forum.opennet.ru - "Уязвимость, позволяющая обойти режим sandbox-изоляции SELinux" (23)

"Уязвимость, позволяющая обойти режим sandbox-изоляции SELinux"

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Уязвимость, позволяющая обойти режим sandbox-изоляции SELinux"	+/–
Сообщение от opennews (??), 25-Сен-16, 21:09
В системе принудительного контроля доступа SELinux обнаружена (http://seclists.org/oss-sec/2016/q3/606) уязвимость (CVE-2016-7545 (https://security-tracker.debian.org/tracker/CVE-2016-7545)), позволяющая приложению обойти режим sandbox-изоляции SELinux и выполнить любую команду в рамках текущего пользовательского сеанса. Суть уязвимости в том, что приложение может воспользоваться ioctl-интерфейсом TIOCSTI для помещения произвольных символов в буфер ввода терминала, т.е. может симулировать набор команды в текущем терминале. Уязвимость затрагивает утилиту /bin/sandbox из набора policycoreutils. Проблема уже устранена в Debian GNU/Linux и ожидает исправления в других дистрибутивах (RHEL (https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2016-7545), CentOS (https://lists.centos.org/pipermail/centos-announce/2016-Augu...), Fedora (https://bodhi.fedoraproject.org/updates/?releases=F23&type=s...), SUSE (https://bugzilla.novell.com/show_bug.cgi?id=CVE-2016-7545)). Исправление также доступно в виде патча (https://github.com/SELinuxProject/selinux/commit/acca96a135a...). URL: http://seclists.org/oss-sec/2016/q3/606 Новость: https://www.opennet.ru/opennews/art.shtml?num=45210
Ответить \| Правка \| Cообщить модератору

Оглавление

Андроид подвержен этой уязвимости , Max (??), 21:09 , 25-Сен-16, (1) +1

Разве мало того что уже есть , Вячеслав (??), 21:52 , 25-Сен-16, (2) +11

Вы всегда отвечаете вопросом на вопрос Мало Ещё глупые вопросы будут , Аноним (-), 12:27 , 26-Сен-16, (12)

полагаю зависит от того есть у тебя в андроиде bin sandbox, кельвин (?), 22:15 , 25-Сен-16, (5) +2

Ха-ха, Аноним (-), 21:55 , 25-Сен-16, (3) +11

Действительно, ржач, d4re (?), 22:14 , 25-Сен-16, (4) –1

Вся суть Python bin и Red Hat , Аноним (-), 00:03 , 26-Сен-16, (6) –4
Уязвимость, заложенная архитектурно NSA Больше доверяйте этому NSA Selinux,, Аноним (-), 11:01 , 26-Сен-16, (8) +3
С учётом того, что SELinux пропихнули в ядро Linux сотрудники АНБ, удивляться не, robux (ok), 11:22 , 26-Сен-16, (9) –2

Чушь собачья Особенно про бэкдор Доказательств нет , аноном (?), 11:38 , 26-Сен-16, (10) –2

Вера не нуждается в доказательствах , Аноним (-), 12:01 , 26-Сен-16, (11) +2

Более того, вера нуждается в отсутствии доказательств, иначе вера превращается в, Аноним (-), 12:29 , 26-Сен-16, (13) +3

Чтобы не доверять плохим людям by default доказательства в каждм конкретном случ, Аноним (-), 16:13 , 26-Сен-16, (19) –2
Очевидно, у вас есть доказательства отсутствия бэкдора Вы в курсе вообще, как т, Аноним (-), 23:52 , 26-Сен-16, (20)

Вы предметно лучше отписывайтесь А то ля-ля получается, про какое-то крещение и, rt (??), 10:40 , 27-Сен-16, (21) +1

А зачем через параметр ядра Конфиг же есть , Анжелика (?), 12:45 , 26-Сен-16, (16)

увы, это единственный случай когда selinux реально отключен можете посмотреть по, Аноним (-), 14:26 , 26-Сен-16, (17) +1

На одной бересте читал, что всё было по-другому Сотрудники АНБ пропихивали SELi, Leap42 (?), 14:55 , 26-Сен-16, (18) +1

Извините неграмотного, но это не SECCOMP ли случайно , Uri (??), 12:39 , 26-Сен-16, (15) –1

нет , Аноним (-), 15:37 , 28-Сен-16, (24)

Скрыто модератором, Аноним (-), 15:35 , 28-Сен-16, (23)

Скрыто модератором, Аноним (-), 19:13 , 28-Сен-16, (25)

Скрыто модератором, Аноним (26), 16:13 , 24-Мрт-23, (26)

Сообщения [Сортировка по времени | RSS]

1. "Уязвимость, позволяющая обойти режим sandbox-изоляции SELinu..." +1 +/–

Сообщение от Max (??), 25-Сен-16, 21:09

Андроид подвержен этой уязвимости?

