memóriába. A sendfile(2)-ban egy olyan hiba található, amelyet a helyi felhasználó kihasználva, képes lehet a kernel memóri egyes részeinek olvasására, és ennek segítségével akár emelt privilégiumokhoz is juthat.

A teljes bejelentés, patch, egyéb itt.