Комплект исправлений для FreeBSD 8.0. Устранены уязвимости в ZFS, ntpd и BIND
7 января 2010 года
![](http://upload.wikimedia.org/wikipedia/commons/thumb/2/27/Wikinews-logo-ru.svg/300px-Wikinews-logo-ru.svg.png)
Разработчики FreeBSD выпустили errata-уведомление об исправлении ряда ошибок во FreeBSD 8.0, связанных со стабильностью и производительностью:
- Медленный реконнект NFS клиента при использовании TCP;
- Крах ядра при попытке изменения файла в ZFS-снапшоте, находящимся в режиме только для чтения. Крах также наблюдается при использовании на ZFS разделе средств мандатного контроля доступа (при установке меток через mac_biba или mac_mls);
- Возможность краха при перенаправлении IPv4 Multicast трафика. Потеря IGMP сообщений при их передаче от фильтра в ядре процессу маршрутизации в пользовательском окружении;
- Крах при получении некорректного SCTP сообщения, инициирующего завершение установленного соединения;
- Крах при передаче в системный вызов rename аргументов файлового пути, заканчивающихся на '/.'.
Кроме вышеприведенных ошибок опубликована информация об исправлении трех уязвимостей в подсистемах, входящих в базовую поставку FreeBSD:
- При восстановлении целостного состояния ZFS после краха системы, созданные, но не сброшенные на диск, файлы восстанавливаются из ZIL лога (ZFS Intent Log) с некорректными правами доступа (0777), допускающими изменения любым пользователем. Проблема исправлена в ветках RELENG_8_0, RELENG_7_2 и RELENG_7_1.
- DoS уязвимость во входящем в базовую поставку NTP-сервере. Атакующий может отправить специально оформленный фиктивный UDP пакет от имени другого NTP сервера, после чего эти два сервера начнут бесконечную "игру в пинг-понг", нагружая полностью сеть и CPU, а также переполняя диск интенсивно растущими логами. Проблема исправлена во всех поддерживаемых ветках FreeBSD (6.x, 7.x, 8.x).
- В DNS сервере Bind исправлена проблема безопасности, дающая возможность злоумышленнику поместить некорректные данные в кэш из-за отсутствия повторной DNSSEC проверки для помещаемых в кэш данных, ранее запрошенных с флагом "Checking Disabled", подразумевающим отсутствие проверки только для текущего запроса. Для успешного проведения атаки DNS сервер должен поддерживать рекурсивное выполнения запросов и выполнять DNSSEC проверку для клиентов (отключение DNSSEC решает проблему).
Источники
правитьЛюбой участник может оформить статью: добавить иллюстрации, викифицировать, заполнить шаблоны и добавить категории.
Любой редактор может снять этот шаблон после оформления и проверки.
Комментарии
Если вы хотите сообщить о проблеме в статье (например, фактическая ошибка и т. д.), пожалуйста, используйте обычную страницу обсуждения.
Комментарии на этой странице могут не соответствовать политике нейтральной точки зрения, однако, пожалуйста, придерживайтесь темы и попытайтесь избежать брани, оскорбительных или подстрекательных комментариев. Попробуйте написать такие комментарии, которые заставят задуматься, будут проницательными или спорными. Цивилизованная дискуссия и вежливый спор делают страницу комментариев дружелюбным местом. Пожалуйста, подумайте об этом.
Несколько советов по оформлению реплик:
- Новые темы начинайте, пожалуйста, снизу.
- Используйте символ звёздочки «*» в начале строки для начала новой темы. Далее пишите свой текст.
- Для ответа в начале строки укажите на одну звёздочку больше, чем в предыдущей реплике.
- Пожалуйста, подписывайте все свои сообщения, используя четыре тильды (~~~~). При предварительном просмотре и сохранении они будут автоматически заменены на ваше имя и дату.
Обращаем ваше внимание, что комментарии не предназначены для размещения ссылок на внешние ресурсы не по теме статьи, которые могут быть удалены или скрыты любым участником. Тем не менее, на странице комментариев вы можете сообщить о статьях в СМИ, которые ссылаются на эту заметку, а также о её обсуждении на сторонних ресурсах.