Ответить | Правка | Наверх | Cообщить модератору

2. "Уязвимость, позволяющая обойти режим sandbox-изоляции SELinu..." +11 +/–

Сообщение от Вячеслав (??), 25-Сен-16, 21:52

Разве мало того что уже есть?

Ответить | Правка | Наверх | Cообщить модератору

12. "Уязвимость, позволяющая обойти режим sandbox-изоляции SELinu..." +/–

Сообщение от Аноним (-), 26-Сен-16, 12:27

Вы всегда отвечаете вопросом на вопрос?
Мало. Ещё глупые вопросы будут?

Ответить | Правка | Наверх | Cообщить модератору

5. "Уязвимость, позволяющая обойти режим sandbox-изоляции SELinu..." +2 +/–

Сообщение от кельвин (?), 25-Сен-16, 22:15

полагаю зависит от того есть у тебя в андроиде /bin/sandbox

Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

3. "Уязвимость, позволяющая обойти режим sandbox-изоляции SELinu..." +11 +/–

Сообщение от Аноним (-), 25-Сен-16, 21:55

> SELinux обнаружена уязвимость
> Проблема уже устранена в Debian GNU/Linux и ожидает исправления в других дистрибутивах (RHEL, CentOS, Fedora, SUSE).
Ха-ха

Ответить | Правка | Наверх | Cообщить модератору

4. "Уязвимость, позволяющая обойти режим sandbox-изоляции SELinu..." –1 +/–

Сообщение от d4re (?), 25-Сен-16, 22:14

Действительно, ржач

Ответить | Правка | Наверх | Cообщить модератору

6. "Уязвимость, позволяющая обойти режим sandbox-изоляции SELinu..." –4 +/–

Сообщение от Аноним (-), 26-Сен-16, 00:03

Вся суть Python /bin/ и Red Hat.

Ответить | Правка | Наверх | Cообщить модератору

8. "Уязвимость, позволяющая обойти режим sandbox-изоляции SELinu..." +3 +/–

Сообщение от Аноним (-), 26-Сен-16, 11:01

Уязвимость, заложенная архитектурно NSA ? ;) Больше доверяйте этому NSA Selinux, ага.

Ответить | Правка | Наверх | Cообщить модератору

9. "Уязвимость, позволяющая обойти режим sandbox-изоляции SELinu..." –2 +/–

Сообщение от robux (ok), 26-Сен-16, 11:22

> В системе принудительного контроля доступа SELinux обнаружена уязвимость
С учётом того, что SELinux пропихнули в ядро Linux сотрудники АНБ, удивляться не приходится. Поэтому я всегда отключаю эту хрень параметром ядра:
"selinux=0"
И работает быстрее, и бэкдора в системе нет.

Ответить | Правка | Наверх | Cообщить модератору

10. "Уязвимость, позволяющая обойти режим sandbox-изоляции SELinu..." –2 +/–

Сообщение от аноном (?), 26-Сен-16, 11:38

Чушь собачья. Особенно про бэкдор. Доказательств нет.

Ответить | Правка | Наверх | Cообщить модератору

11. "Уязвимость, позволяющая обойти режим sandbox-изоляции SELinu..." +2 +/–

Сообщение от Аноним (-), 26-Сен-16, 12:01

Вера не нуждается в доказательствах.

Ответить | Правка | Наверх | Cообщить модератору

13. "Уязвимость, позволяющая обойти режим sandbox-изоляции SELinu..." +3 +/–

Сообщение от Аноним (-), 26-Сен-16, 12:29

Более того, вера нуждается в отсутствии доказательств, иначе вера превращается в знание.

