вопросы безопасности

[mar]

Belansky

А эти патчи, они устанавливаются каждый по отдельности или последующий содержит все остальные изменения в системе из предыдущих???

И ещё - их инсталить обязательно? Насколько их неналичие на компе может отразиться на безопастности системы???

[SantaXP]

firewall_enable="YES" #Запускаем при старте работу ipfw

firewall_script="путь_к_файлу_со_скриптом" #Скрипт с правилами ipfw

Хм... У меня это указано... Хе... Дык, там стоит firewall_script="/etc/rc.firewall", видимо туда и надо записывать... А если указать на другой файл, я файрвол не испрчю, а то у меня есть подозрение, что /etc/rc.firewall содержит ещё кое-что необходимое для работы ipfw???

[mar]

SantaXP


Цитата:



А если указать на другой файл, я файрвол не испрчю



не испортите, просто будут выполняться только те условия, которые в Вашем файле (или правьте /etc/rc.firewall - только сохраните оригинал )

[Belansky]

Очередной

патч

по безопасности.


Цитата:



FreeBSD-SA-05:16.zlib Security Advisory

The FreeBSD Project



Topic: Buffer overflow in zlib



Category: core

Module: libz

Announced: 2005-07-06

Credits: Tavis Ormandy

Affects: FreeBSD 5.3, FreeBSD 5.4

Corrected: 2005-07-06 14:01:11 UTC (RELENG_5, 5.4-STABLE)

2005-07-06 14:01:30 UTC (RELENG_5_4, 5.4-RELEASE-p4)

2005-07-06 14:01:52 UTC (RELENG_5_3, 5.3-RELEASE-p18)

CVE Name: CAN-2005-2096



For general information regarding FreeBSD Security Advisories,

including descriptions of the fields above, security branches, and the

following sections, please visit

.



I. Background



zlib is a compression library used by numerous applications to provide

data compression/decompression routines.



II. Problem Description



An error in the handling of corrupt compressed data streams can result

in a buffer being overflowed.



III. Impact



By carefully crafting a corrupt compressed data stream, an attacker can

overwrite data structures in a zlib-using application. This may cause

the application to halt, causing a denial of service; or it may result

in the attacker gaining elevated privileges.



IV. Workaround



No workaround is available.



V. Solution



Perform one of the following:



1) Upgrade your vulnerable system to 5-STABLE, or to the RELENG_5_4 or

RELENG_5_3 security branch dated after the correction date.



2) To patch your present system:



The following patch has been verified to apply to FreeBSD 5.3 and 5.4

systems.



a) Download the relevant patch from the location below, and verify the

detached PGP signature using your PGP utility.



# fetch

ftp://ftp.FreeBSD.org/pub/FreeBSD/CE...:16/zlib.patch

# fetch

ftp://ftp.FreeBSD.org/pub/FreeBSD/CE...zlib.patch.asc

b) Execute the following commands as root:



# cd /usr/src

# patch < /path/to/patch

# cd /usr/src/lib/libz/

# make obj && make depend && make && make install



VI. Correction details



The following list contains the revision numbers of each file that was

corrected in FreeBSD.



Branch Revision

Path

- -------------------------------------------------------------------------

RELENG_5

src/lib/libz/inftrees.c 1.4.2.2

RELENG_5_4

src/UPDATING 1.342.2.24.2.13

src/sys/conf/newvers.sh 1.62.2.18.2.9

src/lib/libz/inftrees.c 1.4.6.1

RELENG_5_3

src/UPDATING 1.342.2.13.2.21

src/sys/conf/newvers.sh 1.62.2.15.2.23

src/lib/libz/inftrees.c 1.4.4.1

[Belansky]

SantaXP


Цитата:



А эти патчи, они устанавливаются каждый по отдельности или последующий содержит все остальные изменения в системе из предыдущих???



Каждый сам за себя. Тут нет понятия куммулятивных патчей, как в Windows. Каждый патч накладывается отдельно и пересобирается какая-либо часть системы. Либо, в результате обновления системы через cvsup измененные версии пропатченных файлов автоматически размещаются среди исходного кода системы. И тогда остается только пересобрать систему посредством make buildworld, make buildkernell и т.д.


