Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

В Exim обнаружена критическая уязвимость, позволяющая получи..., opennews (?), 09-Дек-10, (0) [смотреть все] Больше интересен не эксплоит, а то, каким макаром в дебиане, из-под обычного пол, б.б. (?), 17:47 , 09-Дек-10, (1) +4 // читаем между строк был сформирован файл setuid c кодом, призванным предостави, zmey (?), 17:54 , 09-Дек-10, (3) // Насколько я понял, на этапе инициализации он все равно от рута работает, что и п, non anon (?), 18:32 , 09-Дек-10, (7) // Когда вы начните учить матчасть , NaN (?), 18:51 , 09-Дек-10, (12) –2 У вас какая-то особенная матчасть, которой нет у других , non anon (?), 19:21 , 09-Дек-10, (15) конфиг читается от рута, в конфиге указано run chmod 4755 - троян делает, гы (?), 21:10 , 09-Дек-10, (26) они писали e conf в var spool exim4 , Аноним (-), 22:48 , 09-Дек-10, (31) по дефолту exim читает из var spool exim4 конфиги , txt (??), 23:58 , 09-Дек-10, (35) нет они его по дефолту запускали из этого каталога шеллкодом , Аноним (-), 00:32 , 10-Дек-10, (36) Бинарник exim setuid ный от рута При локальной доставке письма начальный процес, tux2002 (ok), 12:10 , 10-Дек-10, (59) Убиться Кто-то тут давеча рассказывал, что exim был чуть ли не переписан и тепе, Viliar (ok), 17:52 , 09-Дек-10, (2) +8 // Пока систему разрабатывает человек, в ней никогда не может быть 100 -ой безопасн, SubGun (??), 18:50 , 09-Дек-10, (10) +1 // Это понятно Но я вот о таком http opennet ru openforum vsluhforumID3 64241 ht, Viliar (ok), 21:01 , 09-Дек-10, (24) // А чот я давно этого парня здесь не слышал - , artemrts (ok), 21:07 , 09-Дек-10, (25) На тот момент он был прав, разве не так , Pilat (ok), 17:57 , 10-Дек-10, (80) В чем прав В том, что buffer owerflow судя по changelog фиксять сравнительно ре, Viliar (ok), 17:39 , 11-Дек-10, (109) Ну а я считаю, что он прав Насчет криворукости того админа тоже Не сочтите за , SubGun (??), 00:48 , 12-Дек-10, (112) +1 Очевидно, что Вамa Повезлоb Changelog и Вы ну совсем не читаете , Viliar (ok), 18:30 , 23-Дек-10, (126) в момент взлома был включен tcpdump , Аноним (-), 18:15 , 09-Дек-10, (4) +1 // я тоже что то не понял у них он перманентно включен что ли , axe (??), 18:20 , 09-Дек-10, (5) // Угу, сидят фтыкают в вывод с -X, мониторят взломы , xeon (??), 18:42 , 09-Дек-10, (9) Видимо не первый случай , pavlinux (ok), 18:52 , 09-Дек-10, (13) // не первый случай honeypot, dejuren (?), 20:32 , 09-Дек-10, (23) Ну вот у меня pflogd на некоторых серверах сохраняет весь интересный траффик за , PereresusNeVlezaetBuggy (ok), 12:16 , 10-Дек-10, (60) +1 // Круто, молодец , Аноним (-), 15:26 , 10-Дек-10, (71) Ключевой момент create another file e conf with following content spool_director, dimss (?), 18:27 , 09-Дек-10, (6) +1 // pavel suse64 tmp testpavel suse64 tmp chown root root testchown изменение, pavlinux (ok), 18:35 , 09-Дек-10, (8) –1 // Если я правильно понимаю, он запускается с правами рута, а потом сбрасывает прив, Аноним (-), 18:51 , 09-Дек-10, (11) // Зимело Одинокий парсер бродил по конфигу Exim Команды в exim были рыхлые и неро, б.б. (?), 20:12 , 09-Дек-10, (18) +15 Схоронил , Мужик32 (ok), 02:01 , 10-Дек-10, (38) я думаю там еще и смеркалось , ЬТЛ (?), 09:36 , 10-Дек-10, (49) +1 какой парсинг что хекеры блин ждут момента када админ перезапустит экзим да на, Sw00p aka Jerom (?), 20:21 , 09-Дек-10, (21) а sbin у exim-а зачем стоит , Аноним (-), 15:36 , 10-Дек-10, (73) Пардон, tr sbin suid , Аноним (-), 15:36 , 10-Дек-10, (74) Наверное что бы захватить SMTP порт , Витольд Седышев (?), 14:13 , 11-Дек-10, (97) один про валенки, другой про синее, Аноним (-), 19:35 , 11-Дек-10, (110) А как-то уже отвыклось от таких серьезных ошибках в Эксиме , artemrts (ok), 19:46 , 09-Дек-10, (16) Кто-то нашел уязвимость, взломал чей-то сервер, и когда взламывали, подробности , Wormik (ok), 20:09 , 09-Дек-10, (17) // Сначала патч, потом твоё любопытство , б.