Ответить | Правка | Наверх | Cообщить модератору

19. "Уязвимость, позволяющая обойти режим sandbox-изоляции SELinu..." –2 +/–

Сообщение от Аноним (-), 26-Сен-16, 16:13

Чтобы не доверять плохим людям by default доказательства в каждм конкретном случае и не нужны.

Ответить | Правка | К родителю #10 | Наверх | Cообщить модератору

20. "Уязвимость, позволяющая обойти режим sandbox-изоляции SELinu..." +/–

Сообщение от Аноним (-), 26-Сен-16, 23:52

> Чушь собачья. Особенно про бэкдор. Доказательств нет.
Очевидно, у вас есть доказательства отсутствия бэкдора? Вы в курсе вообще, как такие системы верифицируются или живёте по принципу "гром не грянет - мужик не перекрестится"?

Ответить | Правка | К родителю #10 | Наверх | Cообщить модератору

21. "Уязвимость, позволяющая обойти режим sandbox-изоляции SELinu..." +1 +/–

Сообщение от rt (??), 27-Сен-16, 10:40

Вы предметно лучше отписывайтесь. А то ля-ля получается, про какое-то крещение и все такое.

Ответить | Правка | Наверх | Cообщить модератору

16. "Уязвимость, позволяющая обойти режим sandbox-изоляции SELinu..." +/–

Сообщение от Анжелика (?), 26-Сен-16, 12:45

А зачем через параметр ядра? Конфиг же есть!

Ответить | Правка | К родителю #9 | Наверх | Cообщить модератору

17. "Уязвимость, позволяющая обойти режим sandbox-изоляции SELinu..." +1 +/–

Сообщение от Аноним (-), 26-Сен-16, 14:26

увы, это единственный случай когда selinux реально отключен.
можете посмотреть по всяким security slab и ftrace.

Ответить | Правка | Наверх | Cообщить модератору

18. "Уязвимость, позволяющая обойти режим sandbox-изоляции SELinu..." +1 +/–

Сообщение от Leap42 (?), 26-Сен-16, 14:55

На одной бересте читал, что всё было по-другому. Сотрудники АНБ пропихивали SELinux в ядро, но  Линус (или кто-то помельче) отказался брать код как есть, отмазавшись архитектурными соображениями. Чуваки из SUSE по-быстрому запилили LSM и AppArmor, а АНБ было предложено адаптировать SELinux под LSM (хотя занимались этим всё теже чуваки из SUSE, так SLE стал первым дистрибутивом с SELinux, в последствии отказавшись от него).

Ответить | Правка | К родителю #9 | Наверх | Cообщить модератору

15. "Уязвимость, позволяющая обойти режим sandbox-изоляции SELinu..." –1 +/–

Сообщение от Uri (??), 26-Сен-16, 12:39

Извините неграмотного, но это не SECCOMP ли случайно?

Ответить | Правка | Наверх | Cообщить модератору

24. "Уязвимость, позволяющая обойти режим sandbox-изоляции SELinu..." +/–

Сообщение от Аноним (-), 28-Сен-16, 15:37

нет.

Ответить | Правка | Наверх | Cообщить модератору

23. Скрыто модератором +/–

Сообщение от Аноним (-), 28-Сен-16, 15:35

вообще-то новость - невменяемая херня человека, не понявшего, о чем речь.
Я уж подумал,  правда уязвимость в selinux. А оказывается - есть мелкая проблема в косорылом питоновском скрипте, позволяющем кое-как создать selinux-изолированное приложение, изначально на такое не рассчитанное.
Понятия не имею, кто этой поделкой пользовался - я вот счастливо не знал по сей день о ее существовании.
>       default sandbox domain only allows applications the ability to read and
>       write  stdin, stdout and any other file descriptors handed to it. It is
>       not allowed to open any other files.
Что, чорд подери, вы собрались в таком виде запускать и что полезного оно могло бы в принципе делать?

Ответить | Правка | Наверх | Cообщить модератору

25. Скрыто модератором +/–

Сообщение от Аноним (-), 28-Сен-16, 19:13

В новости ровно об этом и написано "Уязвимость затрагивает утилиту /bin/sandbox из набора policycoreutils".  Просто читать нужно весь текст, а не только первое предложение.

