[Soci SLIP] Red Hat, Ubuntu, and Arch Linux patch Linux kernel exploit

[Lucio Crusca]

In data sabato 19 gennaio 2013 17:15:06, loredana ha scritto:
> On 1/19/13, Lucio Crusca <lucio a sulweb.org> wrote:
> Per cortesia, ci dici da dove ricavi le tue informazioni? 

Da qui:

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2012-0056

che significa che hai ragione tu, perché al mio link mancano le informazioni 
del tuo blog, ovvero non si specifica che su varie distro i binari su e sudo 
hanno l'ASLR disabilitato (avevo già ricevuto notifica della vulnerabilità del 
kernel da altre fonti che però citavano il link al CVE, quindi il tuo link su 
LinuxDevices non l'ho neppure guardato ritenendolo meno autorevole... ed in 
effetti mi chiedevo che avessero a che fare "su" e "sudo" con quella 
vulnerabilità, ma mi ero dimenticato di andare a fondo su questo dettaglio...)

> Ergo, non ci vuole nessuno che fa il debug per disabilitare ASLR per
> su (e sudo), lo fanno le distribuzioni (non debian e non tutte).

Sulla mia wheezy "su" ha l'ASLR disabilitato. Lo stesso vale per la squeeze 
che ho su un server. Squeeze non è vulnerabile perché ha un kernel più vecchio 
(2.6.32), ma se questa volta ho capito bene, oserei dire che la mia wheezy è 
vulnerabile.

> Ma come vedi, non è quello il punto per su (e sudo) e quanti utenti usano
> sudo? 

Presumibilmente tutti.

> Senza contare che utenti GNU/inux con password di root uguale al
> proprio nome non mancano :) 

Beh però questa è una vulnerabilità diversa (umana) e comunque tipica dei 
sistemi desktop, dove difficilmente si riesce ad avere un account locale per 
portare a termine questo tipo di attacco.

> Lasciami dire, senza entrare in una discussione infinita, e
> possibilmente senza riferimenti ai miei incubi personali, che io non
> credo affatto che sia sano ideologicamente minimizzare sempre tutto.

No questa volta hai ragione tu. Mi sa che gli incubi stanotte li avrò io... :)