б. (?), 20:12 , 09-Дек-10, (19) +1 делаем от себя простого юзера pvg c iduid 231 pvg gid 500 pvg группы 500 pv, pvg (?), 21:59 , 09-Дек-10, (27) // Запускать нужно от пользователя до которого exim сбрасывает привилегии , Аноним (-), 22:04 , 09-Дек-10, (28)   // then it put file there file setuid with trivial execution of root shell gt ов, pvg (?), 22:32 , 09-Дек-10, (29) +1   Где патчи , Одмин (?), 22:47 , 09-Дек-10, (30) // chmod -w var spool exim4 на первое время поставил, от дураков , Дмитрий (??), 00:59 , 10-Дек-10, (37) // Спасибо Пока самое адекватное решение от скрипт-киддис и ботов Судя по mailing, Одмин (?), 03:49 , 10-Дек-10, (39) // А еще это решение отлично помогает от спама - 100 срезается, утер (?), 05:35 , 10-Дек-10, (40) А вот и нет К сожалению , Дмитрий (??), 09:40 , 10-Дек-10, (50) When this option is used by a caller other than root or the Exi, Аноним (-), 22:59 , 09-Дек-10, (32) и такbash-3 2 uname -aLinux hhh ddd xxxx 2 6 18-194 26 1 el5 1 SMP Tue Nov 9 1, pvg (?), 23:22 , 09-Дек-10, (33) Извините, ошибся, у меня suid, в конфе setuidк сожалению в el5 работает, а в RH9, pvg (?), 23:46 , 09-Дек-10, (34) +1 А я пока сделал так от рута, Docent (??), 07:34 , 10-Дек-10, (41) // и как оно поможет , Аноним (-), 15:46 , 10-Дек-10, (75) 1 Тем у кого стоит exim - Немедленно снести 2 Найти знакомых-умников, кто с пе, csup (?), 08:06 , 10-Дек-10, (42) –3 // готово я сделал спасибо за подробную инструкцию-наловил лулзов с любителей exim, патрон (?), 08:21 , 10-Дек-10, (44) Лучше не использовать компы вообще - так уж точно безопасно Если, конечно, ки, IGX (?), 13:53 , 10-Дек-10, (69) +2 да просто отменить suid в каталоге спула exim через моунт, обычно это так делает, Аноним (-), 08:16 , 10-Дек-10, (43) // а если спул exim-а находится на разделе на который нет возможности поставить, Бару (?), 08:38 , 10-Дек-10, (45) // dd if dev zero of var exim file bs 1M count 1024mkfs ext3 -m0 var exim filemo, утер (?), 08:59 , 10-Дек-10, (46) +4 а это уже проблема безопасности, не надо ложить яйца в одну корзину , Аноним (-), 09:14 , 10-Дек-10, (47) –1 // чё за истерия я ещё в 18 00 вчерась у себя на всех сделал, и спал спокойноsrv0, lissyara (?), 09:17 , 10-Дек-10, (48) О, великий и ужасный lissyara, низкий поклон уважаемому покорителю BSD Дайте с, Аноним (-), 11:07 , 10-Дек-10, (52) tmpfs на спуле Т е при внезапном power failure вся неушедшая почта уходит в де, samm (ok), 18:20 , 10-Дек-10, (81) +1 ну, не все же сервера дома под столом держат, или на железе кривом, что в панику, lissyara (?), 18:53 , 10-Дек-10, (84) –1 Вот как меня подобное радует Вы со времен терок про proftpd совсем не изменилис, samm (ok), 19:44 , 10-Дек-10, (89) +2 Поддерживаю, чем больше парк машин, тем больше возникает странностей и тем быс, Аноним (-), 06:03 , 11-Дек-10, (95) и не планирую как я был неадекватом всю жизнь, так и помру им что касается и, lissyara (?), 17:17 , 11-Дек-10, (106) –2 ууу еще и вар не отдельной фс, как все печально у вас, однако , Аноним (-), 19:39 , 11-Дек-10, (111) та последнее время стал старый и ленивый, и балуюсь такимsrv0 df -hFilesystem , lissyara (?), 00:46 , 15-Дек-10, (120) Увольняться Потому что это говорит о профнепригодности Смешивать разделы с дан, zazik (ok), 10:13 , 