Belangrijke Linux-update verhelpt ernstig glibc-lek
Er is een belangrijke update voor Linux uitgekomen die een ernstige kwetsbaarheid in glibc verhelpt, de GNU C-softwarebibliotheek. Het beveiligingslek was door onderzoekers van zowel Google als Red Hat onafhankelijk van elkaar gevonden. Via het lek kan een aanvaller op afstand code op systemen uitvoeren.
Glibc wordt onder andere gebruikt door OpenSSH, curl, wget en sudo. Google laat weten dat de ontwikkelaars van glibc vorig jaar juli al op het probleem waren gewezen. Het probleem zou sinds versie 2.9, die in mei 2008 verscheen, in de software aanwezig zijn. Naast Linux lopen mogelijk ook tal van applicaties risico die van de softwarebibliotheek gebruikmaken.
Inmiddels zijn er voor verschillende Linux-distributies updates verschenen. Vanwege de ernst van de kwetsbaarheid krijgen gebruikers en beheerders het advies om de update zo snel als mogelijk te installeren. Volgens Google zijn er namelijk allerlei manieren om van de kwetsbaarheid gebruik te maken, waaronder ssh, sudo en curl.
https://nl.wikipedia.org/wiki/Contradictio_in_terminis
Ilja. _\\//
(Sorry, couldn't resist.. ;-)
tot zover mijn cynisme...
Zo zie je maar, ook het o zo veilige Linux is niet perfect. Benieuwd wanneer de routerfabrikanten met updates komen, want daar zit het grootste risico imho.
$ ldd /usr/bin/ssh
...
libc.so.6 => /lib64/libc.so.6 (0x00007fa34b468000)
...
https://nl.wikipedia.org/wiki/Contradictio_in_terminis
Ilja. _\\//
(Sorry, couldn't resist.. ;-)
Waar komt deze frustratie vandaan? Is het patchen van de 6 kritieke windows lekken niet helemaal goed gegaan?
Ook Linux bevat fouten. Het is namelijk door mensen gemaakt. De gemeenschap is daar heel transparant over en is daar trots op. De vuile was buiten hangen is niet iedereen gegeven.
Ik heb op m'n laptop een dual boot met Windows, en had Windows al 2 maanden of zo niet opgestart.
-er is een probleem met Windows update waardoor de updates niet kunnen worden geïnstalleerd
-FixIt gerund, die een patch installeerde, reboot.
-Windows update werd bijgewerkt. 'Er zijn meer updates, klik om deze te installeren' '?lik!' De updates kunnen niet worden geïnstalleerd omdat de PC is uitgeschakeld (WTF?)
-maar weer eens een reboot gedaan.
-er zijn Windows updates beschikbaar, wilt u deze installeren? 'Ja' updates worden geïnstalleerd... u moet het systeem opnieuw opstarten, om de Updates af te ronden... 10%...30%...50%...70%...reboot...Sluit de computer niet af, Windows updates worden geïnstalleerd. -er zijn Windows updates beschikbaar, wilt u deze installeren? 'Ja' updates worden geïnstalleerd... u moet het systeem opnieuw opstarten, om de Updates af te ronden... 10%...30%...50%...70%...reboot...Sluit de computer niet af, Windows updates worden geinstalleerd ... 10%...30%...50%...70%..., inloggen. Zo, dat hebben we ook weer gehad. Maar na 5 minuten:
-er zijn Windows updates beschikbaar, wilt u deze installeren? 'Ja' updates worden geïnstalleerd... u moet het systeem opnieuw opstarten, om de Updates af te ronden... 10%...30%...50%...70%...reboot...Sluit de computer niet af, Windows updates worden geïnstalleerd. -er zijn Windows updates beschikbaar, wilt u deze installeren? 'Ja' updates worden geïnstalleerd... u moet het systeem opnieuw opstarten, om de Updates af te ronden... 10%...30%...50%...70%...reboot...Sluit de computer niet af, Windows updates worden geïnstalleerd ... 10%...30%...50%...70%..., inloggen.
Komt het jullie bekend voor, heren en dames Windows fanboy/girl?
Vorig jaar was ik 4 maanden weggeweest en stond mijn Ubuntu MediaPC dus 4 maanden stil. Bij thuiskomst: Aanzetten, melding van updatebeheer:
er zijn updates beschikbaar, wilt u deze nu installeren? Ja. Úploads worden gedownload...updates worden geïnstalleerd. U moet de PC herstarten, herstart nu, herstart later. Klik. Reboot. Binnen 5 minuten was alles bijgewerkt.
Wie zou er het meeste gniffelen, denken jullie?
Zo zie je maar, ook het o zo veilige Linux is niet perfect. Benieuwd wanneer de routerfabrikanten met updates komen, want daar zit het grootste risico imho.
Op mijn Fritz!box zie ik nog geen upates.... :'-(
Ze denken allemaal in hokjes tegenwoordig.
links
rechts
moslim
niet-moslim
Linux
Windows
etc..
Ik geniet van beide systemen btw.
"Kiejp IT simpul ent stjoepid. "
Dat is al gek genoeg.
