V linuxovom manažéri balíčkov APT vážna chyba, umožňuje hacknúť systémy

Značky: bezpečnosťLinux

DSL.sk, 23.1.2019

V nástroji pre sťahovanie softvérových balíčkov z repozitárov v linuxovej distribúcii Debian a mnohých odvodených distribúciách APT sa nachádza vážna bezpečnostná zraniteľnosť, ktorá umožňuje útočníkovi MiTM útokom podvrhnúť zvolený kód a spustiť ho s oprávneniami roota.

Zraniteľnosť identifikoval Max Justicz, Debian ju opravil v novej verzii APT 1.4.9 a napríklad Ubuntu v rozličných verziách podľa verzie distribúcie.

APT podporuje sťahovanie informácií z repozitárov a balíčkov aj cez protokol HTTP modifikovateľný útočníkom schopným modifikovať dátovú prevádzku užívateľa, pričom podvrhnutiu dát zabraňuje použitím kryptografických podpisov zoznamu balíčkov a overovaním hash samotných balíčkov.

Chyba v kóde pre sťahovanie cez HTTP ale umožňuje pri HTTP presmerovaní URL útočníkovi modifikovať informácie posielané interným protokolom medzi viacerými procesmi APT a podvrhnúť tak dáta hlavnému procesu, ktorý dáta v medziprocesovej komunikácii vrátane uvádzaných hash už znovu neoveruje. Takto je možné podvrhnúť falošný balíček a keďže APT beží s oprávneniami roota, pri jeho inštalácii sa spustí podvrhnutý kód s takýmito oprávneniami.

Viaceré distribúcie používajú štandardne repozitáre cez HTTP vrátane Debianu, aktualizovať opravenú verziu samotného manažéra APT na systém plne bezpečne je možné buď zakázaním HTTP presmerovania pomocou voľby "-o Acquire::http::AllowRedirect=false" pri spustení apt alebo manuálnym stiahnutím a overením aktualizácií. Pre Debian je k dispozícii návod v oznámení zraniteľnosti.


Najnovšie články:



Diskusia:

Lunex Od: qweasd | Pridané: 23.1.2019 9:14 V dnesnej dobe nesifrovat a pouzivat http na tak dolezitu vec ako su aplikacie je maximalne amaterske. Odpovedať Známka: -1.5 Hodnotiť:

Re: Lunex Od: McUH | Pridané: 23.1.2019 9:22 Balíčky neobsahujú nič tajné, šifrovanie je zbytočný luxus. Problém bol kvôli chybe v implementácii podpisov/hash, proti tomu ťa šifrovanie neochráni - môžeš mať pre zmenu chybu pri implementovaní šifrovania. Odpovedať Známka: 4.8 Hodnotiť:

Re: Lunex Od: sizej | Pridané: 23.1.2019 10:00 da sa na to pozriet aj inac, napriklad ak zijes v takej cine a rozhodnes sa stiahnut openvpn, hned o tebe vedia Odpovedať Známka: 5.7 Hodnotiť:

Re: Lunex Od: qwertyuiop1 | Pridané: 23.1.2019 16:16 Stahujes z mirrorov, takze ked stiahnes z toho cinskeho, vedia o teba ci uz s https alebo bez. Btw, balicky distribucii maju este jednu zaujimavu vlastnost: daju sa identifikovat podla toho, kolko bajtov sa prenieslo v session (velmi maly zlomok ma rovnaku velkost). Ci uz boli sifrovane, alebo nie. Odpovedať Známka: 10.0 Hodnotiť:

ničivý praktik S005E0030 Od: syntaxterrorXX. X | Pridané: 23.1.2019 12:19 V demokratickej spolocnosti je definicia pojmu zbytočný luxus oficiálne priekazne právomocou výhradne ultrapravicových radikálov. Odpovedať Známka: -2.9 Hodnotiť:

Re: Lunex Od: qweasd | Pridané: 23.1.2019 16:33 Sifrovanie ta nechrani iba pred prezradenim tajnych dat, ale aj pred ich zmenou. Odpovedať Známka: 2.0 Hodnotiť:

Re: Lunex Od: quix_zabudol_som_heslo | Pridané: 23.1.2019 19:38 ak ti niekto zmeni balicok nesedi ti predsa checksum. a ak uz raz ovlada utocnik domenu, tak mozes mat sifrovane co chces. Odpovedať Známka: 10.0 Hodnotiť:

Re: Lunex Od reg.: Mam nejake | Pridané: 23.1.2019 9:22 Preto vsetci "amateri" pouzivaju Debian(a obnose) .. :D :D :D Odpovedať Známka: -7.5 Hodnotiť:

Re: Lunex Od: qweasd | Pridané: 23.1.2019 16:40 Mas pravdu, amateri pouzivaju napr. Debian. Ak chces riesit nieco seriozne, potrebujes podporu, napr. od Red Hat. Odpovedať Známka: -4.3 Hodnotiť:

Re: Lunex Od: Snake... | Pridané: 23.1.2019 22:28 IBM* Odpovedať Hodnotiť:

Gvdtc Od: Gbff | Pridané: 23.1.2019 9:25 Cmd run install-windows.exe Odpovedať Známka: -0.4 Hodnotiť:

Re: Gvdtc Od: mif | Pridané: 23.1.2019 9:49 syscopy C: Odpovedať Známka: -3.3 Hodnotiť:

Re: Gvdtc Od: hulvat2 | Pridané: 23.1.2019 9:59 format c:\ Odpovedať Známka: 6.9 Hodnotiť:

Re: Gvdtc Od: 0.0.0.0 | Pridané: 23.1.2019 10:19 do 100 vl 90 do 100 vl 90 do 100 vl 90 do 100 Odpovedať Známka: -2.0 Hodnotiť:

MAMRDisk Od: jajajajajaja | Pridané: 23.1.2019 10:27 Som sklamaný, 8 komentárov a nikto nenapísal install arch Odpovedať Známka: -1.4 Hodnotiť:

Re: MAMRDisk Od reg.: Uhlik | Pridané: 23.1.2019 11:35 sudo apt install arch Odpovedať Známka: 8.3 Hodnotiť:

Re: MAMRDisk Od: Jamicon | Pridané: 23.1.2019 13:37 emerge -av -j3 --keep-going @arch Odpovedať Hodnotiť:

Re: MAMRDisk Od: Mxxl | Pridané: 23.1.2019 13:54 haha tak ale toto som nečakal: $ sudo pacman -S arch riešim závislosti..... kontrolujem konflikty balíčkov... Balíčky (1) arch-1.3.5-12 Celková veľkosť sťahovania: 0,35 MiB Celková inštalovaná veľkosť: 1,15 MiB :: Pokračovať v inštalácii? [A/n] Odpovedať Známka: 7.5 Hodnotiť:

Re: MAMRDisk Od: tak urcite | Pridané: 23.1.2019 18:51 rm -rf / Odpovedať Hodnotiť:

spam? Od: marrDE | Pridané: 23.1.2019 13:48 Dnes, ked som chcel otvorit stranku www.zdravie-nonstop.sk/,tak ma presmerovalo na http://app6177.cmcgates99.life/... . Cely link je tu https://lnk.sk/oqV5 . Ze so vyhral mobil. Pozna niekto tie stranky? Odpovedať Známka: -10.0 Hodnotiť:

Re: spam? Od: Mxxl | Pridané: 23.1.2019 13:56 akože či si naozaj vyhral mobil? nepoznám Odpovedať Známka: 7.1 Hodnotiť:

Re: spam? Od: marrDE | Pridané: 23.1.2019 14:04 pyta to meno adresu bydliska tel cislo.komplet vsetko. Uz som sa rozpraval s jednym. http://www.zdravie-nonstop.sk Maju hacknuty server Odpovedať Známka: 0.0 Hodnotiť:

Re: spam? Od: Tomek ma bobek | Pridané: 23.1.2019 16:07 Podľa mňa žiadne háčkovanie. Len ide o novú reklamnú kampaň. Nemáš zdravie? Maj mobil! Iba na zdravie - nonstop. sk Odpovedať Známka: 10.0 Hodnotiť:

emerge Od: q-p | Pridané: 24.1.2019 22:11 #installgentoo Odpovedať Hodnotiť:

Pridať komentár