Dit zouden de Distro's zijn die kwetsbaar/niet-kwetsbaar zijn.

Is er iemand soms bezig geweest met AI-model Mythos, dat er opeens exploit na exploit na exploit verschijnen?

Alle pijlen gericht op linux dat is wat je leest,
als ze maar genoeg negativiteit kunnen vinden
door zoveel mogelijk lek,bugs onderzoeken te doen hoe veilig
linux nu daadwerkelijk is met behulp van AI.

Beveiligings besef of creer je angst wat zal het zijn of beiden?

Want er kan een beeld bij gebruikers
ontstaan zodat ze gaan twijfelen over linux.

Toeval of niet?

Ze waren in een stijgende lijn de afgelopen maanden vanwege
de problemen met windows 11.

Mensen blijven mensen,dus kiezen ze de aanval
als de andere partij aan het stijgen is,dit zie je ook
terug in de politiek.

Zouden we daadwerkelijk terug willen naar windows
of een ander os,nu ze linux zo kritisch aan het onderzoeken zijn?


Wereld2026

Nee, het is allemaal gebaseerd rond dezelfde exploit.
eqvinox op https://news.ycombinator.com/item?id=48059938 zei het al;
"And again it's band-aiding the problem. Can authencesn not be fixed or what?"

Er kunnen dus nog meer exploits gaan komen totdat het probleem fundamenteel is opgelost.

Uiteraard zijn ze er nu hard aan bezig, het Linux Kernel team (waaronder Torvalds) ondergaan nu een kernel-panic (-; maar ze komen er wel uit.
Het is niet gevaarlijk voor mensen die geen vreemden bij hun computer laten, het is een lokale exploit.

De lekken waren er altijd al maar, ondanks dat de code open is, heeft niemand er naar gezocht.

ik blijf me verbazen over de bijzonder slechte securityadviezen die hier gepost worden. Het is *wel* gevaarlijk omdat het als onderdeel van een andere exploit kan dienen en zo de aanval heel veel effectiever kan maken. Het fabeltje dat het je eigen PC, laptop of server is en daarmee geen gevaar vormt moet echt eens de wereld uit geholpen worden. Het aantal aanvallen op software leverancier is ongekend hoog. Kijk alleen eens naar alle populaire tools die recent steeds van malware worden voorzien.

Precies! Dat is het mooie van pentesting; je kunt de beveiliging van de desbetrefende software daarmee versterken. Het is als een symbiotische relatie.

Nee, het is een probleem waar je enkel een local user voor nodig hebt. www-data is ook een local user.

"Ja, maar jij hebt óók fouten!"

Klopt inderdaad. Daar had ik het mis, mijn dank voor uw correctie en een wijze les. Eerst denken dan posten, in die volgorde moet ik het doen, haha!

Klopt, u heeft helemaal gelijk. Excuses daarvoor, wou geen misinfo verspreiden, maar had te haastig gepost. (Was een zeer drukke en vermoeiende dag)

Bugs vinden is soms een tijdrovende klus. De Linux kernel wordt 24h per dag door AI en andere fuzzy logic aan de tand gevoeld. Dat is heel goed zo lang het maar snel wordt ge-patcht want het blijft mensen werk.

Geld voor closed source nog meer.

Er is geen ander CVE om te combineren (Linux != windows) waardoor een laptop gebruiker veel risico loopt. Voor een laptop gebruiker wordt het risico laag ingeschat. Zie Single-user laptops & workstations: https://copy.fail/

Inderdaad Same class as Copy Fail (CVE-2026-31431), different subsystem. Of te wel geen probleem voor mijn laptop of workstation. IK heb voor de zekerheid wel even de connectie met mijn windows station uitgezet.

Copy Fail is met een AI-tool gevonden. Daarna Dirty Frag, dat op Copy Fail lijkt, en daarna deze, die er ook weer op lijkt. Bij die laatste twee zie ik zo snel niet staan dat ze ook door een AI-tool gevonden zijn, maar het kan natuurlijk heel goed dat de eerste de aandacht heeft gevestigd op een manier van aanvallen uitvoeren en dat mensen met dat in gedachten opeens soortgelijke problemen wisten te herkennen.

Bij die bekende uitspraak uit alweer de vorige eeuw dat "many eyes make bugs shallow" merkte Linus Torvalds al op dat het herkennen dat er een probleem is veel moeilijker is dan het herkennen van oplossingen als je eenmaal weet dat het probleem er is. Het voordeel van die vele ogen zit in het laatste, niet of nauwelijks in het eerste.

Met andere woorden, als ik jou nu de opdracht geef om te denken aan wat totaal niet bij je opkomt, komt dan opeens toch bij je op waar ik aan denk (en wat ik niet gezegd heb) of werken dat soort dingen niet zo? Ze werken heel duidelijk niet zo, de opdracht bevat namelijk geen enkele inhoudelijke hint om de juiste associaties te triggeren en dat gebeurt dan ook niet.

Daarom vinden mensen niet zomaar alle beveiligingslekken in software. Alles vinden betekent denken aan alles waar je niet aan denkt. Doe je best, dat lukt je echt niet. Zelfs de meest briljante probleemoplossers onder ons worden getriggerd door iets, meestal een probleem dat optreedt, en niet door een probleem waar helemaal niets op wijst. Daarom vind ik je "heeft niemand er naar gezocht" onder de gordel. Gezocht wordt er volop, maar dat is niet alles wat een menselijk brein nodig heeft om alles te herkennen.

Dat recent AI-systemen meer blijken te kunnen is vermoedelijk omdat ze getraind zijn met godsgruwelijk veel informatie en daar toegang toe hebben op een andere manier dan menselijke hersenen dat doen. Die systemen kunnen daardoor iets dat wij niet kunnen (en het omgekeerde geldt ongetwijfeld ook). Daarmee is dit de eerste keer in de AI-hype van de laatste jaren dat ik denk dat er zowaar een AI-toepassing is gevonden die werkelijk iets toevoegt. Niet door iets van ons over te nemen maar door ons informatie te geven waar wij onze talenten weer op kunnen loslaten.

www-data of nobody of apache draait niet op een laptop, is namelijk webserver software. Buiten dat, SELinux zorgt er voor dat deze gebruiker niet bij systeemfiles kan. Eigenlijk helemaal niet buiten zijn eigen documentroot en ook niet inloggen (apache:x:48:48:Apache:/usr/share/httpd:/sbin/nologin) om een script te runnen.
Windpws 11 WSL2 is trouwens ook kwetsbaar en geen fix! Die draait vaak wel een webserver voor het testen en gebruikers starten vaak een bash shell met administrator rechten zodat elk windows filesysteem bereikbaar is.

Ach gut hij gaat op zich zelf reageren.
www-data is de standaardgebruiker en groep op Debian-gebaseerde Linux webserver systemen. Het wordt gebruikt om alleen webserverprocessen zoals Apache en Nginx te draaien. Deze gebruiker heeft beperkte rechten (kan bv niet inloggen, krijgt geen shell) om de veiligheid te waarborgen, waardoor een gecompromitteerde webserver niet direct de hele server kan overnemen.
Wordt op een Linux laptop niet geïnstalleerd, maar waarschijnlijk wel op een windows11 met WSL

Door de esp4, esp6, en rxrpc modules te verwijderen (rmmod voor modules, anders een recompile zonder deze modules), lost het probleem tijdelijk op. Let wel op want bijvoorbeeld IPSec werkt dan niet meer.

Wees je verder bewust van het feit dat exploits nooit alleen worden misbruikt, maar vaak in combinatie met andere exploits. Mensen die denken dat ze veilig zijn op een laptop, moeten dus even goed kijken in hun /etc/passwd bestand, welke accounts een shell hebben (/bin/bash, /bin/sh, enz.). Webservers hebben dat meestal niet, maar bijvoorbeeld postgresql weer wel.

Als je wilt weten hoe je zelf een kernel kunt bouwen (dus zonder deze drie modules), dan kun je bijvoorbeeld gebruik maken van het handbook voor Gentoo: https://wiki.gentoo.org/wiki/Handbook:AMD64/Installation/Kernel

Wees lief voor elkaar en help in plaats van elkaar af te zeiken. Dat is toch waar we hier voor komen?
May the kernel be with you!

Wees lief voor elkaar en vervolgens leidt je ze naar een Gentoo instructie pagina om een eigen kernel te bouwen. Haha wel atleast is het niet BLFS zullen we maar zeggen. (done both never again)

Maar deel je advies en mening we moeten wat aardiger zijn voor elkaar dit is nog maar het puntje van de ijsberg die naar boven komt we gaan als sector druk krijgen met tech debt patchen van vendors op al onze infrastructuren. Gelukkig herstarten servers in seconde tegenwoordig en niet meer in minuten.

De omschrijving op https://github.com/0xdeadbeefnetwork/Copy_Fail2-Electric_Boogaloo lijkt wel heel erg veel op die van Dirty Frag, het lijkt wel een nieuwe fancy naam voor dezelfde fout.

Linus snapt het heel goed, maar de fanboys - zeker hier - verklaren altijd dat open source zoveel veiliger is omdat "iedereen bugs kan vinden" .

En dan blijkt nog wel eens dat de "iedereens" die dat ook doen er niet zoveel zijn, _zeker_ bij ietwat obscure projecten.
De kernel heeft al sinds jaar en dag allerlei static code analysers, en fuzzers (syzbot) - nu al zoveel AI meuk dat momenteel de documentatie aangepast wordt om _niet_ standaard iets wat lijkt op een security probleem naar de security maintainers te sturen.(wegens overload - en "te simpel te vinden om geheim te houden)


Als je niet kijkt vind je zeker niks.


Het klopt dat een stijl van 'out of the box' denken nodig is voor pentesting. Maar het is ook een stuk ervaring om te weten waar het "typisch" fout gedaan wordt en dan vooral naar die patronen te zoeken.
En soort van precisie om _overal_ te denken in een code pad - maar klopt dat wel, wat als er meer data binnen komt, wat als er precies op dit moment ... , en dan uit analyseren of dat _echt niet_ kan gebeuren .
Dat is een mix van ervaring en "het type persoon" .


Een hoop bugbounties worden ingetrokken omdat het processen van AI meuk - teveel capaciteit kost .
Meuk omdat er ook niet-reeele bugs geclaimd worden - gooi maar en kijk of het plakt .