- +

Просмотр сообщений

В этом разделе можно просмотреть все сообщения, сделанные этим пользователем.


Сообщения - denkin

Страницы: [1] 2 3 ... 79
1
Обновление Java SE, MySQL, VirtualBox и других продуктов Oracle с устранением уязвимостей
Цитировать
Компания Oracle опубликовала плановый выпуск обновлений своих продуктов (Critical Patch Update), нацеленный на устранение критических проблем и уязвимостей. В январском обновлении в сумме устранено 237 уязвимостей, в том числе в некоторые продукты внесены исправления для блокирования атак Spectre и Meltdown.

В выпусках Java SE 8u161/8u162 и 9.0.4 устранена 21 проблема с безопасностью. 18 уязвимостей могут быть эксплуатированы удалённо без проведения аутентификации. 3 уязвимостям присвоен уровень опасности 8.3, критических проблем с CVSS Score 9 и выше в этот раз не выявлено. 7 проблем проявляются только на клиентских системах (запуск в браузере Java Web Start и Java-апплеты) и 10 затрагивают как клиентов, так и серверные конфигурации Java.

Кроме проблем в Java SE, наличие уязвимостей обнародовано и в других продуктах Oracle, в том числе:

22 уязвимости в MySQL (максимальный уровень опасности 7.5), из которых 3 позволяют выполнить атаку удалённо без прохождения аутентификации. Проблемы устранены в выпусках MySQL Community Server 5.7.21, 5.6.39 и 5.5.59.
12 уязвимостей в VirtualBox (максимальная степень опасности 8.8). В том числе добавлена защита от проведения атаки Spectre. Уязвимости устранены в сегодняшних обновлениях VirtualBox 5.2.6 и 5.1.32.
5 проблем в Solaris (максимальная степень опасности 7.1 - проблемы в ядре, связанные с обработкой пакетов ICMP).
Новость на Opennet.

2
В ISC BIND и DHCP исправлены уязвимости. Оценка влияния KPTI на производительность BIND.
Цитировать
Опубликованы корректирующие выпуски DNS-сервера BIND 9.11.2-P1, 9.10.6-P1 и 9.9.11-P1 c устранением уязвимости (CVE-2017-3145), которую можно использовать для инициирования отказа в обслуживании (крах процесса named) при выполнении рекурсивного запроса к DNS-серверу, подконтрольному злоумышленнику. Проблема проявляется только при работе BIND в качестве резолвера с поддержкой DNSSEC (в качестве обходного пути защиты можно отключить DNSSEC).
Кроме того, в очередном обновлении ISC DHCP также устранена уязвимость (CVE-2017-3144), которую можно использовать для инициирования отказа в обслуживании (исчерпание доступных сокетов) через установку большого числа специально оформленных соединений к OMAPI, которые остаются незакрытыми. В качестве обходного пути защиты можно ограничить доступ к сетевому порту OMAPI.

Разработчики из ISC также опубликовали отчёт с результатами тестирования влияния патчей для устранения уязвимости Meltdown в ядре Linux (патчи KPTI) на производительность DNS-сервера с BIND 9. Для тестирования использовался сервер Dell R430 с 12-ядерным CPU Xeon E5-2680 v3 и 10-гигабитным Ethernet Intel X710, на который был установлен дистрибутив Fedora 27 с ядром Linux 4.14.11-300.fc27.x86_64. Расхождения в производительности с защитой от Meltdown и без активации патча оцениваются как несущественные.
Новость на Opennet.

3
ну прям, прорыв! 11 пакетов:
libbcmail-java libbcpkix-java libbcprov-java popularity-contest virtualbox
  virtualbox-dkms virtualbox-ext-pack virtualbox-guest-additions-iso
  virtualbox-guest-source virtualbox-guest-utils virtualbox-qt
обновления от Oracle: Virtualbox до 5.2.6 и Java до 1.59-1,- скорее всего обновления связанные с ликвидацией дыр в процессорах.

