Опубликованы подробности и эксплоит для уязвимости (CVE-2016-1247) в пакете с nginx, в конце октября устранённой в Debian и Ubuntu. Проблема специфична для deb-пакета nginx, не касается самого nginx, и может привести к выполнению кода с правами root при наличии у атакующего прав доступа "www-data" в системе.

Проблема вызвана некорректными настройками доступа к директории с логами web-сервера. Директория с логами /var/log/nginx имеет владельца "www-data", что позволяет пользователю с данными полномочиями произвольно манипулировать файлами в данной директории. При запуске или перезапуске nginx в лог добавляются записи от процесса с правами root. Периодически скрипт ротации логов меняет владельца файлов с логами на "www-data".

Локальный пользователь с правами www-data может создать в директории /var/log/nginx символическую ссылку вместо файла с логом "error.log". Таким образом, направив символическую ссылку "/var/log/nginx/error.log" на другой файл перед перезапуском nginx, можно изменить любой файл в системе. Перезапуск nginx по сигналу USR1 осуществляется скриптом ротации логов, который по умолчанию вызывается из cron.daily каждый день в 6:25.

Для организации запуска кода с правами root в эксплоите осуществляется создание символической ссылки на файл /etc/ld.so.preload (/var/log/nginx/error.log -> /etc/ld.so.preload), который после перезапуска nginx будет создан, а после ротации лога получит владельца www-data, что позволит прописать в нём произвольную библиотеку атакующего, после чего библиотека будет активироваться при выполнении любого исполняемого файла, например, можно запустить suid root приложение /usr/bin/sudo.

Демонстрационный видос на ютубе

Источник новости

RMS тут пропагандирует систему электронных платежей GNU Taler , разработанную в \url[Inria]{http://www.inria.fr/} .

Интересным свойством этой системы является то, что, хотя покупатель анонимен, продавец не анонимен, и грубо говоря, государство может проследить, сколько подоходного налога можно брать с получателей талеров. Собственно, буква T в аббревиатуре TALER это "Taxable".

При первом прочтении этой новости у меня возникла мысль "Не взлетит. Государству интересно не только получить свои налоги, но и проследить за любой активностью. Поэтому будут талеры запрещать так же, как и биткойны".

Но с другой стороны, 30 лет назад то же самое говорили про GPL и Free Software. А оно взлетело.

То есть Столлману по крайней мере один раз удалось пройти по тонкой грани, разделяющей интересы крупных сущностей - корпораций и государств, и интересы простых пользователей.

Поэтому стоит, наверное, последить за судьбой и этого проекта.

enca (Extremely Naive Charset Analyser) - это анализатор таблицы символов и кодировки в текстовых файлах. Он также может конвертировать текст из одной кодировки в другую, используя встроенный конвертер или одну из внешних библиотек (libiconv, librecode или cstocs).

Изменения:

•  исправлена возможная утечка памяти;

•  сделано работающим определение utf8 даже на одном символе.

Состоялся выпуск дистрибутива Elementary OS 0.4 "Loki", позиционируемого в качестве быстрой и открытой замены Windows и macOS. Основное внимание в проекте уделяется качественному дизайну, нацеленному на создание простой в использовании системы, потребляющей минимальные ресурсы и обеспечивающей высокую скорость запуска. Проектом развивается собственное окружение рабочего стола Pantheon. Для загрузки подготовлены загрузочные iso-образы (1.3 Гб), доступные для архитектуры amd64 (для бесплатной загрузки в поле с суммой пожертвования необходимо ввести 0).

Компания Trend Micro выявила новое семейство руткитов, получивших название Umbreon в честь одноимённого покемона, который прячется в темноте. Следы разработки Umbreon прослеживаются с начала 2015 года, а сейчас руткит появился в свободной продаже на черном рынке. Umbreon может быть установлен атакующими на Linux-системы на базе архитектур x86, x86_64 и ARM, в том числе на встраиваемые платформы, такие как платы Raspberry Pi и беспроводные маршрутизаторы.

