Om het gebruiksgemak te vergroten, de website te kunnen analyseren en om advertenties te kunnen beheren maakt Security.NL gebruik van cookies. Door gebruik te blijven maken van deze website, of door op de akkoord button te klikken, geef je toestemming voor het gebruik van cookies. Wil je meer weten over cookies? Bekijk dan ons cookieoverzicht.
Nieuws Achtergrond Community
Inloggen | Registreren
Nieuws
image

Belangrijke Linux-update verhelpt ernstig glibc-lek

woensdag 17 februari 2016, 09:51 door Redactie, 22 reacties

Er is een belangrijke update voor Linux uitgekomen die een ernstige kwetsbaarheid in glibc verhelpt, de GNU C-softwarebibliotheek. Het beveiligingslek was door onderzoekers van zowel Google als Red Hat onafhankelijk van elkaar gevonden. Via het lek kan een aanvaller op afstand code op systemen uitvoeren.

Glibc wordt onder andere gebruikt door OpenSSH, curl, wget en sudo. Google laat weten dat de ontwikkelaars van glibc vorig jaar juli al op het probleem waren gewezen. Het probleem zou sinds versie 2.9, die in mei 2008 verscheen, in de software aanwezig zijn. Naast Linux lopen mogelijk ook tal van applicaties risico die van de softwarebibliotheek gebruikmaken.

Inmiddels zijn er voor verschillende Linux-distributies updates verschenen. Vanwege de ernst van de kwetsbaarheid krijgen gebruikers en beheerders het advies om de update zo snel als mogelijk te installeren. Volgens Google zijn er namelijk allerlei manieren om van de kwetsbaarheid gebruik te maken, waaronder ssh, sudo en curl.

FBI onderzoekt ransomware-infectie bij ziekenhuis
Nederlanders vorig jaar voor miljoenen via internet opgelicht
Reacties (22)
17-02-2016, 10:00 door Anoniem
Lek in Linux:

https://nl.wikipedia.org/wiki/Contradictio_in_terminis

Ilja. _\\//

(Sorry, couldn't resist.. ;-)
17-02-2016, 11:10 door potshot
nenenenenene,dit is een menselijke fout en totaal begrijpelijk want lynux coders hebben nu eenmaal ook tekortkomingen,in tegenstelling tot microsoft coders want dat zijn allemaal prutsers..
tot zover mijn cynisme...
17-02-2016, 11:41 door Anoniem
Ai. A hole big enought to drive a truck through...

Zo zie je maar, ook het o zo veilige Linux is niet perfect. Benieuwd wanneer de routerfabrikanten met updates komen, want daar zit het grootste risico imho.
17-02-2016, 13:04 door Anoniem
Wanneer je libc update verhelp je ook de potentiele kwetsbaarheden in tools zoals ssh omdat het dynamisch gelinked wordt:

$ ldd /usr/bin/ssh
...
libc.so.6 => /lib64/libc.so.6 (0x00007fa34b468000)
...
17-02-2016, 13:13 door Anoniem
Door Anoniem: Lek in Linux:

https://nl.wikipedia.org/wiki/Contradictio_in_terminis

Ilja. _\\//

(Sorry, couldn't resist.. ;-)

Waar komt deze frustratie vandaan? Is het patchen van de 6 kritieke windows lekken niet helemaal goed gegaan?
Ook Linux bevat fouten. Het is namelijk door mensen gemaakt. De gemeenschap is daar heel transparant over en is daar trots op. De vuile was buiten hangen is niet iedereen gegeven.
17-02-2016, 13:35 door Anoniem
Schrijf 100 keer op:

Elke parser in zijn eigen sandbox.
17-02-2016, 14:41 door Anoniem
LOL @ alle gniffelende Windoos gebruikers hierboven. Updatebeheer gestart, patch geïnstalleerd en alles weer ok, zonder reboots.

