Vulnerabilità critica su Glibc mette a rischio sistemi Linux: rilasciato il fix

Vulnerabilità critica su Glibc mette a rischio sistemi Linux: rilasciato il fix

Google e Red Hat hanno scoperto in maniera indipendente una vulnerabilità di sicurezza introdotta su un aggiornamento della libreria glibc del 2008

di pubblicata il , alle 12:31 nel canale Sicurezza
 
41 Commenti
Gli autori dei commenti, e non la redazione, sono responsabili dei contenuti da loro inseriti - info
adapter17 Febbraio 2016, 15:32 #11
Originariamente inviato da: emiliano84
quindi mi stai dicendo che windows phone/mobile e' l'OS piu' sicuro in assoluto


Siamo su una news che parla di Linux.
Ma se ti fa piacere sentirti dire che, in ambito mobile, un O.S che non si fila praticamente nessuno è sicuro allora te lo dico...
WarDuck17 Febbraio 2016, 15:40 #12
Rispondo solo a questo perché il delirio non continui...

Originariamente inviato da: fano
Certo codice scritto male non esente da bug in qualsiasi linguaggio si usi, ma C/C++ sono unsafe by design è così facile scrivere codice bacato con buffer underrun / underflow che poi permette - chissà come - di scardinare tutta la sicurezza dell'OS fino a chiamare pezzi del kernel...




Un linguaggio non può essere sicuro/non sicuro.

Il codice che scrivi può essere codice scritto bene o scritto male.

Dipende da quanto sei in grado di rispettare le best practices e da quanto sei capace di comprendere cosa stai facendo esattamente e perché.

E non risolvi il problema come pensi tu aggiungendo altro codice alla minestra, che è quello che viene fatto con i linguaggi che tu consideri "safe": alla fine si basano su interpreti/compilatori JIT scritti in... C/C++.

Nota bene: devi "fidarti" abbastanza di ciò che fa l'hardware e di ciò che fa il compilatore (che non sono esenti da bug).

È aggiungendo codice su codice che si introducono i bug.

Tutto questo perché? Perché uno "sviluppatore" non è in grado di gestire la memoria correttamente? Dal mio punto di vista vuol dire che non è in grado di fare lo sviluppatore e non dovrebbe farlo.
pabloski17 Febbraio 2016, 15:58 #13
Originariamente inviato da: WarDuck
Un linguaggio non può essere sicuro/non sicuro.

Il codice che scrivi può essere codice scritto bene o scritto male.


Però ci sono linguaggi che offrono strumenti e meccanismi semantici che aiutano a scrivere codice più sicuro. Un programmatore non è una macchina, per cui non bisogna scaricargli addosso tutte le responsabilità sul fronte sicurezza e robustezza.

Esistono linguaggi come Rust, ma purtroppo ( e mi costa dirlo ) la comunità opensource in particolare sembra estremamente refrattaria ad utilizzarli. E' pazzesco dover notare che un software fondamentale come SystemD sia stato scritto ancora nel solito, usato ed abusato C.
adapter17 Febbraio 2016, 16:06 #14
Originariamente inviato da: emiliano84
Ma come non avevi detto che il market share era una minchiata? Perché non mi pare che quello di linux desktop sia tanto superiore a windows mobile


Se vabbè stammi bene.
Ci vediamo sulla prossima news simile a questa dove sarai già in mano con la bottiglia pronto a festeggiare.
Ma quanti anni hai?
A no aspè...Ho capito...
alexdal17 Febbraio 2016, 16:38 #15
@fano le aziende che usano Linux spendono in doppio rispetto a quelle che usano soluzioni diverse. Il costo di manutenzione, formazione, personale e' enorme.

poi il costo del software non e' la licenza è tutto il resto.

Lasciando stare il numero di applicazioni:
android e' gratis, WP è licenziato.

Ma alla fine il costo di un cellulare android è superiore ai lumia, diventano lentissimi dopo poco. devi stare sempre a fare manutenzione. devi mettere antivirus, devi stare attento a mille attacchi.

