Vulnerabilità critica su Glibc mette a rischio sistemi Linux: rilasciato il fix

[Redazione di Hardware Upg]

Link alla notizia: http://www.hwupgrade.it/news/sicurez...fix_61015.html

Google e Red Hat hanno scoperto in maniera indipendente una vulnerabilità di sicurezza introdotta su un aggiornamento della libreria glibc del 2008

Click sul link per visualizzare la notizia.

[El Tazar]

Vecchia e attiva da parecchi anni, la vulnerabilità è stata scoperta da Google e Red Hat e divulgata solamente lo scorso martedì dopo essere stata corretta.

Non voglio trollare..ma da profano leggo spesso di queste vulnerabilità, gravi e meno gravi, scoperte adesso ma che erano presenti da molti anni e mi chiedo: non è che le vulnerabilità (che una volta scoperte vengono prontamente sistemate) sono sempre state poche su Linux solo perchè erano in pochi che le cercavano, a dispetto dei "molti occhi" che possono leggere il codice?


Ripeto, non sto trollando ma vorrei sapere se solo io lo penso...

[Pier2204]

E' stata introdotta nel 2008, è stata scoperta da Google e Red Hat lo scorso anno.. oggi c'è una procedura temporane messa a punto da Google per proteggersi, in quanto la falla è attualmente ancora attiva..

Dal 2008 a oggi sono più di 7 anni, possibile che i 10.000 occhi che osservano il codice non si sono accorti? (slogan dei mille occhi che sento da tempo) chi si è accorto sono 2 Aziende di grosse dimensioni come Google e Red Hat?

Possibile che questa falla presente nella libreria GNU C, collezione di codici open-source utilizzati in svariate applicazioni stand-alone e da parecchie distribuzioni di Linux, incluse quelle pensate per soluzioni embedded o router è passata completamente inosservata per tanti anni?

Chissa che ne pensa Battilei

[eaman]

Be' di sicuro c'e' meno gente che si legge le glibc rispetto a chesso: python-django.

...che in ogni caso sono sempre di piu' di quelli che _non_possono_ leggere il codice proprietario non disponibile di altri fornitori :P

E' un discorso che non tutti percepiscono: il software non e' figo perche' e' open source bensi' quando tanti ci lavorano liberamente e' figo, quindi deve essere open source.

E' come mysql e postgresql: mysql era open source ma gestito da un solo operatore e quando questo e' stato fatto fuori sono stati (e sono ora) dolori.

Ergo: non e' che se domani MS rilascia i sorgenti (impossibile: chissa' cosa c'e' dentro) improvvisamente diventa sicuro e forkabile. E' sicuro quando sottoposto a molteplici reviews e "dependable" quando ha dietro una community che lo conosce e lo sviluppa.

[andrew04]

Originariamente inviato da El Tazar

Non voglio trollare..ma da profano leggo spesso di queste vulnerabilità, gravi e meno gravi, scoperte adesso ma che erano presenti da molti anni e mi chiedo: non è che le vulnerabilità (che una volta scoperte vengono prontamente sistemate) sono sempre state poche su Linux solo perchè erano in pochi che le cercavano, a dispetto dei "molti occhi" che possono leggere il codice?


Ripeto, non sto trollando ma vorrei sapere se solo io lo penso...

No le falle scoperte di linux più o meno sono sempre sullo stesso numero dal 2004, indipendentemente dalle percentuali e indipendentemente da quanti o chi le vedono
http://www.cvedetails.com/product/47...l?vendor_id=33

Ci sono stati giusto alcuni picchi negli anni in cui qualche azienda ha investito in Linux (2005 Ubuntu e 2013 Valve)

In ogni caso la falla dell'articolo (come specificato dallo stesso articolo anche) non è del kernel Linux direttamente ma di un componente della parte del sistema GNU, appunto Glibc, che poi unita al kernel forma il sistema GNU/Linux
(Ecco, ora mi sento Stallman per aver fatto questa precisazione )

[adapter]

Mazza ho...
Certe notizie per alcuni utenti sono come quando perde la Juve.
Uno ci spera. Così poi può festeggiare....

[fano]

Originariamente inviato da El Tazar

Non voglio trollare..ma da profano leggo spesso di queste vulnerabilità, gravi e meno gravi, scoperte adesso ma che erano presenti da molti anni e mi chiedo: non è che le vulnerabilità (che una volta scoperte vengono prontamente sistemate) sono sempre state poche su Linux solo perchè erano in pochi che le cercavano, a dispetto dei "molti occhi" che possono leggere il codice?


Ripeto, non sto trollando ma vorrei sapere se solo io lo penso...

Sì è esattamente così: prima Linux praticamente non lo usava nessuno ora inizia ad essere leggermente più usato dalle grandi aziende e si scopre che è un colabrodo!

Il problema è che le grandi corporation hanno pensato bene di dismettere i loro "veri" OS per affidarsi a Linux perché "è gratis" e il risparmio è stato doppio visto che hanno licenziato il loro intero team di sviluppo (AIX è morto, Solaris è morto, ...)! Peccato che il codice Open Source - in realtà - tra il fatto che sarà codice illeggibile / incomprensibile e tra che nessuno ne ha voglia non viene guardato, ma solo visto!
Lo slogan è "Compila? Dunque funziona!" e via che si mergia!

E` la stessa cosa di OpenSSL era piena di bachi ed era un codice senza senso eppure tutti lo usavano! Qualcuno lo aveva mai guardato?

P.S. A onor del vero anche se Android ha forkato completamente il kernel Linux (e Google ne ha riscritto una buona parte probabilmente) e usa Bionic non è invulnerabile (come Superman ), ma NON vulnerabile a questo specifico bug, magari ne avrà chissà quanti altri! Finché si usa C/C++ non esistono software sicuri...

[adapter]

Originariamente inviato da emiliano84

non e' questione di sperarci ... e' risaputo che non esiste un software 100% sicuro

E infatti è risaputo anche che molti, scelgono il più sicuro.
Delle altre "pippe" sulla percentuale di mercato, percentuale di sicurezza, del perché e del percome non interessa nulla di nulla a nessuno.
Quindi mi viene da ridere quando un affezionato ai sistemi Microsoft si fionda su notizie come queste e cercare il suo momento di gloria.

[WarDuck]

Originariamente inviato da El Tazar

Non voglio trollare..ma da profano leggo spesso di queste vulnerabilità, gravi e meno gravi, scoperte adesso ma che erano presenti da molti anni e mi chiedo: non è che le vulnerabilità (che una volta scoperte vengono prontamente sistemate) sono sempre state poche su Linux solo perchè erano in pochi che le cercavano, a dispetto dei "molti occhi" che possono leggere il codice?


Ripeto, non sto trollando ma vorrei sapere se solo io lo penso...

Basterebbe semplicemente essere obiettivi e accettare l'idea che il software in quanto fatto da esseri umani può essere soggetto ad errori.

L'open source consente di guardare il codice sorgente e scoprire eventuali magagne.

È una possibilità in più, non un obbligo.

Dopodiché c'è chi fa il ricercatore di sicurezza per mestiere, e chi invece scopre un bug per casualità.

Nessuno tipicamente si mette a leggere del codice per cercare degli errori se questi non si manifestano in qualche modo, a meno che appunto tu non sia un ricercatore nel campo della sicurezza.

[GTKM]

Originariamente inviato da fano

Sì è esattamente così: prima Linux praticamente non lo usava nessuno ora inizia ad essere leggermente più usato dalle grandi aziende e si scopre che è un colabrodo!

Mostrami le centinaia di falle che lo rendono un colabrodo.

Originariamente inviato da fano

E` la stessa cosa di OpenSSL era piena di bachi ed era un codice senza senso eppure tutti lo usavano! Qualcuno lo aveva mai guardato?

Se non ricordo male, il bug era uno (gravissimo eh, e non mi spiego come sia stato possibile non notarlo per 2 anni).
Codice senza senso, sulla base di quale argomentazione tecnica?

Originariamente inviato da fano

Finché si usa C/C++ non esistono software sicuri...

Finché si scriveranno software, non saranno mai esenti da bug. Il linguaggio utilizzato non c'entra una mazza.

Che poi, un OS, o un componente di basso livello, con che lo vorresti scrivere? Java ( ).

[fano]

Originariamente inviato da GTKM

Mostrami le centinaia di falle che lo rendono un colabrodo.

Se non ricordo male, il bug era uno (gravissimo eh, e non mi spiego come sia stato possibile non notarlo per 2 anni).
Codice senza senso, sulla base di quale argomentazione tecnica?

Io - che sono masochista - il codice dove il bug si trovava l'ho guardato!

1. Funzione di 1000 righe con codice ripetuto
2. Migliaia di goto
3. Macro orrende a dai nomi incomprensibili
4. if la cui graffa si chiudeva dopo centinai di righe!

Tutto questo faceva sì che il BUG era difficile da trovare appunto perché non si riusciva a comprendere il codice!

Originariamente inviato da GTKM

Finché si scriveranno software, non saranno mai esenti da bug. Il linguaggio utilizzato non c'entra una mazza.

Certo codice scritto male non esente da bug è possibile scriverlo in qualsiasi linguaggio si usi, ma C/C++ sono unsafe by design è così facile scrivere codice bacato con buffer underrun / underflow che poi permette - chissà come - di scardinare tutta la sicurezza dell'OS fino a chiamare pezzi del kernel...

Originariamente inviato da GTKM

Che poi, un OS, o un componente di basso livello, con che lo vorresti scrivere? Java ( ).

No, in Java no... in C#
Che non vuol dire far girare l'OS sotto una VM, Cosmos una volta compilato l'IL con il normale compilatore Microsoft viene ricompilato in assembler come fa il C, mantenendo comunque la sicurezza (le Stringhe per dire hanno sempre la dimensione giusta non posso scriverci più di quanto ho allocato) di avere un linguaggio Managed.
E` una sfida complessa, ma che si possa fare è certo, è già stato fatto:

http://joeduffyblog.com/2015/12/19/safe-native-code/

[s-y]

beh, non e' la prima e non sara' neanche l'ultima
non vorrei fare il confronto, che non e' una gara (chi se ne frega) ma dove il codice e' chiuso, spesso manco si sa (e con molti meno dettagli utili a metterci una pezza)

/estiqaatsi mode off

[adapter]

Originariamente inviato da emiliano84

quindi mi stai dicendo che windows phone/mobile e' l'OS piu' sicuro in assoluto

Siamo su una news che parla di Linux.
Ma se ti fa piacere sentirti dire che, in ambito mobile, un O.S che non si fila praticamente nessuno è sicuro allora te lo dico...

[WarDuck]

Rispondo solo a questo perché il delirio non continui...

Originariamente inviato da fano

Certo codice scritto male non esente da bug in qualsiasi linguaggio si usi, ma C/C++ sono unsafe by design è così facile scrivere codice bacato con buffer underrun / underflow che poi permette - chissà come - di scardinare tutta la sicurezza dell'OS fino a chiamare pezzi del kernel...

Un linguaggio non può essere sicuro/non sicuro.

Il codice che scrivi può essere codice scritto bene o scritto male.

Dipende da quanto sei in grado di rispettare le best practices e da quanto sei capace di comprendere cosa stai facendo esattamente e perché.

E non risolvi il problema come pensi tu aggiungendo altro codice alla minestra, che è quello che viene fatto con i linguaggi che tu consideri "safe": alla fine si basano su interpreti/compilatori JIT scritti in... C/C++.

Nota bene: devi "fidarti" abbastanza di ciò che fa l'hardware e di ciò che fa il compilatore (che non sono esenti da bug).

È aggiungendo codice su codice che si introducono i bug.

Tutto questo perché? Perché uno "sviluppatore" non è in grado di gestire la memoria correttamente? Dal mio punto di vista vuol dire che non è in grado di fare lo sviluppatore e non dovrebbe farlo.

[pabloski]

Originariamente inviato da WarDuck

Un linguaggio non può essere sicuro/non sicuro.

Il codice che scrivi può essere codice scritto bene o scritto male.

Però ci sono linguaggi che offrono strumenti e meccanismi semantici che aiutano a scrivere codice più sicuro. Un programmatore non è una macchina, per cui non bisogna scaricargli addosso tutte le responsabilità sul fronte sicurezza e robustezza.

Esistono linguaggi come Rust, ma purtroppo ( e mi costa dirlo ) la comunità opensource in particolare sembra estremamente refrattaria ad utilizzarli. E' pazzesco dover notare che un software fondamentale come SystemD sia stato scritto ancora nel solito, usato ed abusato C.

[adapter]

Originariamente inviato da emiliano84

Ma come non avevi detto che il market share era una minchiata? Perché non mi pare che quello di linux desktop sia tanto superiore a windows mobile

Se vabbè stammi bene.
Ci vediamo sulla prossima news simile a questa dove sarai già in mano con la bottiglia pronto a festeggiare.
Ma quanti anni hai?
A no aspè...Ho capito...

[andrew04]

Originariamente inviato da adapter

Mazza ho...
Certe notizie per alcuni utenti sono come quando perde la Juve.
Uno ci spera. Così poi può festeggiare....

Vero...

[ot]Con il Bologna perde! Forza Napoli! [/ot]

Originariamente inviato da fano

Sì è esattamente così: prima Linux praticamente non lo usava nessuno ora inizia ad essere leggermente più usato dalle grandi aziende e si scopre che è un colabrodo!

Il problema è che le grandi corporation hanno pensato bene di dismettere i loro "veri" OS per affidarsi a Linux perché "è gratis" e il risparmio è stato doppio visto che hanno licenziato il loro intero team di sviluppo (AIX è morto, Solaris è morto, ...)! Peccato che il codice Open Source - in realtà - tra il fatto che sarà codice illeggibile / incomprensibile e tra che nessuno ne ha voglia non viene guardato, ma solo visto!
Lo slogan è "Compila? Dunque funziona!" e via che si mergia!

E` la stessa cosa di OpenSSL era piena di bachi ed era un codice senza senso eppure tutti lo usavano! Qualcuno lo aveva mai guardato?

Il festival della disinformazione il tuo post....

Linux è nato nel 1991
Solaris è nato nel 1992 ed esiste ancora gestito da Oracle (e pensa, è anche parzialmente Open Source), sviluppato in C/C++
(dunque è nato addirittura dopo Linux stesso)
AIX è nato nel 1986 ed esiste ancora sempre da IBM, sviluppato in C, anche questo sta diventando opensource che supporta ampiamente anche Linux

"perché gratis" altra falsità, visto che le corporation nella maggior parte dei casi usano le soluzioni di aziende tipo Red Hat e Suse che sono a pagamento

Che poi seriamente, credete che sia facile trovare falle? Credete che vi esca l'avviso "ehi programmatore guarda sono una falla che mette a rischio il sistema! Correggimi!!!"?

P.S. A onor del vero anche se Android ha forkato completamente il kernel Linux (e Google ne ha riscritto una buona parte probabilmente) e usa Bionic non è invulnerabile (come Superman ), ma NON vulnerabile a questo specifico bug, magari ne avrà chissà quanti altri! Finché si usa C/C++ non esistono software sicuri...

Altra inesattezza palese visto che il kernel linux android è stato unito a quello originale e le modifiche erano minime

http://www.engadget.com/2012/03/19/l...-android-code/
https://lwn.net/Articles/472984/
http://kernelnewbies.org/Linux_3.3#h...8ebc4d1bd1d89f

The Android project uses the Linux kernel, but with some modifications and features built by themselves. For a long time, that code has not been merged back to the Linux repositories due to disagreement between developers from both projects. Fortunately, after several years the differences are being ironed out. Various Android subsystems and features have already been merged, and more will follow in the future. This will make things easier for everybody, including the Android mod community, or Linux distributions that want to support Android programs.

"ALCUNE modifiche e funzionalità sviluppate da loro stessi"

[alexdal]

@fano le aziende che usano Linux spendono in doppio rispetto a quelle che usano soluzioni diverse. Il costo di manutenzione, formazione, personale e' enorme.

poi il costo del software non e' la licenza è tutto il resto.

Lasciando stare il numero di applicazioni:
android e' gratis, WP è licenziato.

Ma alla fine il costo di un cellulare android è superiore ai lumia, diventano lentissimi dopo poco. devi stare sempre a fare manutenzione. devi mettere antivirus, devi stare attento a mille attacchi.