10-Дек-10, (51) // хе, а тут порой появляются умники, которые с пеной у рта доказывают, что один ра, Аноним (-), 15:49 , 10-Дек-10, (76) Ну и пусть доказывают Сразу видно, что они ничего серьёзнее своего десктопа с и, PereresusNeVlezaetBuggy (ok), 16:22 , 10-Дек-10, (78) Если они из контор по восстановлению данных и поднятию упавших систем, то вполне, zazik (ok), 17:45 , 10-Дек-10, (79) Иногда лучше все вместе, иногда отдельно А иногда вообще на отдельном диске За, SubGun (??), 00:57 , 12-Дек-10, (113) +1 Не вижу никаких доводов в пользу установки всего на один раздел , zazik (ok), 09:21 , 13-Дек-10, (116) FreeBSD mount -t nullfs -o nosuid var nosuid nosuid mount 124 grep -i no, Аноним (-), 11:10 , 10-Дек-10, (53) // А на RH Centos , Exim (??), 11:27 , 10-Дек-10, (54) Скорее ln -s var nosuid exim var spool exim, Аноним (-), 12:25 , 10-Дек-10, (62) // Уверен Точка монтирования nosuid и через нее нужно обращаться , poz (?), 12:42 , 10-Дек-10, (64) gt оверквотинг удален поставь nosuid на весь var, и успокойся, и вообще это д, Аноним (-), 15:55 , 10-Дек-10, (77) если нет возможности на спул поставить nosuidкак решение можно сделать так 1 сд, eugene (??), 11:47 , 10-Дек-10, (55) // ну и само собой нужно настроить dovecot или что там у вас на доставку по lmtp, eugene (??), 11:49 , 10-Дек-10, (56) а вот так не канает тем, у кого var на том же разделе service exim stopmv var, Az (??), 11:55 , 10-Дек-10, (57) // тоже неплохо,но в моем способе вообще suid с бинарника убрать можно , eugene (??), 12:10 , 10-Дек-10, (58) // попробовал убирать суид с бинарника - не может запустить cyrus-доставку, потому , Az (??), 12:17 , 10-Дек-10, (61) это не работает suid атрибут всё равно можно ставить , Аноним (-), 18:54 , 10-Дек-10, (85) // Так ведь suid-бит лишь дает право запуска с правами владельца, а системный вызов, Ололо (?), 07:48 , 13-Дек-10, (115) Паникеры 1 Быдловендоры всяких дебианов думают что они самые умные и им не надо, xz (??), 12:41 , 10-Дек-10, (63) +1 // Вот-вот Я даже новость исправил , но изменения так и не были приняты , samm (ok), 12:45 , 10-Дек-10, (65) Дело не в этом, а в архитектурном решении доставки почты в exim В бумажной почт, tux2002 (ok), 13:11 , 10-Дек-10, (66) Вина целиком на разработчиках Exim, молча исправивших такую огромную дыру В при, Аноним (-), 13:21 , 10-Дек-10, (67) +1 // У вас какой-то свой, особенный changelog Вот тут все более чем ясно ftp ftp e, samm (ok), 13:45 , 10-Дек-10, (68) // Потенциальное переполнение буфера и удалённый root 8212 это разные вещи Разр, Аноним (-), 19:02 , 10-Дек-10, (86) А еще они убили Лору Палмер и взорвали башни-близнецы Те кто не в танке - прекр, samm (ok), 19:27 , 10-Дек-10, (88) +1 В Дебиане уже все пофикшено exim4 4 69-9 lenny1 stable-security urgency high , shsm (?), 20:05 , 10-Дек-10, (90) +1 // gt оверквотинг удален Это должно было бы пофиксено два Exim овскиз релиза наза, Аноним (-), 07:41 , 15-Дек-10, (122) Стесьняюсь уточнить один вопрос - в заголовке сказано, что исправлено в 4 70, а , Kirill (??), 14:27 , 10-Дек-10, (70) // Там две разные дыры, в 4 70 поправлена удаленная уязвимость, а в 4 72 остается л, Аноним (-), 15:28 , 10-Дек-10, (72) Нда Все-таки Postfix, когда не нужна большая производительность, рулит, т к , sHaggY_caT (ok), 18:35 , 10-Дек-10, (82) –1 // Когда в Postfix-е сделают поддержку скриптового языка и поменяют формат лога, мо, bers666 (?), 19:27 , 10-Дек-10, (87) // Имхо, любую задачу можно решить штатными средствами через транспорты на внешни, sHaggY_caT (ok), 02:04 , 11-Дек-10, (93) Не смешите, по поводу производительности В