Цитата:



И ещё - их инсталить обязательно? Насколько их неналичие на компе может отразиться на безопастности системы???



А это хозяин - барин. Критичность обнаруженной дыры смотрите в описании к патчу. В плане безопасности лучше перебдеть, чем недобдеть.

[SantaXP]

Belansky

Слушайте, вы я думаю в курсе, что у меня модем. Посему, вытянет ли мой модем при средней скорости от 4 до 6 (правда однажды было и 7, но не долго ) kb/s обновление системы через cvsup???

----

оффтоп: я многое слышал про cvsup, однако, что это а штука пока не понял. Это что-то вроде средства автоматизированного обновления системы???

[Belansky]

SantaXP


Цитата:



вытянет ли мой модем при средней скорости от 4 до 6 kb/s обновление системы через cvsup?



Легко и непринужденно. Дома у меня тоже dialup. Минут за 15-20 вся процедура заканчивается.


Цитата:



Это что-то вроде средства автоматизированного обновления системы?



Это средство синхронизации исходников системы и коллекции портов с удаленным cvsup-сервером по состоянию на какой-либо момент времени. Если прописать работу cvsup через cron, то будет автоматизированным средством. Подробнее о cvsup читайте в руководстве пользователя. И в разделе эта тему уже неоднократно обсуждалась.

[SantaXP]

Belansky

ОК, будет время - поищу спасибо...

[SantaXP]

Demiurg

По поводу пользователя toor почитайте

здесь

и

здесь

.

[Belansky]

Очередные обновления по безопасности.

ftp://ftp.freebsd.org/pub/FreeBSD/CE...05:18.zlib.asc

Цитата:



FreeBSD-SA-05:18.zlib Security Advisory

The FreeBSD Project



Topic: Buffer overflow in zlib



Category: core

Module: libz

Announced: 2005-07-27

Credits: Markus Oberhumer

Affects: FreeBSD 5.3, FreeBSD 5.4

Corrected: 2005-07-27 08:41:44 UTC (RELENG_6, 6.0-BETA2)

2005-07-27 08:41:56 UTC (RELENG_5, 5.4-STABLE)

2005-07-27 08:42:16 UTC (RELENG_5_4, 5.4-RELEASE-p6)

2005-07-27 08:42:38 UTC (RELENG_5_3, 5.3-RELEASE-p20)

CVE Name: CAN-2005-1849



For general information regarding FreeBSD Security Advisories,

including descriptions of the fields above, security branches, and the

following sections, please visit

.



NOTE WELL: The issue discussed in this advisory is distinct from the

issue discussed in the earlier advisory FreeBSD-SA-05:16.zlib, although

the impact is very similar.



I. Background



zlib is a compression library used by numerous applications to provide

data compression/decompression routines.



II. Problem Description



A fixed-size buffer is used in the decompression of data streams. Due

to erronous analysis performed when zlib was written, this buffer,

which was belived to be sufficiently large to handle any possible input

stream, is in fact too small.



III. Impact



A carefully constructed compressed data stream can result in zlib

overwriting some data structures. This may cause applications to halt,

resulting in a denial of service; or it may result in an attacker

gaining elevated privileges.



IV. Workaround



No workaround is available.



V. Solution



Perform one of the following:



1) Upgrade your vulnerable system to 5-STABLE, or to the RELENG_5_4 or

RELENG_5_3 security branch dated after the correction date.



2) To patch your present system:



The following patches have been verified to apply to FreeBSD 5.3, and 5.4

systems.



a) Download the relevant patch from the location below, and verify the

detached PGP signature using your PGP utility.



# fetch

ftp://ftp.FreeBSD.org/pub/FreeBSD/CE...:18/zlib.patch

# fetch

ftp://ftp.FreeBSD.org/pub/FreeBSD/CE...zlib.patch.asc

b) Execute the following commands as root:



# cd /usr/src

# patch < /path/to/patch

# cd /usr/src/lib/libz/

# make obj && make depend && make && make install



VI. Correction details



The following list contains the revision numbers of each file that was

corrected in FreeBSD.



