НовостиСобытияКонференцииФорумыIT@Work
Open Source:

Блог

Так ли хорош консерватизм?

Сергей Голубев
29.01.2015 10:39:29

Специалисты компании Qualys, проводя экспертизу библиотеки glibs, обнаружила уязвимость, которая носит характер критической, поскольку может привести к выполнению произвольного кода в системе. Технические подробности довольно активно обсуждаются на профильных форумах и группах соцсетей, но, на мой взгляд, интереснее тут совсем другое.

Оказывается, ошибка исправилась ещё в мае 2013 года при подготовке очередной версии glibs. Именно исправилась, а не была сознательно исправлена — иногда бывают такие побочные эффекты от внесения изменений в код. Таким образом, ни сами разработчики библиотеки, ни составители дистрибутивов не подозревали, что обновление устраняет серьёзную брешь в защите.

На практике это привело к тому, что в консервативных дистрибутивах, предназначенных для применения в крупном корпоративном секторе, уязвимость сохранилось — составители решили не обновлять библиотеку. Таким образом, опасности подвергались системы, построенные не только на Debian 7 и Ubuntu 12.04, но даже на Red Hat Enterprise Linux 6 и 7 (в настоящее время обновления для этих систем уже выпущены).

Между прочим, Red Hat Enterprise Linux Server 6.5 сертифицирован ФСТЭК России. Причём, в 2013 году, когда система была уязвима. Но это я так, к слову.

Интересней другое. В совершенно «некорпоративных» Ubuntu 13.10 и Fedora 21 эта уязвимость по понятным причинам отсутствует — там используется новая версия glibs, в которой ошибка исправилась.

Мораль истории такова — не надо делать культа ни из чего. В том числе и из консерватизма. Иногда это может привести к результату, противоположному ожидаемому.

Комментариев: 6

Только зарегистрированные и авторизованные пользователи могут добавлять комментарии

29.01.2015 13:21:20

glibc

29.01.2015 13:55:07

Прошу прощения, очипятка smile:(.

29.01.2015 17:16:14

Что-то зачастили проблемы с безопасностью на Linux smile:(

30.01.2015 06:14:13

наверное, потому что Linux начинает полномасштабно идти на десктопы
с базовой libc постоянно проблемы, тот же микрософт уже стока версий этого рантайма нафигачил и многие из этих программ используются до сих пор

30.01.2015 22:56:36

Цитата

Linux стандартный,
...
Компоненты:
...
glibc: 1шт, версия: 2.17, md5sum: xxx...
...


Будет вам стандарт, дождётесь.

02.02.2015 04:48:24

Ну да наверное

Только зарегистрированные и авторизованные пользователи могут добавлять комментарии