Ответить | Правка | Наверх | Cообщить модератору

26. Скрыто модератором +/–

Сообщение от Аноним (26), 24-Мрт-23, 16:13

"Уязвимость затрагивает утилиту /bin/sandbox из набора policycoreutils" может трактоватся и как уязвимость в самом механизме SELinux, который использует этот скрипт. Он прав в том, что текст новости написан неоднозначно.

Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. "Уязвимость, позволяющая обойти режим sandbox-изоляции SELinu..."	+1 +/–
Сообщение от Max (??), 25-Сен-16, 21:09
Андроид подвержен этой уязвимости?
Ответить \| Правка \| Наверх \| Cообщить модератору


	2. "Уязвимость, позволяющая обойти режим sandbox-изоляции SELinu..."	+11 +/–
	Сообщение от Вячеслав (??), 25-Сен-16, 21:52
	Разве мало того что уже есть?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	12. "Уязвимость, позволяющая обойти режим sandbox-изоляции SELinu..."	+/–
	Сообщение от Аноним (-), 26-Сен-16, 12:27
	Вы всегда отвечаете вопросом на вопрос? Мало. Ещё глупые вопросы будут?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	5. "Уязвимость, позволяющая обойти режим sandbox-изоляции SELinu..."	+2 +/–
	Сообщение от кельвин (?), 25-Сен-16, 22:15
	полагаю зависит от того есть у тебя в андроиде /bin/sandbox
	Ответить \| Правка \| К родителю #1 \| Наверх \| Cообщить модератору

3. "Уязвимость, позволяющая обойти режим sandbox-изоляции SELinu..."	+11 +/–
Сообщение от Аноним (-), 25-Сен-16, 21:55
> SELinux обнаружена уязвимость > Проблема уже устранена в Debian GNU/Linux и ожидает исправления в других дистрибутивах (RHEL, CentOS, Fedora, SUSE). Ха-ха
Ответить \| Правка \| Наверх \| Cообщить модератору


	4. "Уязвимость, позволяющая обойти режим sandbox-изоляции SELinu..."	–1 +/–
	Сообщение от d4re (?), 25-Сен-16, 22:14
	Действительно, ржач
	Ответить \| Правка \| Наверх \| Cообщить модератору

6. "Уязвимость, позволяющая обойти режим sandbox-изоляции SELinu..."	–4 +/–
Сообщение от Аноним (-), 26-Сен-16, 00:03
Вся суть Python /bin/ и Red Hat.
Ответить \| Правка \| Наверх \| Cообщить модератору

8. "Уязвимость, позволяющая обойти режим sandbox-изоляции SELinu..."	+3 +/–
Сообщение от Аноним (-), 26-Сен-16, 11:01
Уязвимость, заложенная архитектурно NSA ? ;) Больше доверяйте этому NSA Selinux, ага.
Ответить \| Правка \| Наверх \| Cообщить модератору

9. "Уязвимость, позволяющая обойти режим sandbox-изоляции SELinu..."	–2 +/–
Сообщение от robux (ok), 26-Сен-16, 11:22
> В системе принудительного контроля доступа SELinux обнаружена уязвимость С учётом того, что SELinux пропихнули в ядро Linux сотрудники АНБ, удивляться не приходится. Поэтому я всегда отключаю эту хрень параметром ядра: "selinux=0" И работает быстрее, и бэкдора в системе нет.
Ответить \| Правка \| Наверх \| Cообщить модератору


	10. "Уязвимость, позволяющая обойти режим sandbox-изоляции SELinu..."	–2 +/–
	Сообщение от аноном (?), 26-Сен-16, 11:38
	Чушь собачья. Особенно про бэкдор. Доказательств нет.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	11. "Уязвимость, позволяющая обойти режим sandbox-изоляции SELinu..."	+2 +/–
	Сообщение от Аноним (-), 26-Сен-16, 12:01
	Вера не нуждается в доказательствах.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	13. "Уязвимость, позволяющая обойти режим sandbox-изоляции SELinu..."	+3 +/–
	Сообщение от Аноним (-), 26-Сен-16, 12:29
	Более того, вера нуждается в отсутствии доказательств, иначе вера превращается в знание.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	19. "Уязвимость, позволяющая обойти режим sandbox-изоляции SELinu..."	–2 +/–
	Сообщение от Аноним (-), 26-Сен-16, 16:13
	Чтобы не доверять плохим людям by default доказательства в каждм конкретном случае и не нужны.
	Ответить \| Правка \| К родителю #10 \| Наверх \| Cообщить модератору