4
Цитировать
Доступен релиз многоплатформенного web-браузера QupZilla 2.2.4, построенного с использованием библиотеки Qt и модуля QtWebEngine, основанного на браузерном движке Blink и элементах Chromium. Это последняя ветка под именем QupZilla и в форме независимого проекта, следующие версии будут распространяться под новым именем Falkon и развиваться в составе сообщества KDE.
Новость на Opennet.
Spoiler: Подробности • показать

"В новой версии:

Опция для отключения поисковых рекомендаций в адресной строке;
Поддержка открепления вкладок и их перемещения в другие окна;
Поддержка перетаскивания текста или URL на панель вкладок для создания новой вкладки;
Поддержка API GreaseMonkey 4.0 в пользовательских скриптах. Значительно улучшена совместимость с различными скриптами GreaseMonkey;
Возможность настройки раскладки элементов и виджетов в навигационной панели;
Возможность загрузки файла userChrome.css со стилями для настройки оформления онтерфейса;
В навигационную панель добавлены кнопки Tools, Downloads, GreaseMonkey и AdBlock;
Новая тема оформления для Windows;
Поддержка вывода на печать при помощи JavaScript-метода window.print();
В меню управления историей открытия сайтов добавлена поддержка восстановления закрытых окон;
При наличии нескольких открытых окон при восстановлении сеанса теперь восстанавливаются геометрия, состояние и настройки каждого окна;
Обновлено оформление экспресс-панели."
(ц)


5
Цитировать
В BitTorrent-клиенте Transmission выявлена уязвимость (CVE-2018-5702), затрагивающая RPC-интерфейс, используемый для организации связи между бэкендом (рабочий процесс) и фронтэндом (интерфейс). Уязвимость позволяет организовать атаку, которая, если в системе запущен демон Transmission, может привести к выполнению произвольного кода, при открытии на той же системе в браузере сайта атакующего. Исправление доступно в виде патча и обновления для Arch Linux, Debian и FreeBSD (пока недоступно для Fedora, SUSE, openSUSE, Ubuntu, RHEL/EPEL).
Новость на Opennet.
Spoiler: Подробности • показать

"По умолчанию бэкенд принимает запросы на сетевом порту 9091, привязываясь к интерфейсу localhost (127.0.0.1). Запросы фронтэндов отправляются с использованием формата JSON, а для успешного подключения обязательно заполнение HTTP-заголовка "X-Transmission-Session-Id". Злоумышленник может создать страницу, при открытии которой при помощи вызова XMLHttpRequest() можно отправить произвольный запрос на localhost, но в этом случае невозможно подставить свой заголовок "X-Transmission-Session-Id", так как сработает защита от выхода за пределы области текущего домена (cross-origin).

Для обхода данного ограничения предлагается интересный трюк. Для хоста, с которого предлагается страница для атаки, в DNS настраивается поочерёдная отдача двух IP-адресов: на первый запрос отдаётся реальный IP сервера со страницей, а затем возвращается 127.0.0.1. Время жизни (TTL) для данной DNS-записи выставляется в минимальное значение. При открытии страницы браузер определяет реальный IP сервера атакущего и загружает содержимое страницы. На странице запускается JavaScript-код, ожидающий истечения TTL и после этого при помощи XMLHttpRequest() отправляет второй запрос, который теперь определяет хост как 127.0.0.1, что приводит к обращению к внутреннему сетевому интерфейсу компьютера пользователя без ограничений cross-origin, что позволяет передать произвольный HTTP-заголовок.

Для демонстрации атаки подготовлен специальный минималистичный DNS-сервер rbndr, циклично меняющий IP для хоста. Также доступен пример JavaScript-кода для совершения атаки. Для организации выполнения кода после успешной отправки запроса к бэкенду используется возможность Transmission по привязке выполнения скрипта к загрузке торрента. В частности, можно передать бэкенду команду по включению режима script-torrent-done-enabled и запустить любой скрипт или установить параметр download-dir в /home/user/ и загрузить фиктивный торрент с именем ".bashrc".

Информация об уязвимости и патч для её устранения были переданы разработчикам Transmission ещё 30 ноября, но разработчики никак не отреагировали на проблему, поэтому исследователь решил раскрыть подробности об атаке не дожидаясь истечения 90 дней, чтобы дистрибутивы могли устранить уязвимость независимо от основного проекта. По мнению разработчиков Transmission уязвимость не представляет практическую опасность, так как затрагивает только конфигурации, в которых запускается отдельный демон (например, в случае применения web-фронтэнда) и он настроен на подключение без пароля."
(ц)


6
в понедельник 15-го прямо "шквал" обновлений:
libpsm-infinipath1

7
Цитировать
Обновление микрокода Intel приводит к перезагрузкам систем с CPU Broadwell и Haswell.
  Компания Intel сообщила, что анализирует причины появления проблемы, всплывающей после установки на системы недавно опубликованного обновления микрокода. Пользователи, установившие обновление микрокода от Intel, столкнулись с проблемой частых перезагрузок. Intel традиционно не сообщает подробности - кроме того, что проблеме подвержены системы с CPU Broadwell и Haswell. Если связь проблемы с новым микрокодом подтвердится, то будет выпущено ещё одно обновление.
Новость на Opennet.

