Forum Debian Users Gang

Hej, pisanie wiadomości za wiadomością podyktowane, jest tylko chęcią zwrócenia uwagi na - prawdopodobną - odpowiedź na pytanie zawarte w tym temacie. Otóż, sądząc po oficjalnej treści, wspomnianego komunikatu GLSA dot. pakietu logrotate, znaleziona luka zdaje się tyczyć - tylko(?) - systemu Gentoo Linux, co poniekąd wyjaśnia brak reakcji ze strony Deweloperów Debiana. Wspomniane ogłoszenie zawiera interesującą treść: The default configuration of logrotate on Gentoo Linux.... Natomiast całość wygląda w ten oto sposób:

logrotate: symlink and hard link attacks
Package(s):    logrotate     CVE #(s):    CVE-2011-1549
Created:    June 26, 2012     Updated:    June 27, 2012
Description:     From the CVE entry:

The default configuration of logrotate on Gentoo Linux uses root privileges to process files in directories 
that permit non-root write access, which allows local users to conduct symlink and hard link attacks 
by leveraging logrotate's lack of support for untrusted directories, 
as demonstrated by directories under /var/log/ for packages.
Alerts:     
Gentoo     201206-36     2012-06-25

Wygląda na to, że w jakimś stopniu znalazłem odpowiedź na nurtujące mnie pytanie, które zawarłem w 1.ym poście. Mam tylko nadzieję, że jest w tym ziarenko prawdy...

Odnoszę wrażenie, że nie do końca zrozumieliśmy się. Głównym założeniem tego tematu, była chęć dowiedzenia się, dlaczego istnieją takie, nazwijmy je rozbieżności, między Dystrybucjami w odniesieniu do aktualizacji pakietów. Jeśli o mnie chodzi, to byłem przekonany, że skoro Dystrybucja A łata jakąś dziurę, to pozostałe B,C, D etc. także podejmą stosowne działania. Jak się okazało, wygląda to troszeczkę inaczej. Logrotate wraz z Gentoo było jedynie przykładem, podobnie zresztą jak Ubuntu i aktualizacja kernela 2.6.32. Z przytoczonego w moim 2.im poście komunikatu, wynika, że owy problem z logrotate odnosił się właśnie tylko(?) do Gentoo - The default configuration of logrotate on Gentoo Linux (...). Z tego zdania wnioskuję, że owa niezgodność, rozbieżność odnośnie aktualizacji poszczególnych pakietów, jest czymś zupełnie normalnym. Dlatego właśnie Debian nie opublikował 2.óch komunikatów dot. np. kernela (patrz 1. post; Ubuntu) oraz logrotate.

Tu z pewnością będą znali odpowiedź: http://lists.debian.org/debian-security/

Niby tak, ale jak mi się kernel kraszuje (tak mi się wydaje) to system jako tako działa i nie ma problemów

W każdym razie myślę, że jest tak, że patch idzie np. do Ubuntu, a potem do głównego kernela, a jak jest ok, to idzie do wszystkich. Aktualizację w Debianie są głównie przez to, że jest błąd (Stable), a wątpię, by istniała jakaś korelacja między Gentoo, a Debianem i jak jest nowa wersja pakietu (łatana) to wtedy wchodzi.

Moja Teoria :D

Fervi

Jak np. na wirtualnej maszynie działałem i przeciążyłem normalny system to dostawałem komunikat o Soft Bugu, albo jak dostawałem sporo różnych linijek o crashu (Call trace). Tak mi się wydaje, że to o to chodzi :D

Fervi

bns; tak, jeśli chodzi o CentOS, to wiem, że ma miejsce coś takiego. Czyli reasumując, jest to najzupełniej normalne zjawisko?