Постфиксе с этим все гуд Уступает о, artemrts (ok), 22:28 , 10-Дек-10, (92) +2 // Я не строила _больших_ систем на Postfix или Exim, только маштаба SMB-офиса под , sHaggY_caT (ok), 02:12 , 11-Дек-10, (94) // Не стоит Postfix вполне справится и сам Вот, кстати, суточная статистика с одн, Viliar (ok), 16:59 , 11-Дек-10, (101) gt оверквотинг удален А если не секрет, на чем реализован грейлистинг , artemrts (ok), 17:07 , 11-Дек-10, (105) gt оверквотинг удален milter-greylist gps postfix daemon чего-то там со своим, Viliar (ok), 17:32 , 11-Дек-10, (108) а если пошаманить с ALT_CONFIG_PREFIX по идее ни удаленно когда exim уже сброс, Аноним (-), 21:04 , 10-Дек-10, (91) +1 // Я по памяти, когда читал документацию, помню, что запускать с альтернативным кон, tux2002 (ok), 11:23 , 11-Дек-10, (96) В CentOS она тоже есть https www centos org modules newbb viewtopic php topic, fa (??), 15:29 , 11-Дек-10, (98) // Хорошо бы уточнить версии Exim и CentOS, Аноним (-), 17:05 , 11-Дек-10, (104) // По ссылкам ходили , fa (??), 03:05 , 12-Дек-10, (114) как хорошо что я на postfix сижу было у меня 6 лет назад предубеждение к экзим, deadless (?), 15:41 , 11-Дек-10, (99) –2 Ты думаешь твой сервер на 10 человек кому то нужен Тогда мы идем к вам , ALex_hha (ok), 16:07 , 11-Дек-10, (100) // С возвращением, товарисч Как, ваше мнение с предыдущего топика не изменилось , Viliar (ok), 17:00 , 11-Дек-10, (102) // товарисч - идолопоклонник рхела у таких - мнение не меняется , lissyara (?), 17:19 , 11-Дек-10, (107) // дак на FreeBSD те же грабли D Почитай список рассылки , ALex_hha (ok), 16:06 , 13-Дек-10, (118) Нет, ибо мой топик был относительно того времени, когда экзим разрабатывал Хазел, ALex_hha (ok), 17:04 , 11-Дек-10, (103) // И Claus Assmann MeTA1 , Аноним (-), 13:17 , 13-Дек-10, (117) Блин, поломали Стоит CentOS release 5 4 Final с exim 4 63-3 el5 Залили в tm, mega4el (ok), 20:04 , 14-Дек-10, (119) –1 // Переставить систему, Аноним (-), 07:39 , 15-Дек-10, (121) также систему на centos поломали есть ли версия 4 70 exim x86_64 для centos , pasha (??), 14:49 , 16-Дек-10, (123) // Для CentOS вышло обновление Это не 4 70, но уязвимость там пофикшена , Аноним (-), 03:11 , 19-Дек-10, (125) ещё и dovecot накрылся вся входящая почта пропала и новые письма не приходят , pasha (??), 15:45 , 16-Дек-10, (124) Вопрос к профессионалам от НубаМожно ли защититься от этой проблемы косвенным об, Начинающий (??), 21:36 , 10-Июн-19, (127) 1,2,4,6,16,17,27,30,32,33,34,41,42,43,53,55,57,63,70,82,91,98,99,100,103,119,123,124,127

Сообщения

[Сортировка по времени | RSS]

	28. "В Exim обнаружена критическая уязвимость, позволяющая получи..."	+/–
	Сообщение от Аноним (-), 09-Дек-10, 22:04
	> [pvg@c]$ /usr/sbin/exim -Cc.conf -q . Запускать нужно от пользователя до которого exim сбрасывает привилегии.
	Ответить | Правка | Наверх | Cообщить модератору

	29. "В Exim обнаружена критическая уязвимость, позволяющая получи..."	+1 +/–
	Сообщение от pvg (?), 09-Дек-10, 22:32
	>after that attacker gets shell with id of user Debian-exim and cwd >in /var/spool/exim4 ?then it put file there file setuid with trivial execution of root shell: >[оверквотинг удален] >execl("/bin/sh", "sh", NULL); >} > >and create another file e.conf with following content: >spool_directory = ${run{/bin/chown >root:root /var/spool/exim4/setuid}}${run{/bin/chmod 4755 /var/spool/exim4>/setuid}} >the he runs: >exim -Ce.conf -q >and gets suid bit on /var/spool/exim4/setuid >everything else is trivial. suid да но от exim , а не от root я
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема