Acabo de probar la vulnerabilidad descubierta en el núcleo, y lamentablemente afecta a CentOS 5. Detalles en http://www.alcancelibre.org/article.php/20080211182931638 con una captura de pantalla probando el exploit.
Urgente alguien de el estatus acerca del RPM del kernel con el parche correspondiente. Daniel Phillips publico en la lista del núcleo el parche que se requiere, que es realmente sencillo de aplicar:
--- linux-2.6.orig/fs/splice.c +++ linux-2.6/fs/splice.c @@ -1237,6 +1237,9 @@ static int get_iovec_page_array(const st if (unlikely(!base)) break;
+ if (unlikely(!access_ok(VERIFY_READ, base, len))) + break; + /* * Get this base offset and number of pages, then map * in the user pages.
Sip .. hasta un niño de 5 años conseguiria acceso a root :
http://www.milw0rm.com/exploits/5092
Por lo pronto dos formas , restringue de ser posible shell a tus luser y evita que compilen o restringue el acceso al compilador
slds
Joel Barrios escribió:
Acabo de probar la vulnerabilidad descubierta en el núcleo, y lamentablemente afecta a CentOS 5. Detalles en http://www.alcancelibre.org/article.php/20080211182931638 con una captura de pantalla probando el exploit.
Urgente alguien de el estatus acerca del RPM del kernel con el parche correspondiente. Daniel Phillips publico en la lista del núcleo el parche que se requiere, que es realmente sencillo de aplicar:
--- linux-2.6.orig/fs/splice.c +++ linux-2.6/fs/splice.c @@ -1237,6 +1237,9 @@ static int get_iovec_page_array(const st if (unlikely(!base)) break;
if (unlikely(!access_ok(VERIFY_READ, base, len)))break;- /*
- Get this base offset and number of pages, then map
- in the user pages.
On Monday 11 February 2008 19:54:58 Joel Barrios wrote:
Urgente alguien de el estatus acerca del RPM del kernel con el parche correspondiente. Daniel Phillips publico en la lista del núcleo el parche que se requiere, que es realmente sencillo de aplicar:
centos oficialmente esta atado de manos hasta q redhat lanze el parche de manera oficial.
de manera extraoficial
http://erek.blumenthals.com/blog/2008/02/11/rhel-5-centos-5-kernel-rpms-patc...
fue publicado hace mins en la lista oficial.
-- BlackHand
Pero no todo es tan malo: Centos4 no es vulnerable :) igual ocupa un kernel "viejo": el 2.6.9, lo probé antes y después de una actualización de kernel :D
Saludos !!
On Feb 11, 2008 10:49 PM, Black Hand yonsy@blackhandchronicles.homeip.net wrote:
On Monday 11 February 2008 19:54:58 Joel Barrios wrote:
Urgente alguien de el estatus acerca del RPM del kernel con el parche correspondiente. Daniel Phillips publico en la lista del núcleo el parche que se requiere, que es realmente sencillo de aplicar:
centos oficialmente esta atado de manos hasta q redhat lanze el parche de manera oficial.
de manera extraoficial
http://erek.blumenthals.com/blog/2008/02/11/rhel-5-centos-5-kernel-rpms-patc...
fue publicado hace mins en la lista oficial.
-- BlackHand
CentOS-es mailing list CentOS-es@centos.org http://lists.centos.org/mailman/listinfo/centos-es
Pues yo igual lo probe con CentOs 5 y lo raro que tampoco fue vulnerable :-S
http://www.koalasoftmx.net/article.php/20080211184912266
por que? . no se !!
I.S.C. William Lopez Jimenez wrote:
Pues yo igual lo probe con CentOs 5 y lo raro que tampoco fue vulnerable :-S
La prueba de concepto está programada para arquitectura de 64bits. Busca un parche para la prueba de concepto que permite que compile correctamente para 64bits.
ahi te funcionará de mil amores.
PD En el documento que enviastes hay un error en la versión del kernel.. 2.6.2.4.1 no tiene fallo.. es más.. dudo que existiera ese kernel.. supongo que de tantos puntos a poner te entró parkinson en el dedo y le pegastes uno entre el 2 y el 4
La prueba de concepto está programada para arquitectura de 64bits. Busca un parche para la prueba de concepto que permite que compile correctamente para 64bits.
ahi te funcionará de mil amores.
mmmmm ya decia que no podría ser "inmune" jeje .. checare eso !! , este es una excelente explicación.
PD En el documento que enviastes hay un error en la versión del kernel..
2.6.2.4.1 no tiene fallo.. es más.. dudo que existiera ese kernel.. supongo que de tantos puntos a poner te entró parkinson en el dedo y le pegastes uno entre el 2 y el 4
Gracias ya fue corregido ... fue mal de parkinson heredado de otro sitio, jajajaja
El día 12/02/08, I.S.C. William Lopez Jimenez william.koalasoft@gmail.com escribió:
La prueba de concepto está programada para arquitectura de 64bits. Busca un parche para la prueba de concepto que permite que compile correctamente para 64bits.
ahi te funcionará de mil amores.
mmmmm ya decia que no podría ser "inmune" jeje .. checare eso !! , este es una excelente explicación.
PD En el documento que enviastes hay un error en la versión del kernel..
2.6.2.4.1 no tiene fallo.. es más.. dudo que existiera ese kernel.. supongo que de tantos puntos a poner te entró parkinson en el dedo y le pegastes uno entre el 2 y el 4
Gracias ya fue corregido ... fue mal de parkinson heredado de otro sitio, jajajaja
-- I.S.C. William López Jiménez Departamento de Informática Admin. del Sitio Mozblan de Tenosique S.A de C.V. http://www.grupomozblan.com Mail: informatica@grupomozblan.com -- User Linux # 379636 MSN wljkoala23@hotmail.com Jabber koalasoft@jabber.org Jaberres koalasoft@jabberes.org http://www.koalasoftmx.net
CentOS-es mailing list CentOS-es@centos.org http://lists.centos.org/mailman/listinfo/centos-es
Actualmente todos mi servers son centos 4.x con kernels 2.6.9-x, pero de todas maneras me gustaria saber como probar el exploit, como debo hacerlo como compilar esta codigo y luego ejecutar el binario ?
--- linux-2.6.orig/fs/splice.c +++ linux-2.6/fs/splice.c @@ -1237,6 +1237,9 @@ static int get_iovec_page_array(const st if (unlikely(!base)) break;
+ if (unlikely(!access_ok(VERIFY_READ, base, len))) + break; + /* * Get this base offset and number of pages, then map * in the user pages.
mi preg igual hace referencia al codigo textual que debo ingresar en el archivo...
gracias
Guille wrote:
El día 12/02/08, I.S.C. William Lopez Jimenez william.koalasoft@gmail.com escribió:
La prueba de concepto está programada para arquitectura de 64bits. Busca un parche para la prueba de concepto que permite que compile correctamente para 64bits.
ahi te funcionará de mil amores.
mmmmm ya decia que no podría ser "inmune" jeje .. checare eso !! , este es una excelente explicación.
PD En el documento que enviastes hay un error en la versión del kernel..
2.6.2.4.1 no tiene fallo.. es más.. dudo que existiera ese kernel.. supongo que de tantos puntos a poner te entró parkinson en el dedo y le pegastes uno entre el 2 y el 4
Gracias ya fue corregido ... fue mal de parkinson heredado de otro sitio, jajajaja
-- I.S.C. William López Jiménez Departamento de Informática Admin. del Sitio Mozblan de Tenosique S.A de C.V. http://www.grupomozblan.com Mail: informatica@grupomozblan.com -- User Linux # 379636 MSN wljkoala23@hotmail.com Jabber koalasoft@jabber.org Jaberres koalasoft@jabberes.org http://www.koalasoftmx.net
CentOS-es mailing list CentOS-es@centos.org http://lists.centos.org/mailman/listinfo/centos-es
Actualmente todos mi servers son centos 4.x con kernels 2.6.9-x, pero de todas maneras me gustaria saber como probar el exploit, como debo hacerlo como compilar esta codigo y luego ejecutar el binario ?
En verdad no te hará falta, el vmsplice no fue implementado hasta el 2.6.17..... (parkinson?).....
pero lee el fuente del exploit, al inicio indica qué opciones del gcc hacen falta para compilarlo.. y así te diviertes un rato ;-)
-
"Ing. Ernesto Pérez Estévez" -
Black Hand -
Camilo Sperberg -
Gino Francisco Alania Hurtado -
Guille -
I.S.C. William Lopez Jimenez -
Joel Barrios