kernel 2.4.23

[szycha216]

Od kilku dni jest juz nowy kernel 2.4.23
i nie byłoby w tym nic rewelacyjnego, gdyby nie fakt, że
(niespodzianka!) do każdego wcześniejszego można się prosto włamać,
stając się root'em bez podania hasła.

Tym którzy wiedzą dlaczego, lub wiedzą jak się dowiedzieć - nie musze mówić jak.
Pozostałym wole nie mówić - bo szykuje się niezły globalny bigos :)

[e_111]

szycha216 napisał:

> Od kilku dni jest juz nowy kernel 2.4.23
> i nie byłoby w tym nic rewelacyjnego, gdyby nie fakt, że
> (niespodzianka!) do każdego wcześniejszego można się prosto włamać,
> stając się root'em bez podania hasła.
<cut>
...niespodzianka to moze i byla -ale pare miesiecy temu(fakt dziura byla do 2.4.22
ale mozna bylo zapatchowac)
a czy tak prosto mozna sie wlamac wykorzystujac integer overflow w wywolaniu
systemowym -bym polemizowal...;)
rgds::E111

[kell99]

imo trzeba miec konto na danej maszynie, wiec i tak trzeba jakos zlapac haslo
usera.. nie tak prosto wcale jak kazdy sadzi. zalety systemu z wyrazna kontrola
dostepu

[e_111]

kell99 napisał:

> imo trzeba miec konto na danej maszynie, wiec i tak trzeba jakos zlapac haslo
> usera.. nie tak prosto wcale jak kazdy sadzi. zalety systemu z wyrazna kontrola
> dostepu.

...zgadza sie, nie dopisalem ze trzeba byc local user;)

e_111 napisał:
> ...niespodzianka to moze i byla -ale pare miesiecy temu

niespodzianką to bylo wlasciwie to, ze mimo dostepnych bugfix'ow nie byly one
zainstalowane na WIADOMYCH serverach( skąd my to znamy?;)), mimo ze
regularne sledzenie bugtraq czy securityfocus nalezy do podstawowych
obowiazkow kazdego admina zajmujacego sie bezpieczenstwem sieci

[kell99]

ale blad zebral zniwo.. jeden z mirrorow gentoo (ale nieoficjalny), gnu.org
(arghh)..
no coz, mysle, ze obecna sytuacja wynika ze stabilizowania sie 2.6 i znacznego
spowolnienia prac nad 2.4.. gdzie te czasy co nowe 2.4 bylo gora po miesiacu (a
1 nawet bylo kolejnego dnia hehe;)

[szycha216]

kolejny to: packages.debian.org
ten rozwalono tydzien temu ...

[kell99]

szycha216 napisał:

> kolejny to: packages.debian.org
> ten rozwalono tydzien temu ...

nie wszystkie leza, dziala security i mirrory. to bylo dawno i juz nikt o tym
nie pamieta:)