Umbreon относится к руткитам третьего кольца защиты, функционирующим только в пространстве пользователя. Для скрытия своего присутствия, вместо перехвата системных вызовов на уровне ядра, Umbreon осуществляет подмену функций стандартной библиотеки libc. Подмена функций осуществляется на этапе связывания, путём подстановки библиотеки /usr/share/libc.so.*.[i686|x86_64|v6l].ld-2.22.so, переопределяющей функции libc. Библиотека прописывается в конфигурационный файл "/etc/ld.so.*" (где "*" случайный набор букв, например, /etc/ld.so.thVkfEQ), который, в свою очередь, подменяет в загрузчике /lib/x86_64-linux-g строку "/etc/ld.so.preload", что приводит к автоматической загрузке вредоносной библиотеки при запуске любого исполняемого файла.

Руткит предоставляет обработчики для функций работы с файлами (open, opendir, read, write, chdir и т.п.), записи в лог (syslog, audit*), запуска исполняемых файлов (execve, execvp), аутентификации через PAM (pam_authenticate, pam_open_session), работы с базой пользователей (getpwnam, getpgid, getpwuid), работы с процессами (get_procname, kill), обработки сетевых соединений (socket, netstat) и т.д. Всего перехватывается более 100 функций.

Контролируя выполнение данных функций Umbreon тщательно вырезает из потока данных информацию о своих компонентах (например, не показывает свои файлы и скрывает процессы), а также обеспечивает скрытый вход (работает в том числе через SSH), путём перехвата функций PAM и добавления скрытого пользователя, присутствие которого в /etc/passwd вырезается из вывода при выполнении операций чтения. Следы вычищаются достаточно качественно, например, дополнительные настройки компоновщика вырезаются даже из вывода трассировки, т.е. не видны при использовании таких инструментов как strace. Так как Umbreon не в состоянии перехватить системный вызов ptrace(), чистка производится на этапе вывода результата, через перехват функций vprintf, __vfprintf_chk и fputs_unlocked.

В комплект также входит бэкдор Espereon, названный в честь покемона с большими ушами. Espereon обеспечивает обратное сетевое соединение к хосту атакующего при обнаружении в TCP-пакетах определённого ключа активации. Espereon постоянно слушает сетевой трафик на сетевом интерфейсе при помощи libpcap и скрывается под прикрытием Umbreon. Скрываются не только процессы и трафик, но и сетевая активность, благодаря перехвату функций got_packet и pcap_loop.

Для обнаружения и удаления руткита можно использовать инструменты анализа содержимого ФС, напрямую обращающиеся через системные вызовы, минуя функции libc. Также можно загрузиться c LiveCD, примонтировать дисковые разделы и оценить наличие подозрительных файлов /etc/ld.so.*, /usr/lib/libc.so.* и /usr/share/libc.so.*.

статья оригинал



Цельнотянуто с opennet.ru

Имея Windows10, грех не попробовать под ним новую микрософтовскую плюшку: Windows Subsystem for Linux (WSL). Хотя правильнее было бы назвать её "Linux subsystem for Windows".

С точки зрения пользователя Windows это выглядит как приложение под названием "Bash on Ubuntu on Windows". Вызываешь, появляется текстовое окошко в стиле cmd.exe, но в нём - классическая юниксная среда Ubuntu (точнее Debian). Это не эмуляция. Ядро Windows теперь поддерживает набор системных вызовов Linux, а также необходимый набор системных устройств. Родные 64-битные линуксные бинарники работают на ура. Но 32-битные бинарники не запускаются: видно, решили пожертвовать совместимостью.

Чтобы получить всё это удовольствие, сначала придётся обновить Windows10 до последней версии 1607, build 14393.10. Достаточно скачать и запустить Windows Media Creation Tool, дальше процесс автоматический (хоть и долгий).

Подробнее читайте здесь: http://www.omgubuntu.co.uk/2016/08/enable-bash-windows-10-anniversary-update



Bash Commander собрался без запинки. Все остальные нужные мне пакеты уже присутствуют и устанавливаются как обычно, через "sudo apt-get install".

Состоялся релиз операционной системы OpenBSD 6.0. Проект OpenBSD был основан Тэо де Раадтом (Theo de Raadt) в 1995 году, после конфликта с разработчиками NetBSD, в результате которого для Тэо был закрыт доступ к CVS репозиторию NetBSD. После этого Тэо де Раадт с группой единомышленников создал на базе дерева исходных текстов NetBSD новую открытую операционную систему, главными целями развития которой стали переносимость (поддерживается 20 аппаратных платформ), стандартизация, корректная работа, активная безопасность и интегрированные криптографические средства. Размер полного установочного ISO-образа базовой системы OpenBSD 6.0 составляет 216 Мб.

Кроме непосредственно операционной системы, проект OpenBSD известен своими компонентами, которые получили распространение в других системах и зарекомендовали себя как одни из наиболее безопасных и качественных решений. Среди них: LibreSSL (форк OpenSSL), OpenSSH, пакетный фильтр PF, демоны маршрутизации OpenBGPD и OpenOSPFD, NTP-сервер OpenNTPD, почтовый сервер OpenSMTPD, мультиплексор текстового терминала (аналог GNU screen) tmux, демон identd с реализацией протокола IDENT, BSDL-альтернатива пакету GNU groff - mandoc, протокол для организации отказоустойчивых систем CARP (Common Address Redundancy Protocol), легковесный http-сервер.

Основные улучшения: http://www.openbsd.org/60.html

Код для обозначения заблокированных по решению властей страниц официально включили в протокол HTTP. Об этом сообщил Марк Ноттингем, председатель Инженерного совета интернета (IETF), в официальном блоге.

В случае, если пользователи попытаются получить доступ к запрещенной по юридическим причинам странице, они увидят сообщение об ошибке под кодом 451. Набор цифр служит отсылкой к роману-антиутопии Рэя Брэдбери «451 градус по Фаренгейту», посвященному теме цензуры.

Ноттингем отметил, что предложение о вводе кода 451 для обозначения заблокированных сайтов находилось на рассмотрении совета с 2012 года. Изначально он был против этой идеи, считая, что ресурсам хватит уже существующего кода 403 («Доступ к ресурсу запрещен») и дополнительное разъяснение можно добавить в тексте или заголовке страницы с сообщением об ошибке. Однако затем в совете пришли к выводу, что отдельный код позволит оценить, насколько сильна цензура в той или иной стране. Кроме того, пользователям станет проще понять, почему запрошенный ресурс недоступен.

Инженерный совет интернета (IETF) — некоммерческая организация, занимающаяся развитием протоколов и архитектуры сети.

Компания Google объявила о начале распространения выпуска платформы Android 7.0 "Nougat" для устройств Nexus. Начиная с сегодняшнего дня в течение нескольких недель обновление будет предложено пользователям устройств Nexus 6, Nexus 5X, Nexus 6P, Nexus Player, Nexus 9, Pixel C и General Mobile 4G (Android One). Связанные с новым выпуском исходные тексты в скором времени будут размещены в Git-репозиторий проекта (ветка android-7.0.0_r1). Из ключевых новшеств можно отметить многооконный режим, графический API Vulkan, использование OpenJDK, поддержка прямой отправки ответов из уведомлений, режим Direct Boot, API для доступа к директориям на внешних носителях, новый API MediaBrowser.

Особенности нового выпуска:

•   Многооконный режим работы, позволяющий разбивать экран на части для получения возможности работы одновременно с несколькими приложениями. Разбиение возможно в портретном и панорамном режимах. Кроме того, в версии для телевизоров поддерживается режим "картинка в картинке", позволяющий, например, отправить сообщение, не прерывая просмотр видео на большом экране. Разработчикам приложений предоставлены средства для управления работой в многооконном режиме, например, можно задать минимальный размер окна в котором может корректно отображаться интерфейс приложения.
  