Alla fine WP mi costa molto meno

Specie in ambito aziendale (da noi si usano Lumia che sono configurati aziendalmente e sono impenetrabili, se si usassero Android sarebbe pericolossissimo per la sicurezza aziendale, sapendo poi che tutti smanettano e ci mettono quello che vogliono (un WP configurato aziendalmente e' blindatissimo)
LMCH17 Febbraio 2016, 16:40 #16
Originariamente inviato da: Pier2204
E' stata introdotta nel 2008, è stata scoperta da Google e Red Hat lo scorso anno.. oggi c'è una procedura temporane messa a punto da Google per proteggersi, in quanto la falla è attualmente ancora attiva..

Dal 2008 a oggi sono più di 7 anni, possibile che i 10.000 occhi che osservano il codice non si sono accorti? (slogan dei mille occhi che sento da tempo) chi si è accorto sono 2 Aziende di grosse dimensioni come Google e Red Hat?

Possibile che questa falla presente nella libreria GNU C, collezione di codici open-source utilizzati in svariate applicazioni stand-alone e da parecchie distribuzioni di Linux, incluse quelle pensate per soluzioni embedded o router è passata completamente inosservata per tanti anni?


Se leggi al descrizione del bug noterai che si può sfruttare solo in due casi:
a) applicazione che usa libc e che per come è fatta è già vulnerabile ad attacchi man-in-the-middle
b) eseguendo ricerche su domini o DNS controllati dall'aggressore.

In altre parole per "funzionare" devono esserci già altri problemi strutturali di sicurezza belli gravi.

Il fatto che sia passata inosservata così a lungo non è così strano, in compenso una volta notato cosa succedeva si è potuto risalire all'origine del problema e correggerlo.

Per rendere l'idea, bug simili su software closed source vengono corretti molto più tardi (SE vengono corretti) proprio perche gli esperti di sicurezza esterni non hanno accesso ai sorgenti, possono al massimo segnalare che in certe condizioni succede qualcosa
ma proprio in questo caso visto di che precondizioni si trattava, verrebbe considerato un bug a bassa priorità oppure non verrebbe replicato correttamente e si penserebbe ad una segnalazione erronea, lasciandolo li a frollare ancora per anni.

Ad esempio, se ti inalberi per i 7 anni di quel bug, che ne dici dei 19 ANNI che ci ha messo Microsoft per accorgersi di un problema ben più grave ?

O per dirla in un altro modo Microsoft ha impiegato quasi il triplo per correggere un problema ben più evidente.
battilei17 Febbraio 2016, 16:51 #17
azz ragazzi andateci piano... il tasso di trollaggio su questo thread farà schiantare il forum


Originariamente inviato da: fano
Io - che sono masochista - il codice dove il bug si trovava l'ho guardato!

[LIST=1]
[*]Funzione di 1000 righe con codice ripetuto
[*]Migliaia di goto
[*]Macro orrende a dai nomi incomprensibili
[*]if la cui graffa si chiudeva dopo centinai di righe!
[/LIST]

Tutto questo faceva sì che il BUG era difficile da trovare appunto perché non si riusciva a comprendere il codice!



Certo codice scritto male non esente da bug è possibile scriverlo in qualsiasi linguaggio si usi, ma C/C++ sono unsafe by design è così facile scrivere codice bacato con buffer underrun / underflow che poi permette - chissà come - di scardinare tutta la sicurezza dell'OS fino a chiamare pezzi del kernel...



No, in Java no... in C#
Che non vuol dire far girare l'OS sotto una VM, Cosmos una volta compilato l'IL con il normale compilatore Microsoft viene ricompilato in assembler come fa il C, mantenendo comunque la sicurezza (le Stringhe per dire hanno sempre la dimensione giusta non posso scriverci più di quanto ho allocato) di avere un linguaggio Managed.
E` una sfida complessa, ma che si possa fare è certo, è già stato fatto:

http://joeduffyblog.com/2015/12/19/safe-native-code/

mamma mia una if lunga 200 righe non l'ha mai vista nessuno
http://sources.debian.net/src/glibc...solv/res_send.c
come dire: "C per me significa Chi Czz Ci Capisce Cualcosa"


Originariamente inviato da: WarDuck
Tutto questo perché? Perché uno "sviluppatore" non è in grado di gestire la memoria correttamente? Dal mio punto di vista vuol dire che non è in grado di fare lo sviluppatore e non dovrebbe farlo.