Ik heb op m'n laptop een dual boot met Windows, en had Windows al 2 maanden of zo niet opgestart.
-er is een probleem met Windows update waardoor de updates niet kunnen worden geïnstalleerd
-FixIt gerund, die een patch installeerde, reboot.
-Windows update werd bijgewerkt. 'Er zijn meer updates, klik om deze te installeren' '?lik!' De updates kunnen niet worden geïnstalleerd omdat de PC is uitgeschakeld (WTF?)
-maar weer eens een reboot gedaan.
-er zijn Windows updates beschikbaar, wilt u deze installeren? 'Ja' updates worden geïnstalleerd... u moet het systeem opnieuw opstarten, om de Updates af te ronden... 10%...30%...50%...70%...reboot...Sluit de computer niet af, Windows updates worden geïnstalleerd. -er zijn Windows updates beschikbaar, wilt u deze installeren? 'Ja' updates worden geïnstalleerd... u moet het systeem opnieuw opstarten, om de Updates af te ronden... 10%...30%...50%...70%...reboot...Sluit de computer niet af, Windows updates worden geinstalleerd ... 10%...30%...50%...70%..., inloggen. Zo, dat hebben we ook weer gehad. Maar na 5 minuten:
-er zijn Windows updates beschikbaar, wilt u deze installeren? 'Ja' updates worden geïnstalleerd... u moet het systeem opnieuw opstarten, om de Updates af te ronden... 10%...30%...50%...70%...reboot...Sluit de computer niet af, Windows updates worden geïnstalleerd. -er zijn Windows updates beschikbaar, wilt u deze installeren? 'Ja' updates worden geïnstalleerd... u moet het systeem opnieuw opstarten, om de Updates af te ronden... 10%...30%...50%...70%...reboot...Sluit de computer niet af, Windows updates worden geïnstalleerd ... 10%...30%...50%...70%..., inloggen.

Komt het jullie bekend voor, heren en dames Windows fanboy/girl?

Vorig jaar was ik 4 maanden weggeweest en stond mijn Ubuntu MediaPC dus 4 maanden stil. Bij thuiskomst: Aanzetten, melding van updatebeheer:
er zijn updates beschikbaar, wilt u deze nu installeren? Ja. Úploads worden gedownload...updates worden geïnstalleerd. U moet de PC herstarten, herstart nu, herstart later. Klik. Reboot. Binnen 5 minuten was alles bijgewerkt.

Wie zou er het meeste gniffelen, denken jullie?
17-02-2016, 14:45 door Anoniem
Ik zeg, gaan we weer. Er komt een bugje uit van Windows en ja hoor. Je leest direct wie er pro linux is. Er komt een bugje uit in linux en ja hoor. Je leest direct weer wie er pro windows is. Voor mij steeds meer een reden om dit forum te gaan verlaten. Stelletje kleuters die er hier op dit forum rond lopen.
17-02-2016, 15:14 door Anoniem
Door Anoniem: Ai. A hole big enought to drive a truck through...

Zo zie je maar, ook het o zo veilige Linux is niet perfect. Benieuwd wanneer de routerfabrikanten met updates komen, want daar zit het grootste risico imho.

Op mijn Fritz!box zie ik nog geen upates.... :'-(
17-02-2016, 15:50 door Ramon.C
Door Anoniem: Ik zeg, gaan we weer. Er komt een bugje uit van Windows en ja hoor. Je leest direct wie er pro linux is. Er komt een bugje uit in linux en ja hoor. Je leest direct weer wie er pro windows is. Voor mij steeds meer een reden om dit forum te gaan verlaten. Stelletje kleuters die er hier op dit forum rond lopen.

Ze denken allemaal in hokjes tegenwoordig.
links
rechts
moslim
niet-moslim
Linux
Windows
etc..

Ik geniet van beide systemen btw.
17-02-2016, 16:00 door [Account Verwijderd] - Bijgewerkt: 17-02-2016, 16:01
[Verwijderd]
17-02-2016, 16:06 door Anoniem
Het probleem zou sinds versie 2.9, die in mei 2008 verscheen, in de software aanwezig zijn.
En zo zien we maar weer: elke vernieuwing hoeft geen verbetering te zijn.
"Kiejp IT simpul ent stjoepid. "
Dat is al gek genoeg.
17-02-2016, 16:36 door [Account Verwijderd]
[Verwijderd]
17-02-2016, 16:37 door Joep Lunaar
Door MAC-user:Het is m.i. niet glibc maar eglibc waar de kwetsbaarheid in zit.
Het DNS buffermanagement probleem zit in beide libs; eglibc is een embedded variant afgeleid van glibc.
17-02-2016, 17:10 door Joep Lunaar
Zie voor meer (alle) informatie https://sourceware.org/ml/libc-alpha/2016-02/msg00416.html

De impact van het probleem valt waarschijnlijk wel mee.

Ten eerste zijn de meeste systemen die glibc als C library gebruiken up-to-date (via de vrijwel altijd automatische beveiligings updates van de gebruikte distributie. De systemen die in de regel minder of niet worden bijgehouden zoals modems, routers en smartphones, gebruiken meestal een andere C library zoals ulibc of musl (eglibc wordt minder vaak gebruikt.