  
•   Все созданные при разработке Android библиотеки с Java API заменены на код из свободного пакета OpenJDK. Cозданные для Android компоненты Java API распространялись под разрешительной лицензией Apache (частично были использованы наработки Harmony, реализации Java от проекта Apache), в то время как OpenJDK поставляется под копилефт-лицензией GPL, обязывающей открывать все модификации. Переход на OpenJDK позволит Google избавить платформу от претензий компании Oracle, которая считает Java API своей интеллектуальной собственностью и препятствует созданию совместимых функциональных аналогов.
  
  
•   Предоставление разработчикам возможностей Java 8, которые стали доступны благодаря интеграции OpenJDK. В том числе в программах для Android теперь можно использовать лямбда-выражения, статические методы, аннотации, Stream API и т.п. Для сборки предлагается инструментарий Jack (Java Android Compiler Kit), предоставляющий средства для компиляции исходных текстов на языке Java в байткод в формате "dex". Jack пришёл на смену ранее используемому инструментарию на базе javac, ProGuard, jarjar и dx.
  
  
•   Поддержка графического API Vulkan. По сравнению с OpenGL ES использование Vulkan позволяет существенно снизить нагрузку на CPU (до 10 раз в тестах Google) и повысить производительность отрисовки;
  
  
•   Возможность отправки ответа в окне получения уведомления. Получив выпадающее уведомление о поступлении нового сообщения, пользователь теперь может сразу написать ответ, не покидая этот диалог.
  
  
•   Поддержка группировки уведомлений, связанных с одним приложением. Например, можно сгруппировать все уведомления о получении новых сообщений и отобразить их в списке уведомлений в форме одной свёрнутой группы, отдельные уведомления можно посмотреть после раскрытия группы. Подобный подход позволяет избежать нагромождения при большом числе непросмотренных уведомлений (например, будет показано, что пришло 5 SMS, 8 сообщений Hangouts, 3 письма и 4 обновления программ, с возможностью раскрытия каждой группы);
  
  
•   Расширены возможности режима энергосбережения Doze, при котором после определённого периода неактивности пользователя устройство переводится в спящий режим, но с периодическим пробуждением на короткое время для того, чтобы дать приложениям возможность синхронизировать свои данные, а системе обработать ожидающие выполнения операции. Детали внесённый оптимизаций не приводятся, но устройство стало потреблять заметно меньше энергии в состоянии неактивности при выключенном экране;
  
  
•   Продолжено развитие проекта Svelte, нацеленного на сокращение потребления памяти и повышение отзывчивости при работе платформы Android на маломощных устройствах. Оптимизировано выполнение фоновых операций, JobScheduler и GCMNetworkManager адаптированы для планирования вызова заданий и выполнения сетевых запросов c учётом минимизации потребления ресурсов;
  
  
•   Режим Direct Boot, при котором устройство загружается в состояние с ограничением функциональности и активной блокировкой, но с предоставлением возможности получения уведомлений. Например, в случае перезагрузки устройство продолжит принимать сообщения и вызовы, но блокирует доступ к шифрованным данным и приложениям. Для перехода в нормальный режим пользователь должен снять блокировку;
  
  
•   В платформу встроена функция блокировки номеров телефонов, позволяющая отфильтровывать вызовы и сообщений с нежелательных номеров. Списки блокировки могут совместно использоваться в различных приложениях. Для разработчиков приложений предложен API для управления списками блокировки. Могут устанавливаться как постоянные, так и временные блокировки (пропадают после перезагрузки);
  
  
•   В настройки добавлен Data Saver, при включении которого фоновые сетевые операции допускаются только при выходе в Сеть через Wi-Fi. Трафик от приложений тоже блокируется, если программа специально не добавлена в белый список;
  