De impact van het probleem valt waarschijnlijk wel mee.
Ten eerste zijn de meeste systemen die glibc als C library gebruiken up-to-date (via de vrijwel altijd automatische beveiligings updates van de gebruikte distributie. De systemen die in de regel minder of niet worden bijgehouden zoals modems, routers en smartphones, gebruiken meestal een andere C library zoals ulibc of musl (eglibc wordt minder vaak gebruikt.
Ten tweede gebruiken de wel kwetsbare systemen meestal een DNS server van een derde (ISP/Google/OpenDNS/enz) en die servers kunnen de voor een aanval benodigde misvormde DNS responses afvangen.
Ze denken allemaal in hokjes tegenwoordig.
links
rechts
moslim
niet-moslim
Linux
Windows
etc..
Ik geniet van beide systemen btw.
Helemaal mee eens! Het zal de tijdgeest wel zijn, maar ik wordt persoonlijk ook erg moe van dat hele Wij - Zij denken.
De mate van transparantie van het issue is op eenzaam hoog niveau. Eerst een probleemschets (voor kenners), dan mitigations en ten slotte de sourcecode (voor echte jeweetwels). Resolved today 03.52 UTC in glibc 2.23 (ik zie in verschillende distro's 2.19 en 2.22-9 verschijnen).
Een dergelijke bug kan blijkbaar heel lang mee voordat deze ontdekt is. Of behandeld wordt, wat niet per se een goed teken is.
"Kiejp IT simpul ent stjoepid. "
Dat is al gek genoeg.
De oorzaak zit in het optimaliseren van support voor IPv6.
Je weet wel, waar de wereld niet op zat te wachten en toch niks mee doet....
Ze denken allemaal in hokjes tegenwoordig.
Een fout in een programma biblotheek is ernstig. Die wordt niet verholpen door een DLL update of de library te updaten http://arstechnica.com/security/2016/02/extremely-severe-bug-leaves-dizzying-number-of-apps-and-devices-vulnerable/ "Some apps that were compiled with a vulnerable version of glibc will have to be recompiled with an updated version of the library, a process that will take time as users wait for fixes to become available from hardware manufacturers and app developers." en
"The widely used secure shell, sudo, and curl utilities are all known to be vulnerable, and researchers warn that the list of other affected apps or code is almost too diverse and numerous to fully enumerate. "
En of het 5 min. geduurd heeft? ik denk nog minder. Klaar en we zijn weer helemaal update.
Wie houdt wie nu voor de gek?
Je verhaal gaat niet helemaal op... Voor een dergelijke update is het verstandig om je Linux systeem te rebooten. libc is gelinkt aan teveel processen om er vanuit te gaan dat na een dergelijke update je systeem de nieuwe gebruikt ipv de oude die nog in het geheugen aanwezig is.
Je verhaal gaat niet helemaal op... Voor een dergelijke update is het verstandig om je Linux systeem te rebooten. libc is gelinkt aan teveel processen om er vanuit te gaan dat na een dergelijke update je systeem de nieuwe gebruikt ipv de oude die nog in het geheugen aanwezig is.
I stand corrected... :-)
Deze posting is gelocked. Reageren is niet meer mogelijk.
Functionaris Gegevensbescherming (FG)
Als FG ben je de onafhankelijke toezicht-houder op naleving van de Algemene Verordening Gegevensbescherming (AVG) binnen de gehele TU/e. Je houdt toezicht op de toepassing en naleving van de AVG door de universiteit op diverse domeinen: onderwijs, onderzoek, valorisatie en bedrijfsvoering.
Digital Forensic Researcher
Netherlands Forensic Institute (NFI)
Immerse yourself in research projects covering the analysis, reparation, and accessing of modern integrated circuits at various levels, from packages to components. In addition, contribute to law enforcement in the Netherlands. You will only find that unique combination at the NFI, where you get to work as a digital forensic researcher and examiner.
Security consultant
Weet jij alles van security, governance, risk en compliancy en weet je dit te vertalen naar gerichte oplossingen voor onze klanten? Begrijp jij als geen ander zowel de inhoudelijke kant, als de ‘organizational change’ kant van cybersecurity? Dan ben jij wellicht onze nieuwe security consultant!
IT Security Officer
Wil jij werken bij een organisatie die het belang van informatiebeveiliging en privacy inziet en zich realiseert dat dit continue aandacht vergt? Als IT Security Officer bij Zaanstad heb je een coördinerende, ondersteunende en adviserende rol op het gebied van informatiebeveiliging. Een veelzijdige en uitdagende functie!
Privacy Officer / CISO
Denk jij bij het lezen van artikelen in de media die het belang rondom privacy en informatiebeveiliging duiden, het hoeft toch helemaal niet zover te komen als je als organisatie je zaken op orde hebt? Dan zoeken wij jou!
Digital Forensic Researcher Mobile Device Hacking
Netherlands Forensic Institute (NFI)
As a digital expert in the field of mobile device hacking, you will strengthen the Digital Technology team. Your challenge? Reverse engineer the workings and security of mobile consumer devices.