Ten tweede gebruiken de wel kwetsbare systemen meestal een DNS server van een derde (ISP/Google/OpenDNS/enz) en die servers kunnen de voor een aanval benodigde misvormde DNS responses afvangen.
17-02-2016, 18:19 door [Account Verwijderd] - Bijgewerkt: 17-02-2016, 18:29
[Verwijderd]
17-02-2016, 18:44 door Anoniem
Door Ramon.C:
Door Anoniem: Ik zeg, gaan we weer. Er komt een bugje uit van Windows en ja hoor. Je leest direct wie er pro linux is. Er komt een bugje uit in linux en ja hoor. Je leest direct weer wie er pro windows is. Voor mij steeds meer een reden om dit forum te gaan verlaten. Stelletje kleuters die er hier op dit forum rond lopen.

Ze denken allemaal in hokjes tegenwoordig.
links
rechts
moslim
niet-moslim
Linux
Windows
etc..

Ik geniet van beide systemen btw.

Helemaal mee eens! Het zal de tijdgeest wel zijn, maar ik wordt persoonlijk ook erg moe van dat hele Wij - Zij denken.
17-02-2016, 19:28 door ph-cofi - Bijgewerkt: 17-02-2016, 21:14
https://sourceware.org/ml/libc-alpha/2016-02/msg00416.html
De mate van transparantie van het issue is op eenzaam hoog niveau. Eerst een probleemschets (voor kenners), dan mitigations en ten slotte de sourcecode (voor echte jeweetwels). Resolved today 03.52 UTC in glibc 2.23 (ik zie in verschillende distro's 2.19 en 2.22-9 verschijnen).
Een dergelijke bug kan blijkbaar heel lang mee voordat deze ontdekt is. Of behandeld wordt, wat niet per se een goed teken is.
17-02-2016, 19:33 door Anoniem
Door Anoniem:
Het probleem zou sinds versie 2.9, die in mei 2008 verscheen, in de software aanwezig zijn.
En zo zien we maar weer: elke vernieuwing hoeft geen verbetering te zijn.
"Kiejp IT simpul ent stjoepid. "
Dat is al gek genoeg.

De oorzaak zit in het optimaliseren van support voor IPv6.
Je weet wel, waar de wereld niet op zat te wachten en toch niks mee doet....
17-02-2016, 22:44 door karma4
Door Anoniem:
Door Ramon.C:
Ze denken allemaal in hokjes tegenwoordig.
Helemaal mee eens! Het zal de tijdgeest wel zijn, maar ik wordt persoonlijk ook erg moe van dat hele Wij - Zij denken.
Ook mee eens. Dat hokjesdenken verstoord elke verbetering tot een aanpak om tot betere security te komen.

Een fout in een programma biblotheek is ernstig. Die wordt niet verholpen door een DLL update of de library te updaten http://arstechnica.com/security/2016/02/extremely-severe-bug-leaves-dizzying-number-of-apps-and-devices-vulnerable/ "Some apps that were compiled with a vulnerable version of glibc will have to be recompiled with an updated version of the library, a process that will take time as users wait for fixes to become available from hardware manufacturers and app developers." en
"The widely used secure shell, sudo, and curl utilities are all known to be vulnerable, and researchers warn that the list of other affected apps or code is almost too diverse and numerous to fully enumerate. "
En of het 5 min. geduurd heeft? ik denk nog minder. Klaar en we zijn weer helemaal update.
Wie houdt wie nu voor de gek?
18-02-2016, 10:17 door Anoniem
Door Anoniem: LOL @ alle gniffelende Windoos gebruikers hierboven. Updatebeheer gestart, patch geïnstalleerd en alles weer ok, zonder reboots.

Je verhaal gaat niet helemaal op... Voor een dergelijke update is het verstandig om je Linux systeem te rebooten. libc is gelinkt aan teveel processen om er vanuit te gaan dat na een dergelijke update je systeem de nieuwe gebruikt ipv de oude die nog in het geheugen aanwezig is.
18-02-2016, 16:22 door Anoniem
Door Anoniem:
Door Anoniem: LOL @ alle gniffelende Windoos gebruikers hierboven. Updatebeheer gestart, patch geïnstalleerd en alles weer ok, zonder reboots.

