Drżyjcie o wasze kernele
Pomimo tego, iż mamy ‘nowe i lepsze’ czasy, nie wolno zapominać tradycji i mądrości naszych przodków, którzy uknuli powiedzenie ‘gdzie kucharek sześć, tam nie ma co jeść’.
Sprawa dotyczy poprawki dwóch dziur odkrytych w systemach 64-bitowych, które umożliwiały lokalnemu grabieżcy uzyskanie praw roota. Błędy z grubsza polegały na niedociągnięciach w konwersji danych z 32-bitów na 64-bity i vice versa. Co więcej, błędy te zostały odkryte w 2007 roku i naprawione w kernelu 2.6.22.7. Lecz następnie ‘ktoś’ przez swoją niefrasobliwość ciągnął kolejne wydania kernela na źródłach bez rzeczonej łatki. Exploit który w 2007 roku umożliwiał przejęcie praw roota, po drobnych poprawkach działał na nowo.
I tak do wydań dystrybucji opierających się o kernel 2.6.22 </ 2.6.3X nadciągnęły masowe poprawki, by pozbyć się tych kilkuletnich dziur (CVE-2010-3081, CVE-2010-3301). Jeżeli ktoś ma awersję do update’ów, polecam zaktualizować przynajmniej kernel.
Dziura jak dziura, mylić się jest rzeczą ludzką, jednak w tym wszystkich przeraża mnie podejście ‘branżowych’ stron Ubuntu, dla których od poinformowania o niebezpieczeństwie ważniejsze jest jak to ‘Make Ubuntu Look Like Mac OSX In Seconds Using Macbuntu’ (http://www.webupd8.org), lub ‘Linux on TV: ‘The Glades’ – detectives run GNOME on a Windows-branded PC’ (http://omgubuntu.co.uk). Z taką prasą to nic dziwnego, że poziom wiedzy użytkownika systemu będzie ograniczał się do wyboru koloru tapety na pulpit.
10 komentarzy
Dodaj komentarz
Witryna wykorzystuje Akismet, aby ograniczyć spam. Dowiedz się więcej jak przetwarzane są dane komentarzy.
Zamiast “branżowych” stron warto czasem zajrzeć do “źródeł” http://www.ubuntu.com/usn
@Stirlitz
Trafne spostrzeżenie 🙂 Jednak 95% gospodyń domowych obraca się w kręgu ‘społecznościowych’ stron, które poza cmokaniem nad nowymi kolorami tematu graficznego mogłoby od czasu do czasu rzucić ważniejszymi informacjami.
Ale po co rzucać takimi informacjami. Po co męczyć użytkownika? Użytkownikowi ma w zasobniku wyskoczyć radosny-kolorowy-acz-złowrogi-dymek oznajmujący wraz z patetycznym dźwiękiem informację: “Krytyczna aktualizacja bezpieczeństwa została pobrana. Kliknij >>aktualizuj<< by zainstalować"
W ramach dokształcania może być drugi przycisk – "więcej informacji".
Na stronach o danym profilu niech zaś sobie czyta o słodkich tematach na pulpit.
A po co na stronach z targetem na użytkownika domowego informować go o poprawkach które nie są dla niego istotne (i tak najpewniej nie zrozumie tego). Na tych stronach informuje się jak co zrobić (zmiana tapetki), nie jest to miejsce dla bardziej zaawansowanych użytkowników.
Na domowym laptopie nie interesuje mnie że ktoś lokalnie może przejąc konto roota…
Po co użytkownikom Ubuntu taka informacja? Cononical stara się zrobić z Ubuntu system dla przeciętnych użytkowników. System który sam ściąga i instaluje sobie kodeki, sam ściąga i instaluje sobie aplikacje. Ma to być system który pozwala na wyłączenie mózgu, bądź system pozwalający skupić się laikowi na pracy, a nie na tym jak działa system. Pamiętaj, że nie jesteś jedyną grupą docelową programistów Ubuntu, a może nawet jesteś marginesem 🙂 Interesują Cię takie informacje to zainstaluj sobie Arch Linux albo czystego Debiana. To są systemy gdzie taka wiedza powinna być użyteczna.
Ej, nie wierzę, że jesteście tak zindoktrynowani, że nie dostrzegacie potrzeby poinformowania użytkownika, że właśnie TERAZ powinien albo wybrać z menu aktualizację systemu, lub potwierdzić takową w okienku który się pokazuje. Tu nie chodzi, że user ma wiedzieć, co to jest kernel i exploit, tylko o to, że dla bezpieczeństwa ma zaktualizować system. Nawet MS o czymś takim informuje na swoich stronach (mam nadzieję?). Nie każdy przecięty user ma update z automata, wielu się nawet tego wystrzega, jako synonimu późniejszego syndromu ‘problemów poauktualizacyjnych’.
Takie informacje powinny być nagłaśniane, żeby potem ludzie się nie dziwili, że paczka .deb z tapetami, którą ściągnęli z gnome-look.org, zrobiła kuku ich systemowi.
Ano, zgadzam się z autorem.
Kodeki sam ściąga, ale nadal wymaga nadzoru ze strony użytkownika (no i również użytkownik wymaga nadzoru tegoż użytkownika), jak samochód z setką funkcji, która to setka funkcji nie powoduje, że pijany kierowca pojedzie do sklepu branżowego, by kupić nową tapetę w celu zastąpienia starej nową. (A budowy silnika na ogół nie trzeba znać.)
Nie “uknuli” powiedzenie tylko “ukuli”.
Oni nie knuli, tylko wykuwali…
>> Nawet MS o czymś takim informuje na swoich stronach
To się zdecyduj czy marudzisz na brak informacji na stronach ubuntu(na których informacja jest, jak zaznaczono w pierwszej odpowiedzi), czy na stronach “społecznościowych” 😛
@koliberek
Uknuli, uknuli, bo teraz powiedzenie złowieszczo krąży nad naszym odrywanym od tradycji padołem i co jakiś czas przypomina o starej prawdzie praprzodków (vide tylu opiekunów kernela a takie błędy przeszły) 🙂
@grizz
Jak przystało na przeżywany po raz drugi czy trzeci wiek młodzieńczego buntu, jestem po prostu przeciw i mało mnie interesuje, przeciw komu 🙂 Wydźwięk sarkazmu w powyższych wywodach dotyczył bardziej ogromu pracy i uwagi poświęcanej kernelowi oraz temu, że wielu nie dostrzega tego zaangażowania (poza samym ‘producentem’, co jest dość logiczne). To nic zdrożnego, ale tworzenie skrótów myślowych i obejść niektórych tematów przy obecnej kondycji rozwojowej Linuksa (np. klikalne ułatwienia dla użytkowników) jest niebezpieczne.