Forum Debian Users Gang

Kontroli nad zaatakowanym Linuxem raczej nie przejmą, bo w kernelu i innych kluczowych flakach jak GNU LibC   nie ma przeważnie wystarczająco kompatybilnej dziury, żeby Flash wbił się na roota. :D
Może co najwyżej buszować po koncie użyszkodnika w domyślnym Linuxie, a w moim?
Co może w moim, to widać tutaj:
http://jacekalex.sh.dug.net.pl/apparmor/usr.lib64.f … container.txt

Także ta informacja o kontroli nad zaatakowanym systemem jest mniej lub bardziej (w zależności od systemu) przesadzona.
Do przejęcia kontroli nad nawet niezbyt starannie skonfigurowanym
Debianem z poziomu Flasha, to bardzo daleka droga, w dodatku Firefox, Opera i Chrome/Chromium mają specjalne kontenery/sandboxy dla wtyczek. :D

Pozdro
;-)

Ostatnio edytowany przez Jacekalex (2014-05-14 01:32:09)

Nie używam polecenia apparmor_status, zrobiłem sobie własnego skrypcia:

#!/bin/bash

PROGRAM=$1

if [ ! -z $PROGRAM ] 

then 
    egrep $PROGRAM /sys/kernel/security/apparmor/profiles;
    
else
    cat /sys/kernel/security/apparmor/profiles;
fi;

exit 0;

Skrypcio musi startować jako root, da się to ustawić w /etc/sudoers,
żeby pacjent mógł go użyć bez hasła.

Wynik skrypcia:

aastatus firefox
/usr/lib64/firefox/plugin-container (enforce)
/usr/lib64/firefox/firefox (enforce)
/opt/firefox-nightly/plugin-container (enforce)
/opt/firefox-nightly/firefox (enforce)

Jak widać, pokazuje elegancko, co jest grane, w wersji bardziej strawnej niż apparmor_status i aa_status. ;)


Jak w profilu Firefoxa ustawić odpalanie plugin-containera?
Ja mam tak:
 

/usr/lib64/firefox/plugin-container  PUx,

Po prostu popraw ścieżkę do binarki plugin-container, jeżeli jest inna.

Cały profil FF u mnie:
http://jacekalex.sh.dug.net.pl/apparmor/usr.lib64.firefox.firefox.txt

Pozdro
;-)

Ostatnio edytowany przez Jacekalex (2014-05-15 17:30:23)

Serwus. Zaskoczyła mnie pewna informacja, dot. systemu Gentoo Linuks oraz pakietu www-plugins/adobe-flash. Tym, co wywołało u mnie zdziwienie, jest informacja o aktualizacji w/w pakietu, do najnowszej wersji 11.2.202.359, dopiero w dniu 10.go czerwca (GLSA-201406-08). Jak powszechnie wiadomo, pakiet flashplugin-nonfree (Gentoo Linuks, wydaje się korzystać z innego nazewnictwa, ale to chyba, mało istotny szczegół) uaktualniono 13.go maja (zob. apsb14). Czyżby czekano ponad miesiąc?

A może, po prostu zgłoszenie opublikowano z takim opóźnieniem, biorąc pod uwagę fakt, że ostatnia aktualizacja dostała 3.kę w tzw. systemie wskaźników ważności, zawartym w każdym Biuletynie bezpieczeństwa? Oznacza, to między innymi, usunięcie luk, które nie były w przeszłości celem dla atakujących a dodatkowo Firma Adobe zaleca administratorom zainstalowanie aktualizacji według własnego uznania etc. W takim wypadku, można zrozumieć ten, powiedzmy, poślizg.

Tak z czystej ciekawości: mógłby któs napisać, kiedy była dostępna aktualizacja pakietu flashplugin-nonfree do wersji 11.2.202.359? Czy miało, to miejsce wkrótce po oficjalnym zgłoszeniu z dnia 13.go maja, czy dopiero 10.go czerwca? Owa sytuacja zaintrygowała mnie, wzbudzając moje zainteresowanie oraz ciekawość. Nic więcej  :- )

Pozdrawiam serdecznie.

remi napisał(-a):

Tak z czystej ciekawości: mógłby któs napisać, kiedy była dostępna aktualizacja pakietu flashplugin-nonfree do wersji 11.2.202.359? Czy miało, to miejsce wkrótce po oficjalnym zgłoszeniu z dnia 13.go maja, czy dopiero 10.go czerwca? Owa sytuacja zaintrygowała mnie, wzbudzając moje zainteresowanie oraz ciekawość. Nic więcej  :- )

11.2.202.359:  13-May-2014 19:18
11.2.202.378:  10-Jun-2014 17:47

fervi napisał(-a):

Lepiej i tak czekać na Shumwaya niż Flash Playera ;)

Fervi

Bzdura, lepiej na nic nie czekać.

Na połowie serwisów, gdzie "wymagany jest flash" przy braku Flasha, albo zmianie User Agenta na Iphona czy Andka, od razu leci mp4 zamiast Flasha.

Także spokojnie możemy patrzeć, jak Html5 wysyła Flasha i Silverighta na śmietnik historii. ;)

Ostatnio edytowany przez Jacekalex (2014-06-11 20:36:56)

fervi napisał(-a):

Jacekalex napisał(-a):

fervi napisał(-a):

Lepiej i tak czekać na Shumwaya niż Flash Playera ;)

Fervi

Bzdura, lepiej na nic nie czekać.