Je verhaal gaat niet helemaal op... Voor een dergelijke update is het verstandig om je Linux systeem te rebooten. libc is gelinkt aan teveel processen om er vanuit te gaan dat na een dergelijke update je systeem de nieuwe gebruikt ipv de oude die nog in het geheugen aanwezig is.

I stand corrected... :-)
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.

Zoeken
search
Vacature
Vacature

Functionaris Gegevensbescherming (FG)

Als FG ben je de onafhankelijke toezicht-houder op naleving van de Algemene Verordening Gegevensbescherming (AVG) binnen de gehele TU/e. Je houdt toezicht op de toepassing en naleving van de AVG door de universiteit op diverse domeinen: onderwijs, onderzoek, valorisatie en bedrijfsvoering.

Lees meer
Vacature
Vacature

Digital Forensic Researcher

Netherlands Forensic Institute (NFI)

Immerse yourself in research projects covering the analysis, reparation, and accessing of modern integrated circuits at various levels, from packages to components. In addition, contribute to law enforcement in the Netherlands. You will only find that unique combination at the NFI, where you get to work as a digital forensic researcher and examiner.

Lees meer
Vacature
Vacature

Security consultant

Weet jij alles van security, governance, risk en compliancy en weet je dit te vertalen naar gerichte oplossingen voor onze klanten? Begrijp jij als geen ander zowel de inhoudelijke kant, als de ‘organizational change’ kant van cybersecurity? Dan ben jij wellicht onze nieuwe security consultant!

Lees meer
Vacature
Image

IT Security Officer

Wil jij werken bij een organisatie die het belang van informatiebeveiliging en privacy inziet en zich realiseert dat dit continue aandacht vergt? Als IT Security Officer bij Zaanstad heb je een coördinerende, ondersteunende en adviserende rol op het gebied van informatiebeveiliging. Een veelzijdige en uitdagende functie!

Lees meer
Vacature
Vacature

Privacy Officer / CISO

Denk jij bij het lezen van artikelen in de media die het belang rondom privacy en informatiebeveiliging duiden, het hoeft toch helemaal niet zover te komen als je als organisatie je zaken op orde hebt? Dan zoeken wij jou!

Lees meer
Vacature
Vacature

Digital Forensic Researcher Mobile Device Hacking

Netherlands Forensic Institute (NFI)

As a digital expert in the field of mobile device hacking, you will strengthen the Digital Technology team. Your challenge? Reverse engineer the workings and security of mobile consumer devices.

Lees meer
Nieuwe Huisregels en Privacy Policy

Op 5 december 2017 hebben we een nieuwe versie van onze huisregels en privacy policy ingevoerd. Om verder te kunnen gaan dien je eenmalig akkoord te gaan met de nieuwe huisregels van Security.NL.

Op 24 mei 2018 hebben we, in het kader van de AVG, onze privacy policy bijgewerkt. Om verder te kunnen gaan dien je eenmalig akkoord te gaan met de bijgewerkte privacy policy. Heb je vragen neem dan contact op met info@security.nl.

Verzenden
Privacy Policy

Op 24 mei 2018 hebben we, in het kader van de AVG, onze privacy policy bijgewerkt. Om verder te kunnen gaan dien je eenmalig akkoord te gaan met de bijgewerkte privacy policy. Heb je vragen neem dan contact op met info@security.nl.

Verzenden
Inloggen

Bedankt! Je kunt nu inloggen op je account.

Wachtwoord vergeten?
Nieuwe code captcha
Inloggen

Wachtwoord Vergeten

Wanneer je hieronder het e-mailadres van je account opgeeft wordt er een nieuwe activatielink naar je gestuurd. Deze link kun je gebruiken om een nieuw wachtwoord in te stellen.

Nieuwe code captcha
Stuur link

Password Reset

Wanneer je het juiste e-mailadres hebt opgegeven ontvang je automatisch een nieuwe activatielink. Deze link kan je gebruiken om een nieuw wachtwoord in te stellen.

Sluiten
Registreren bij Security.NL

Geef je e-mailadres op en kies een alias van maximaal 30 karakters.

Nieuwe code captcha
Verzenden

Registreren

Je hebt je succesvol aangemeld. Voordat je je account kunt gebruiken moet deze eerst geactiveerd worden. Dit kan je zelf doen middels de activatielink die naar het opgegeven e-mailadres is verstuurd.

Sluiten
Over Security.NL
Huisregels
Privacy Policy
Adverteren
© 2001-2021 Security.nl - The Security Council
RSS Twitter