Kernel frissites, de melyikre?

Linux-security

Jelenleg a 2.6.18.y kernelt hasznalok, mert sajnos a 2.6.16.y-ban nincs benne a wlan stickem drivere.

A local root sebezhetoseg miatt frissiteni szeretnek, de jo lenne egy hosszu karbantartasu kernelfat hasznalni.

Amennyire en tudom ilyen lenne a 2.6.20.y (Willy Tarreau) , de a Gentoo szerint a hiba csak a 2.6.24.y, a 2.6.23.y and 2.6.22.y lett javitva. Ha a 2.6.20.y-ban tenyleg nem lett javitva, akkor azert az ngyon furcsa.

Ha minden igaz, a 2.6.22.y (GKH) is hosszu karbantartasu lenne, de erre vonatkozoan csak a HUP-on talaltam egy blogbejegyzest.

Jo lenne, ha tudnatok egy kis informacioval segiteni.

  • 2043 megtekintés

( mazursky | 2008. 02. 17., v – 08:42 )

Szervusz!

Én a helyedben feltenném a 2.6.24.y kernelt, pláne, ha még új a rendszer. Friss kernel sokáig stabil alap lehet. A local root sebezhetőség valós kockázat. Amit még megtennék, hogy a /root és a root által használt könyvtárakat "chmod 700" -al bekorlátozom.

Fontos még, hogy mire használod. Ha éles szerver, akkor egyszer kell egy viszonylag friss (akár 2.6.24.y) kernelen összelőni a dolgokat, mert a frissebb csomagokban a biztonsági réseket (javarészt) befoltozták.

Otthonra nem kell ennyire "verzió-mániákusnak" lenni, elég a 2.6.22 körüli, vigye a hardvert, meg amit kell (multimedia, pendrive, kamera, hangkártya, stb.).

Én pl 2007 október-november környéke óta egyáltalán nem is frissítettem, max a kernelen toltam egy keveset. Itthoni desktop tűzfallal és egy tűzfalas router mögött. Egyébként 2007 június óta stabil a rendszer, megy minden, minek bolygassam? Desktop.

/mazursky

Koszonom a valaszod, igazabol azert szeretnek hosszu karbantartasu kernelfara valtani, mert nem szeretek gyakran kernelt frissiteni. Tenyleg csak a sebezhetosegek vagy hardwaretamogatas miatt valtok. Viszont az a tapsztalatom, hogy gyakran a legujabb kernelek bugosak, es szeretnek vmi kicsit kiforrottabbat hasznalni.

( elod v | 2008. 02. 17., v – 09:22 )

> "nincs benne a wlan stickem drivere"

Ebből azt a következtetést vonom le, hogy desktop rendszer, és feltehetően te vagy az egyedüli felhasználó.

Kernelfrissítés helyett menj inkább korcsolyázni, vagy sízni, vagy egyszerűen hógolyózni, mert sokkal hasznosabb mint egy local sebezhetőség miatt frissíteni.

Amit kell frissíteni, azok a szerverek (inkl. a webszerverek, mert nem tudni mikor szivat valaki meg a joomla-val, vagy az ugyanolyan gyönyörű phpbb-vel, s akkor fatális egy rossz kernel).

A sieles es akorcsolyazas nagyon jo otlet, megfogadom. :-))

Egyebkent tenyleg desktop gep, es teljesen igazad van, hogy a local root onmagaban nem nagy kerdes, mert max. az asszony kap egy pofont, ha garazdalkodik :-), de azert nem szeretem a sebezhetosegeket halmozni. Tudom, hogy egy olyan desktop rendszernel, ami raadasul egy router mogott ul ez nem kulonosebb drama, ezert sem kapkodok, de anert nem szeretem, ha a rendszer lukacsos. :-)

Idézet:

"... a local root onmagaban nem nagy kerdes, mert max. az asszony kap egy pofont, ha garazdalkodik :-), ..."

Válasz:

Elképzelem, ahogy órákat ülsz fogcsikorgatva a monitorral farkasszemet nézve, hogy befoltozd a kernel minden lehetséges bug-ját, amiről olvastál.
Majd álomra hajtod fejed, és rémálmaidban kísért a kép, hogy az asszony elővesz egy LiveCD-t...
Aztán mikor kidőlsz, és az ágyadban elalszol, akkor az asszony tényleg elővesz egy LiveCD-t és be-chroot-ol a rendszeredbe, a root jelszót törli, majd megtalálja /root könyvtárban a kompromittáló képeket Rólad...

Szóval, ha nyugodtan akarsz aludni, inkább BSD-t tegyél fel, mint Linux-ot... ;~))

Egyébként egyeértértek az előző hozzászólásokkal, inkább a local_wife sebezhetőségeire koncentrálj (ez egy rabló világ, amiben élsz!), mint a local_root-éra.

Kernelfrissítés helyett lehet mást is, ami hasznosabb. Ami hardvert pedig nem visz, azt húzd be modulból.

/mazursky

( hrgy84 | 2008. 02. 17., v – 10:58 )

Valoban csak azokban lett kijavitva, de kis ugyesseggel meg az azokhoz a kernelekhez valo patchel felszerelkezve regebbi kerneleken is foltozhato az ust luk. En mondjuk lenduletbol vi-vel ugrottam neki, de lehet hogy nalat a patch parancs is mukodik. Nalam 2.6.21 -es kernel van RSBAC-cal.