[mdk-re] security updates
Dmitry V. Levin
=?iso-8859-1?q?ldv_=CE=C1_alt-linux=2Eorg?=
Чт Июн 14 11:57:01 MSD 2001
On Wed, Jun 13, 2001 at 11:14:35PM +0400, Yuri Ryazantsev wrote:
> > Конкретный ответ на конкретный вопрос:
> >
> > bash - пакет из Spring не подвержен,
> > pine - пакет из Spring не подвержен,
> > glibc - пакет из Spring не подвержен,
> > cups - обновление будет завтра,
> > minicom - ошибка есть, но проблема не актуальна для Spring,
> > openssh - пакет из Spring не подвержен,
> > kdelibs - ошибка есть, но проблема практически не актуальна для Spring,
> > xmms - пакет из Spring не подвержен,
> > imap - (относительно) свежая ошибка, обновление будет завтра,
> > xinetd - свежая (и несущественная) ошибка, обновление будет сегодня.
> >
> > Кроме того, мы ведем собственный аудит и исправление пакетов в рамках
> > Castle.
>
> Спасибо за разъяснения. Пожелания:
> 1) А почему бы разработчикам не выносить выводы по собственному аудиту в
> security list? Тогда бы всем и видно было, что вы не забыли, видели и
> проанализировали ошибки в пакетах.
ok. (хотя будет непросто найти на это время)
> 2) Что значит:
> "ошибка есть, но проблема не актуальна для Spring"
В minicom есть buffer overrun. Но в дистрибутиве minicom поставляется без
sgid-to-uucp. Поэтому exploit'ить нечего.
> "ошибка есть, но проблема практически не актуальна для Spring"
Ошибка есть в программе /usr/bin/kdesu из пакета kdelibs.
При ее запуске после ввода root'ового пароля возможен т.н.
"local user exploit" (того самого пользователя, который запустил kdesu).
Поскольку механизм kdesu небезопасен в принципе, я не считаю эту ошибку
достаточно серьезной, чтобы выкладывать updates. Впрочем, тут могут быть
другие мнения.
Regards,
Dmitry
+-------------------------------------------------------------------------+
Dmitry V. Levin mailto://ldv@alt-linux.org
ALT Linux Team http://www.altlinux.ru/
Fandra Project http://www.fandra.org/
+-------------------------------------------------------------------------+
UNIX is user friendly. It's just very selective about who its friends are.
----------- следующая часть -----------
Было удалено вложение не в текстовом формате...
Имя : =?iso-8859-1?q?=CF=D4=D3=D5=D4=D3=D4=D7=D5=C5=D4?=
Тип : application/pgp-signature
Размер : 232 байтов
Описание: =?iso-8859-1?q?=CF=D4=D3=D5=D4=D3=D4=D7=D5=C5=D4?=
Url : <http://lists.altlinux.org/pipermail/community/attachments/20010614/5a1d6b73/attachment-0011.bin>
Подробная информация о списке рассылки community