Na połowie serwisów, gdzie "wymagany jest flash" przy braku Flasha, albo zmianie User Agenta na Iphona czy Andka, od razu leci mp4 zamiast Flasha.

Także spokojnie możemy patrzeć, jak Html5 wysyła Flasha i Silverighta na śmietnik historii. ;)

Na razie to tylko czcze słowa - HTML5 nie zagroził na razie nikomu. Uważam, że Shumway to zrobi (który wykorzystuje JS i chyba HTML5) - i tylko w ten sposób

Fervi

Pieprzysz.

Co najmniej 85% albo i więcej filmów na necie jest serwowanych
w locie przez takie narzędzia, jak FlowPlayer, JWPlayer czy Projektorr.
Takich odtwarzaczy napisanych w JS jest może najwyżej 15,
i wystarczy jedna większa aktualizacja połowy z nich, żebyśmy się obudzili w innej rzeczywistości.
Piłeczka z resztą po stronie Google, coraz trudniej znaleźć stronę,
w której organizowaniu nie biorą udziału biblioteki JQuery pobierane wprost z serwerów Google.

I to nie jest żaden śpiew przyszłości, to już się dzieje.

Ostatnio edytowany przez Jacekalex (2014-06-11 21:00:59)

Poszperaj sobie na necie z User Agentem Iphone, to zobaczysz, ile jest tego flasha.
Android  4.4 i 5.0 też zrywają z Flashem, podobnie, jak Windows 8 na platformę ARM, IOS w ogóle nie ma Flasha.

Ostatnio edytowany przez Jacekalex (2014-06-11 21:31:22)

Serwus. Jacku napisałeś, co następuje: "Przy czym mnie to w ogóle nie przejmuje, patrzy wyżej (cały plugin-container w klatce Apparmora), i myślę że więcej ludzi na Gentoo tak ma, Chroot, Apparmor, Selinux, GRSEC-ACL, czy inne dziwadła, które powodują, że Flasha nie trzeba się obawiać. W programach zawsze będą mniejsze i większe dziury, dlatego robi się rożne inne linie obrony, mające chronić przed potencjalnym zagrożeniem ze strony takiego programu, a sam plugin-container w Firefoxie i  operapluginwrapper Operze to też są sandboxy dla wtyczek, i też stanowią dodatkową linię obrony. Także nie ma co demonizować Flasha i jego zagrożenia, Gentoo, to nie XP. :D"

Spoko, ale ja pytałem jedynie o datę, kiedy aktualizacja pakietu flashplugin-nonfree była dostępna/opublikowana! Nic więcej. Reszta (np. "myślę że więcej ludzi na Gentoo tak ma, Chroot, Apparmor, Selinux, GRSEC-ACL), jest dla mnie mało istotna, wszakże sam wykorzystuję profil np. dla procesu plugin-container etc. Zresztą, to jest nieważne.  :- )

"Także tym razem Developerzy Gentoo byli szybsi od Ciebie xD". - Wiesz Jacku, ja naprawdę z nikim nie współzawodniczę. Myślę, że nie ma najmniejszego powodu, aby to robić. Nie ubierać w formę, nie stwarzać rzeczy, co do których nie ma powodu, by zostały stworzone, prawda? W tym przypadku, nazwijmy to, ściganie się z Deweloperami systemu Gentoo Linuks :- )

Niemniej faktem jest, że (10.go czerwca?) opublikowano kolejną aktualizację pakietu flashplugin-nonfree. Tym razem uaktualnienia wymaga wersja 11.2.202.359. Nowe, poprawione wydanie, oznaczono numerem 11.2.202.378 i zawiera poprawki dla krytycznych luk bezpieczeństwa znalezionych w poprzednich wersjach.

Również pozdrawiam.

Powstała potężna aktualizacja Shumwaya
Z wersji 0.8.390 (?) do 0.9.2376

Fervi

Działa u Ciebie ten flash *.400? bo ja z nim mam cyrk na kółkach, w Operze na YT ok, na innych niebieskie pyski, na FF wywala się jak najęty.

Podzielisz się /etc/adobe/mms,cfg do tej wersji?

Już poprawione, zapomniałem poprawić bibliotekę shajsplayera, przez:

perl -pi.bak -e 's/libvdpau/lixvdpau/g' /usr/lib64/nsbrowser/plugins/libflashplayer.so

Nie ma to, jak tandeta od Adobe. xD

Pozdro
;-)

Ostatnio edytowany przez Jacekalex (2014-08-13 17:54:30)

Ja sobie zrobiłem taki plik w oparciu o dokumentację: http://pastebin.com/j3CMN1LY .

To są globalne ustawienia flasha i żaden user ich nie może zmienić, np. przez przeglądarkę czy inne ustawienia systemowe. Jeśli np. wyłączysz w nim download/upload plików to część serwisów www, które mają zaimplementowane przesyłanie plików (via flash) do serwera, przestaną zwyczajnie działać, przynajmniej ta funkcjonalność. xD  Możesz sobie dodawać wyjątki itp, co tylko tam chcesz.

Tam w pliku umieściłem link do dokumentacji -- w sumie to sporo było ctrl+c i ctrl+v tylko odpowiednio przeformatowane i dostosowane do moich potrzeb. Póki co stronki wszystkie mi działają, nawet pornusy. xD