Alla fine WP mi costa molto meno

Specie in ambito aziendale (da noi si usano Lumia che sono configurati aziendalmente e sono impenetrabili, se si usassero Android sarebbe pericolossissimo per la sicurezza aziendale, sapendo poi che tutti smanettano e ci mettono quello che vogliono (un WP configurato aziendalmente e' blindatissimo)

[LMCH]

Originariamente inviato da Pier2204

E' stata introdotta nel 2008, è stata scoperta da Google e Red Hat lo scorso anno.. oggi c'è una procedura temporane messa a punto da Google per proteggersi, in quanto la falla è attualmente ancora attiva..

Dal 2008 a oggi sono più di 7 anni, possibile che i 10.000 occhi che osservano il codice non si sono accorti? (slogan dei mille occhi che sento da tempo) chi si è accorto sono 2 Aziende di grosse dimensioni come Google e Red Hat?

Possibile che questa falla presente nella libreria GNU C, collezione di codici open-source utilizzati in svariate applicazioni stand-alone e da parecchie distribuzioni di Linux, incluse quelle pensate per soluzioni embedded o router è passata completamente inosservata per tanti anni?

Se leggi al descrizione del bug noterai che si può sfruttare solo in due casi:
a) applicazione che usa libc e che per come è fatta è già vulnerabile ad attacchi man-in-the-middle
b) eseguendo ricerche su domini o DNS controllati dall'aggressore.

In altre parole per "funzionare" devono esserci già altri problemi strutturali di sicurezza belli gravi.

Il fatto che sia passata inosservata così a lungo non è così strano, in compenso una volta notato cosa succedeva si è potuto risalire all'origine del problema e correggerlo.

Per rendere l'idea, bug simili su software closed source vengono corretti molto più tardi (SE vengono corretti) proprio perche gli esperti di sicurezza esterni non hanno accesso ai sorgenti, possono al massimo segnalare che in certe condizioni succede qualcosa
ma proprio in questo caso visto di che precondizioni si trattava, verrebbe considerato un bug a bassa priorità oppure non verrebbe replicato correttamente e si penserebbe ad una segnalazione erronea, lasciandolo li a frollare ancora per anni.

Ad esempio, se ti inalberi per i 7 anni di quel bug, che ne dici dei 19 ANNI che ci ha messo Microsoft per accorgersi di un problema ben più grave ?

O per dirla in un altro modo Microsoft ha impiegato quasi il triplo per correggere un problema ben più evidente.

[battilei]

azz ragazzi andateci piano... il tasso di trollaggio su questo thread farà schiantare il forum

Originariamente inviato da fano

Io - che sono masochista - il codice dove il bug si trovava l'ho guardato!

1. Funzione di 1000 righe con codice ripetuto
2. Migliaia di goto
3. Macro orrende a dai nomi incomprensibili
4. if la cui graffa si chiudeva dopo centinai di righe!

Tutto questo faceva sì che il BUG era difficile da trovare appunto perché non si riusciva a comprendere il codice!



Certo codice scritto male non esente da bug è possibile scriverlo in qualsiasi linguaggio si usi, ma C/C++ sono unsafe by design è così facile scrivere codice bacato con buffer underrun / underflow che poi permette - chissà come - di scardinare tutta la sicurezza dell'OS fino a chiamare pezzi del kernel...



No, in Java no... in C#
Che non vuol dire far girare l'OS sotto una VM, Cosmos una volta compilato l'IL con il normale compilatore Microsoft viene ricompilato in assembler come fa il C, mantenendo comunque la sicurezza (le Stringhe per dire hanno sempre la dimensione giusta non posso scriverci più di quanto ho allocato) di avere un linguaggio Managed.
E` una sfida complessa, ma che si possa fare è certo, è già stato fatto:

http://joeduffyblog.com/2015/12/19/safe-native-code/

mamma mia una if lunga 200 righe non l'ha mai vista nessuno
http://sources.debian.net/src/glibc/...olv/res_send.c
come dire: "C per me significa Chi Czz Ci Capisce Cualcosa"

Originariamente inviato da WarDuck

Tutto questo perché? Perché uno "sviluppatore" non è in grado di gestire la memoria correttamente? Dal mio punto di vista vuol dire che non è in grado di fare lo sviluppatore e non dovrebbe farlo.

Ovvio, poi ognuno avrà le sue competenze

Originariamente inviato da alexdal

@fano le aziende che usano Linux spendono in doppio rispetto a quelle che usano soluzioni diverse. Il costo di manutenzione, formazione, personale e' enorme.

la fonte è Microsoft ?