Branch Revision

Path

- -------------------------------------------------------------------------

RELENG_5

src/lib/libz/inftrees.h 1.1.1.5.2.1

RELENG_5_4

src/UPDATING 1.342.2.24.2.15

src/sys/conf/newvers.sh 1.62.2.18.2.11

src/lib/libz/inftrees.h 1.1.1.5.6.1

RELENG_5_3

src/UPDATING 1.342.2.13.2.23

src/sys/conf/newvers.sh 1.62.2.15.2.25

src/lib/libz/inftrees.h 1.1.1.5.4.1

RELENG_6

src/lib/libz/inftrees.h 1.1.1.5.8.1



И еще.

ftp://ftp.freebsd.org/pub/FreeBSD/CE...5:19.ipsec.asc

Цитата:



FreeBSD-SA-05:19.ipsec Security Advisory

The FreeBSD Project



Topic: Incorrect key usage in AES-XCBC-MAC



Category: core

Module: netinet6

Announced: 2005-07-27

Credits: Yukiyo Akisada, Yokogawa Electric Corporation

Affects: FreeBSD 5.3, FreeBSD 5.4

Corrected: 2005-07-27 08:41:44 UTC (RELENG_6, 6.0-BETA2)

2005-07-27 08:41:56 UTC (RELENG_5, 5.4-STABLE)

2005-07-27 08:42:16 UTC (RELENG_5_4, 5.4-RELEASE-p6)

2005-07-27 08:42:38 UTC (RELENG_5_3, 5.3-RELEASE-p20)

CVE Name: CAN-2005-2359



For general information regarding FreeBSD Security Advisories,

including descriptions of the fields above, security branches, and the

following sections, please visit

.



I. Background



IPsec is a security protocol for the Internet Protocol networking

layer. It provides a combination of encryption and authentication of

system, using several possible cryptography algorithms.



II. Problem Description



A programming error in the implementation of the AES-XCBC-MAC algorithm

for authentication resulted in a constant key being used instead of the

key specified by the system administrator.



III. Impact



If the AES-XCBC-MAC algorithm is used for authentication in the absence

of any encryption, then an attacker may be able to forge packets which

appear to originate from a different system and thereby succeed in

establishing an IPsec session. If access to sensitive information or

systems is controlled based on the identity of the source system, this

may result in information disclosure or privilege escalation.



IV. Workaround



Do not use the AES-XCBC-MAC algorithm for authentication, or use it

together with some form of IPsec encryption.



Systems which do not use IPsec, use other algorithms, or have IPsec

encryption enabled are unaffected by this issue.



V. Solution



Perform one of the following:



1) Upgrade your vulnerable system to 5-STABLE, or to the RELENG_5_4 or

RELENG_5_3 security branch dated after the correction date.



2) To patch your present system:



The following patches have been verified to apply to FreeBSD 5.3 and 5.4

systems.



a) Download the relevant patch from the location below, and verify the

detached PGP signature using your PGP utility.



# fetch

ftp://ftp.FreeBSD.org/pub/FreeBSD/CE...19/ipsec.patch

# fetch

ftp://ftp.FreeBSD.org/pub/FreeBSD/CE...psec.patch.asc

b) Apply the patch.



# cd /usr/src

# patch < /path/to/patch



c) Recompile your kernel as described in

and reboot the

system.



VI. Correction details



The following list contains the revision numbers of each file that was

corrected in FreeBSD.



Branch Revision

Path

- -------------------------------------------------------------------------

RELENG_5

src/sys/netinet6/ah_aesxcbcmac.c 1.1.4.2

RELENG_5_4

src/UPDATING 1.342.2.24.2.15

src/sys/conf/newvers.sh 1.62.2.18.2.11

src/sys/netinet6/ah_aesxcbcmac.c 1.1.4.1.2.1

RELENG_5_3

src/UPDATING 1.342.2.13.2.23

src/sys/conf/newvers.sh 1.62.2.15.2.25

src/sys/netinet6/ah_aesxcbcmac.c 1.1.6.1

RELENG_6

src/sys/netinet6/ah_aesxcbcmac.c 1.2.2.1