security

Как обезопасить Linux-систему: 10 советов

На ежегодной конференции LinuxCon в 2015 году создатель ядра GNU/Linux Линус Торвальдс поделился своим мнением по поводу безопасности системы. Он подчеркнул необходимость смягчения эффекта от наличия тех или иных багов грамотной защитой, чтобы при нарушении работы одного компонента следующий слой перекрывал проблему.

В этом материале мы постараемся раскрыть эту тему с практической точки зрения:

/ фото Dave Allen CC

Незащищённость NPM к атакам по внедрению вредоносных модулей-червей

Инцидент с нарушением работы многих известных проектов после удаления модуля из NPM-репозитория привёл к обсуждению незащищённости NPM от атак, инициированных со стороны разработчиков модулей. В том числе раскрыты данные о незащищённости инфраструктуры NPM к атаке по внедрению в репозиторий самораспространяющихся вредоносных модулей.

Совершению атаки способствуют несколько факторов:

Критическая уязвимость в Drupal

В системе управления web-контентом Drupal выявлена критическая уязвимость (СVE-2015-3234). Уязвимость присутствует во входящем в базовую поставку модуле OpenID и позволяет войти на сайт под другим пользователем, в том числе под администратором, и получить контроль над аккаунтом. Для атаки на сайте необходимо наличие аккаунта с организацией входа через OpenID-провайдера, например, LiveJournal. Проблема устранена в выпусках 7.38 и 6.36.

Источник: http://www.opennet.ru/opennews/art.shtml?num=42458

Обнаружена локальная root-уязвимость, затрагивающая все Linux-ядра 2.6.x

Раскрыта информация об обнаруженной месяц назад ошибке, присутствующей практически во всех Linux-ядрах серии 2.6.x, которая позволяет непривилегированному пользовательскому процессу, который имеет доступ к X-серверу (т.е. любому графическому приложению), безоговорочно получить привилегии суперпользователя, при этом, стоит отметить, что проведение атаки не затрагивает никакие ошибки X-сервера.

Qubes - новая безопасная операционная система на базе Linux и Xen

Джоанна Рутковска (Joanna Rutkowska), известная польская исследовательница безопасности, систем виртуализации и руткитов, выпустила (http://theinvisiblethings.blogspot.com/2010/04/introducing-qubes-os.html) новую открытую операционную систему Qubes (http://qubes-os.org/), основанную на идее строгой изоляции приложений и компонентов ОС. Новая ОС находится в альфа стадии развития и построена с использованием гипервизора Xen и стандартного окружения Fedora Linux.

В каталоге GNOME-Look зафиксировано наличие вредоносного ПО

В deb-пакете с хранителем экрана waterfall, распространяемом через известный каталог GNOME-приложений GNOME-Look, зафиксировано наличие скрытой вредоносной вставки. После установки данного пакета в систему интегрируется специальный набор скриптов, предназначенный для подключения машины к проведению DDoS атак. Скрипт поддерживает удаленное получение заданий и способен самостоятельно обновить себя до более новой версии. Логика работы вредоносного ПО сводится к периодической загрузке и обычного shell скрипта, который затем запускается с правами root и выполняет, например, "ping -s 65507 хост".

Microsoft отказалась патчить Windows XP

К удивлению специалистов по безопасности, компания Microsoft отказалась патчить недавно выявленную уязвимость TCP/IP в Windows XP и Windows 2000. Один из ведущих менеджеров по безопасности программ Microsoft Эдриан Стоун сказал, что этот фрагмент исходников слишком стар, имеет возраст от 12 до 15 лет, и разобраться в коде на этом уровне «просто нереально» [backporting that level of code is essentially not feasible]. Данная фраза была сказана в прямом эфире ежемесячного вебкаста по безопасности (стенограмма), отвечая на вопросы слушателей.

style="display:inline-block;width:728px;height:15px"
data-ad-client="ca-pub-4493870272388852"
data-ad-slot="6622567932">

RSS-материал