	20. "Уязвимость, позволяющая обойти режим sandbox-изоляции SELinu..."	+/–
	Сообщение от Аноним (-), 26-Сен-16, 23:52
	> Чушь собачья. Особенно про бэкдор. Доказательств нет. Очевидно, у вас есть доказательства отсутствия бэкдора? Вы в курсе вообще, как такие системы верифицируются или живёте по принципу "гром не грянет - мужик не перекрестится"?
	Ответить \| Правка \| К родителю #10 \| Наверх \| Cообщить модератору


	21. "Уязвимость, позволяющая обойти режим sandbox-изоляции SELinu..."	+1 +/–
	Сообщение от rt (??), 27-Сен-16, 10:40
	Вы предметно лучше отписывайтесь. А то ля-ля получается, про какое-то крещение и все такое.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	16. "Уязвимость, позволяющая обойти режим sandbox-изоляции SELinu..."	+/–
	Сообщение от Анжелика (?), 26-Сен-16, 12:45
	А зачем через параметр ядра? Конфиг же есть!
	Ответить \| Правка \| К родителю #9 \| Наверх \| Cообщить модератору


	17. "Уязвимость, позволяющая обойти режим sandbox-изоляции SELinu..."	+1 +/–
	Сообщение от Аноним (-), 26-Сен-16, 14:26
	увы, это единственный случай когда selinux реально отключен. можете посмотреть по всяким security slab и ftrace.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	18. "Уязвимость, позволяющая обойти режим sandbox-изоляции SELinu..."	+1 +/–
	Сообщение от Leap42 (?), 26-Сен-16, 14:55
	На одной бересте читал, что всё было по-другому. Сотрудники АНБ пропихивали SELinux в ядро, но Линус (или кто-то помельче) отказался брать код как есть, отмазавшись архитектурными соображениями. Чуваки из SUSE по-быстрому запилили LSM и AppArmor, а АНБ было предложено адаптировать SELinux под LSM (хотя занимались этим всё теже чуваки из SUSE, так SLE стал первым дистрибутивом с SELinux, в последствии отказавшись от него).
	Ответить \| Правка \| К родителю #9 \| Наверх \| Cообщить модератору

15. "Уязвимость, позволяющая обойти режим sandbox-изоляции SELinu..."	–1 +/–
Сообщение от Uri (??), 26-Сен-16, 12:39
Извините неграмотного, но это не SECCOMP ли случайно?
Ответить \| Правка \| Наверх \| Cообщить модератору


	24. "Уязвимость, позволяющая обойти режим sandbox-изоляции SELinu..."	+/–
	Сообщение от Аноним (-), 28-Сен-16, 15:37
	нет.
	Ответить \| Правка \| Наверх \| Cообщить модератору

23. Скрыто модератором	+/–
Сообщение от Аноним (-), 28-Сен-16, 15:35
вообще-то новость - невменяемая херня человека, не понявшего, о чем речь. Я уж подумал, правда уязвимость в selinux. А оказывается - есть мелкая проблема в косорылом питоновском скрипте, позволяющем кое-как создать selinux-изолированное приложение, изначально на такое не рассчитанное. Понятия не имею, кто этой поделкой пользовался - я вот счастливо не знал по сей день о ее существовании. > default sandbox domain only allows applications the ability to read and > write stdin, stdout and any other file descriptors handed to it. It is > not allowed to open any other files. Что, чорд подери, вы собрались в таком виде запускать и что полезного оно могло бы в принципе делать?
Ответить \| Правка \| Наверх \| Cообщить модератору


	25. Скрыто модератором	+/–
	Сообщение от Аноним (-), 28-Сен-16, 19:13
	В новости ровно об этом и написано "Уязвимость затрагивает утилиту /bin/sandbox из набора policycoreutils". Просто читать нужно весь текст, а не только первое предложение.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	26. Скрыто модератором	+/–
	Сообщение от Аноним (26), 24-Мрт-23, 16:13
	"Уязвимость затрагивает утилиту /bin/sandbox из набора policycoreutils" может трактоватся и как уязвимость в самом механизме SELinux, который использует этот скрипт. Он прав в том, что текст новости написан неоднозначно.
	Ответить \| Правка \| Наверх \| Cообщить модератору