8
Цитировать
В выпуске Firefox 59, который намечен на 13 марта, будет прекращена поддержка сборки с использованием библиотеки GTK+ 2. Для платформы GNU/Linux можно будет использовать только GTK+ 3. Возможность сборки с GTK+ 2 уже удалена из репозитория mozilla-central, на базе которого формируются ночные сборки Firefox.
Новость на Opennet.

9
Цитировать
Доступен релиз программы для управления коллекцией фотографий digiKam 5.8.0. В новом выпуске закрыто 230 отчётов об ошибках.
Новость на Opennet.
Spoiler: Подробности • показать

"Из новшеств можно отметить:

Добавлен новый инструмент для экспорта коллекции фотографий на внешние устройства, доступные через UPNP/DLNA. Инструмент для вывода контента через DLNA встроен в основное меню digiKam и Showfoto и доступен во всех режимах отображения.

Самодостаточные установочные пакеты для Linux переведены на использование свежего выпуска AppImage SDK и теперь поддерживают выполнение в изолированном режиме с использованием sandbox-окружения на базе инструментария Firejail. Установщик для Windows переведён на новую версию NSIS, совместимую с Windows 10. Расширены возможности пакета для macOS (например, появилась поддержка сканеров) и улучшена работа digiKam и Showfoto из-за портирования библиотек на Qt5.
Расширена поддержка MySQL, улучшены средства перевода на новую версию коллекций, хранимых на MySQL или MariaDB с использованием старой схемы хранения, а также улучшен инструмент миграции между MySQL и SQLite;

В инструмент для экспорта в DropBox добавлена поддержка аутентификации при помощи протокола OAuth2."
(ц)


10
Система до противного стабильна, собственно никаких глюков. Но все таки это тестинг и никто не даст никаких гарантий, я в том числе. Тем более, что настоящих тестов еще не было. Даже ядро в системе то же, что и в 17.10.

11
Цитировать
Компания Canonical опубликовала обновлённый набор iso-образов Ubuntu 17.10.1, который заменил собой изначально предлагаемые сборки Ubuntu 17.10 для систем на базе архитектуры x86, которые были отозваны из-за проблем в пакете с ядром Linux, приводящих к повреждению прошивки некоторых моделей ноутбуков Lenovo, Acer, Dell, HP и Toshiba. Обновления подготовлены для Ubuntu Desktop, Ubuntu Server, Lubuntu, Ubuntu Budgie, Ubuntu Kylin, Ubuntu MATE и Xubuntu.
Новость на Opennet.

12
вечер, четверг, "аж" 18 пакетов:
hunspell-en-gb hunspell-en-za hunspell-uk hyphen-en-gb hyphen-uk intel-microcode
  libfabric1 libpsm-infinipath1 mythes-en-us mythes-uk opera-stable publicsuffix
  virtualbox virtualbox-dkms virtualbox-guest-source virtualbox-guest-utils
  virtualbox-qt youtube-dl
языковые пакеты, Опера, Virtualbox и intel-microcode (язвительный смех).

13
Цитировать
В опубликованном сегодня обновлении ядра Linux для дистрибутива Ubuntu 16.04 LTS, в котором было представлено устранение уязвимости Meltdown, допущена ошибка, приводящая к невозможности загрузить систему с новым ядром из-за краха ядра (kernel panic) в процессе инициализации на некоторых системах.

Установившим обновление (4.4.0-108-generic) пользователям рекомендуется сразу применить ещё одно обновление (4.4.0-109-generic), не пытаясь перезагрузить систему. Если перезагрузка была совершена и пользователь столкнулся с невозможностью загрузить систему, то рекомендуется выбрать загрузочном меню GRUB прошлый выпуск (для вывода меню следует удерживать клавишу Shift или нажать Esc в самом начале загрузки).
Новость на Opennet.