  
•   Расширены возможности среды выполнения ART, которая позволяет в момент установки приложения скомпилировать его в машинный код и в дальнейшем выполнять программу в нативном виде, без задействования виртуальной машины. В новом выпуске система упреждающей AOT-компиляции (Ahead-of-time) дополнена JIT-компилятором с поддержкой профилирования кода, позволяющего выбрать оптимальный план оптимизации на основе характеристик, учитывающих особенности выполнения приложения. Для каждого приложения формируется профиль оптимизации, позволяющий выбрать оптимальные методы AOT-компиляции для достижения максимальной производительности или минимального потребления памяти;
  
  
•   Представлена концепция Instant Apps, позволяющая создавать приложения, которые можно напрямую запускать из Google Play без выполнения процесса установки. При запуске подобные программы по аналогии с web-приложениями загружаются динамически, а после завершения работы не остаются в системе. Для запуска программы достаточно ссылки, которую можно разместить на устройстве в форме ярлыка. При этом Instant Apps могут использовать те же технологии, что и обычные устанавливаемые приложения для Android. Более того, они смогут запускаться не только в Android N, но и в прошлых выпусках, начиная с Android 4.1+ (API Level 16) с актуальным набором сервисов Google Play;
  
  
•   В настройки добавлена возможность одновременного выбора нескольких локалей;
  
  
•   Для Android TV представлен интерфейс для записи телепередач по расписанию;
  
  
•   Поддержка OpenGL ES 3.2;
  
  
•   Возможность настройки постоянного соединения через VPN (Settings>More>Vpn) и запуска VPN сразу после загрузки;
  
  
•   Представлен новый API для организации доступа приложений к директориям на внешних носителях, таких как SD-карты. Новый API существенно упрощает процесс открытия доступа к типовым директориям, таким как "Фотографии" или "Видео";
  
  
•   Переработан интерфейс быстрого доступа к настройкам;
  
  
•   Увеличено число опций для настройки оформления строки состояния. Например, отключить отображение различных типов пиктограмм и настроить формат вывода времени. Добавлен интерфейс калибровки цветов и ночной режим c приглушенной яркостью экрана;
  
  
•   Для приложений предоставлена возможность определения ярлыков для быстрого вызова определённых задач через Launcher. При помощи ярлыков можно оформить выполнение типовых операций с приложением, таких как отправка сообщения лучшим друзьям, открытие текущего местоположения на карте или просмотр следующей серии телевизионного сериала;
  
  
•   Поддержка Emoji Unicode 9 с новыми изображениями людей и занятий;
  
  
•   Упрощён интерфейс переключения между приложениями и возврата на прошлое приложение. Для переключения между двумя недавно используемыми приложениями теперь достаточно два раза прикоснуться к кнопке вызова меню;
  
  
•   Поддержка технологии виртуальной реальности Daydream, позволяющей использовать экран смартфонов с высоким разрешением в качестве стереоматрицы в шлемах виртуальной реальности (простейший шлем может быть склеен из картона, главное разместить смартфон на определённом расстоянии от глаз). Экран при этом разделяется на две части, которые формируют картинку для правого и левого глаза. Датчик движения и гироскоп позволяют менять содержимое при движении головы (например, можно смотреть по сторонам в Google Street View). Производительности смартфона Nexus 6P достаточно для обеспечения отзывчивости перерисовки на уровне 20 ms, что создаёт реалистичный эффект присутствия;
  
  
•   Режим бесшовной установки обновления прошивки, при котором обновление устанавливается в фоне, позволяя пользователю не ждать завершения установки, долгой перезагрузки и оптимизации приложений;
  
  
•   Поддержка шифрования на уровне файлов, позволяющего разным пользователям устройства хранить важные данные в зашифрованном виде;
  
  
•   В Android TV добавлен Recording API для организации записи видео.

Очередная версия c кучей багфиксов типа корректной работы с ДНС и т.п.