Ovvio, poi ognuno avrà le sue competenze

Originariamente inviato da: alexdal
@fano le aziende che usano Linux spendono in doppio rispetto a quelle che usano soluzioni diverse. Il costo di manutenzione, formazione, personale e' enorme.

la fonte è Microsoft ?
Pier220417 Febbraio 2016, 17:03 #18
Originariamente inviato da: adapter
E infatti è risaputo anche che molti, scelgono il più sicuro.
Delle altre "pippe" sulla percentuale di mercato, percentuale di sicurezza, del perché e del percome non interessa nulla di nulla a nessuno.
Quindi mi viene da ridere quando un affezionato ai sistemi Microsoft si fionda su notizie come queste e cercare il suo momento di gloria.


Ti avevo dato una possibilità ma vedo che non capisci.

Io al contrario tuo mi sento persona "ignorante" quindi pongo una domanda e faccio 2 considerazioni su quanto sento e leggo, non in questa notizia in particolare, ma su quello che ho sempre letto riguardo la sicurezza dei sistemi.
Ad esempio LMCH e Warduck hanno fornito una spiegazione esaustiva riguardo questo particolare Bug e sul perchè possono rimanere non scoperti per anni finchè non si manifestano. Tanto mi basta.
Invece la risposta di Battilei è sempre la stessa come un disco incantato, e si permette di dire che c'è un tasso di trollaggio quando lui non perde occasione...
Scusate.

A proposito, guarda un po da dove scrivo...

Link ad immagine (click per visualizzarla)
Tedturb017 Febbraio 2016, 17:53 #19
Originariamente inviato da: GTKM
Mostrami le centinaia di falle che lo rendono un colabrodo.


Se non ricordo male, il bug era uno (gravissimo eh, e non mi spiego come sia stato possibile non notarlo per 2 anni).
Codice senza senso, sulla base di quale argomentazione tecnica?


Finché si scriveranno software, non saranno mai esenti da bug. Il linguaggio utilizzato non c'entra una mazza.

Che poi, un OS, o un componente di basso livello, con che lo vorresti scrivere? Java ( ).


Ma lasciali trollare i fanboy di Microzozz.
Tanto loro quando glie lo mettono in c..o grazie agli innumerevoli buchi di windoze non se ne accorgono nemmeno, tanto e' tutto non documentato, chiuso, e le patch arrivano quando microzozz vuole, se arrivano.
Meglio vivere nell'oscurita!
adapter17 Febbraio 2016, 18:04 #20
Originariamente inviato da: Pier2204
Ti avevo dato una possibilità ma vedo che non capisci.

Io al contrario tuo mi sento persona "ignorante" quindi pongo una domanda e faccio 2 considerazioni su quanto sento e leggo, non in questa notizia in particolare, ma su quello che ho sempre letto riguardo la sicurezza dei sistemi.


E io al contrario di te e di Emiliano non mi fiondo come un frustrato su ogni notizia come questa. A festeggiare cosa poi?
Una vulnerabilità ogni anno?
Come ho detto....Mazza oh...Come essere Interisti e festeggiare la Juve che perde una volta all'anno.
Uguale...
« Pagina Precedente     Pagina Successiva »

Devi effettuare il login per poter commentare
Se non sei ancora registrato, puoi farlo attraverso questo form.
Se sei già registrato e loggato nel sito, puoi inserire il tuo commento.
Si tenga presente quanto letto nel regolamento, nel rispetto del "quieto vivere".

La discussione è consultabile anche qui, sul forum.
 
^