14
Цитировать
Исследователи безопасности, выявившие уязвимости в системе спекулятивного выполнения команд современных процессоров, открыли доступ к рабочим протипам эксплоитов, созданным для демонстрации возможности совершения атак Meltdown и Spectre. В том числе открыт код библиотеки libkdump, которая использовалась в демонстрациях возможности перехвата ввода паролей, обхода KASLR, доступа к памяти хост-системы из гостевой системы KVM и определения содержимого произвольных областей физической памяти (physical_reader и memdump). Наилучшие результаты работы эксплоитов отмечаются на процессорах с поддержкой Intel TSX (Intel Core i7-5xxx, i7-6xxx или i7-7xxx). Ранее доступ к репозиторию на GitHub был ограничен.
Новость на Opennet.
Spoiler: Подробности • показать

"Кроме того, накопилась большая подборка заметок с оценкой изменения производительности систем, после применения к ядру Linux патчей KPTI и retpoline для блокирования атак Meltdown и Spectre. Общий вывод указывает на то, что накладные расходы вполне терпимы на системах, поддерживающих PCID (Processor-Context ID). На системах без поддержки PCID замедление работы существенно и необходимо отдельно оценивать, что важнее, провал производительности, который может составлять до 30%, или риск эксплуатации уязвимости Meltdown (например, атака маловероятна на однопользовательских системах и рабочих станциях с обновлёнными версиями браузеров).

В обычных условиях при использовании патча KPTI переключение контекста во время системного вызова приводит к сбросу кэша с данными трансляции физических адресов в виртуальные, что значительно снижает производительность. PCID позволяет обойтись без сброса кэша трансляции адресов (TLB, Translation Lookaside Buffer), давая возможность привязать содержимое прокэшированных страниц памяти TLB к идентификатору контекста и ограничить операции сопоставления только для разрешённого в данный момент контекста (элементы кэша TLB с другим PCID не затрагиваются при переключении контекста).

PCID поддерживается в большинстве моделей процессоров, выпускаемых с 2010 года (проверить можно по наличию флага "pcid" в /proc/cpuinfo). В гостевых системах KVM и VMWare, а также в половине окружений AWS, PCID не доступен. Кроме того, поддержка PCID появилась только в ядре Linux 4.14, поэтому снижение накладных расходов будет заметно только на системах с ядром 4.14+ или в дистрибутивах, портировавших поддержку PCID в более старые ядра. Для систем x86 исправления включены в обновление 4.15-rc7 и 4.14.12 (рекомендовано подождать 4.14.13 с дополнительными правками) и также подготовлены для веток 4.9 и 4.4. Исправления для ARM64 включены в состав вариантов ядра для платформы Android 3.18, 4.4 и 4.9, но в основном ядре появятся только в выпуске 4.16.

Некоторые другие события, связанные с уязвимостями Meltdown и Spectre:

Компания Intel вчера выпустила обновление микрокода для большого числа актуальных и устаревших моделей процессоров. Обновление доступно в виде пакетов для Red Hat Enterprise Linux, SUSE Linux Enterprise Server, CentOS, Fedora, Ubuntu, Debian и Chrome OS, позволяющих обновить микрокод без обновления BIOS. Обновление микрокода не отменяет необходимости применения патчей к ядру Linux;
Компания Intel также опубликовала результаты собственной оценки влияния исправлений на производительность. В тестах SYSmark 2014 SE на системах с восьмым поколением CPU Intel Core наблюдается снижение производительности на 2-14% (в среднем 6%);
По информации от компании Red Hat использование патчей для устранения уязвимостей в Red Hat Enterprise Linux 7 приводит к замедлению выполнения задач на 1-20%:
Наибольшее проседание производительности (8-20%) наблюдается в работе СУБД на нагрузках OLTP, при случайном доступе к прокэшированной памяти, при активном буферизированном вводе/выводе, при большой интенсивности переключения контекста между ядром и пользовательским уровнем (выполнение системных вызовов). Большие потери наблюдаются в тестах tpc, sysbench, pgbench, netperf (до 256 байт) и fio (случайный доступ к памяти NvME).
Падение производительности на 3-7% отмечается при выполнении аналитических запросов в СУБД, в системах поддержки принятия решений (DSS) и в Java VM, в моменты интенсивного обмена информацией по сети или при обращениях к диску.
Снижение производительности на 2-5% наблюдается в решениях HPC (High Performance Computing) при большой вычислительной нагрузке на CPU, если большинство работ выполняется в пространстве пользователя с применением привязки к ядрам CPU или использованием numa-control (например, тесты Linpack NxN и SPECcpu2006);
Минимальное влияние на производительность (менее 2%) проявляется в системах, в которых применяются методы прямого доступа к ресурсам в обход функций ядра и различные техники offload-ускорения. Например, тесты DPDK (VsPERF 64 байт) и OpenOnload (STAC-N).
Доступно обновление ядра c устранением уязвиомости Meltdown для Ubuntu 12.04 (ядро 3.2), 14.04 (ядро 3.13), 16.04 (4.4) и 17.10 (4.13);
Phoronix изучил падение производительности при использовании в Ubuntu ванильного ядра 4.14 и патчей KPTI+Retpoline, падение производительности довольно ощутимо: от 9% до 4 раз в тесте Flexible IO Tester, 18-23% в тесте FS-Mark, 16-22% в тесте Compile Bench, 22-27% в тесте NGINX Benchmark и 26-32% в тесте Apache Benchmark;
Проект Debian GNU/Linux выпустил обновление 64-разрядных сборок ядра (3.2, 3.16, 3.9 и 4.14) с патчами KPTI для wheezy, jessie, jessie-backports, stretch и unstable/sid. Для 32-разрядных систем, а также для веток stretch-backports, testing/buster и experimental обновления пока недоступны. Патчи для блокирования Spectre находятся в процессе рассмотрения, из приложений Spectre пока устранён в пакете с Firefox в Debian unstable, обновление Chromium пока не добавлено;
Для SUSE/openSUSE выпущено обновление ядра с патчами для противостояния Meltdown и Spectre;
Для ALT доступно обновление ядра до версий 4.9.75 (LTS) и 4.14.12 (дополнительное), включающих патчи KPTI;
Разработчики OpenBSD и FreeBSD готовят патчи для своих систем. Theo de Raadt, основатель OpenBSD, высказал возмущение практикой упреждающего информирования о проблемах только самых крупных компаний, что ставит остальные в ранг проектов второго сорта. Для DragonFly BSD опубликован начальный вариант патча, который приводит к снижению производительности на 5-12% на процессорах серии Skylake и 12-53% на CPU Haswell;
IBM выпустил обновление микрокода для устранения уязвимости Meltdown в процессорах POWER7+ и POWER8. Также опубликованы специфичные для CPU POWER патчи для устранения проблемы в дистрибутивах Linux (RHEL, SUSE, Ubuntu). Для POWER9 обновление запланировано на 15 января. Исправление для AIX и IBM i ожидается 12 февраля;
Доступно обновление проприетарных драйверов NVIDIA (390.12, 384.111) с блокированием применения атаки Spectre к драйверам;
Для распределённой ФС Lustre отмечена потеря производительности при применении KPTI патчей от 10% до 45% в зависимости от конфигурации и нагрузки. Наибольшие потери наблюдаются при связке "zfs+compression+lustre" и выполнения rsync для большого числа мелких файлов;
Инженеры из компании Branch Metrics отметили увеличение нагрузки на CPU примерно на 20% после применения патчей против Meltdown к окружению на базе AWS EC2. Другие пользователи отмечают падение производительности AWS EC2 на 5-30%;
Отмечено падение производительности Python на 37% после применения обновления c защитой от Meltdown на платформе Windows 7. Microsoft подтверждает потерю производительности, но не приводит конкретных цифр. Также наблюдаются серьёзные проблемы с совместимостью обновления от Microsoft с антивирусным ПО и надстройками для защиты Windows."
(ц)


15
Сегодня прямо водопад обновлений!
НОВІ пакунки, які будуть встановлені:
  linux-headers-4.13.0-25 linux-headers-4.13.0-25-generic linux-image-4.13.0-25-generic
  linux-image-extra-4.13.0-25-generic
Пакунки, які будуть ОНОВЛЕНІ:
  linux-generic linux-headers-generic linux-image-generic linux-libc-dev
попробую порыться в ченжлогах ядра, возможно затыкаються "ядерные" дыры.

Страницы: [1] 2 3 ... 79