Уязвимость в ядре Linux 2.6.31-rc3 ~ 3.15-rc5

Исходя из того как работает данная уязвимость, ядра OpenVZ ей не подвержены. Контейнеры изолированы от ноды, внутри контейнера у пользователей нет доступа к /proc/kallsyms а в CentOS(RHEL) пользователю в /proc/kallsyms не выдается актуальных адресов а только куча ноликов.

---------- Добавлено 13.05.2014 в 20:18 ----------

UPD по OpenVZ

CVE-2014-0196 update: OpenVZ kernels since 042stab076.7 (released a year ago, April 2013) are not exploitable. Older ones are.

Так что можно спать спокойно. )))

У меня 2 новости, одна хорошая, другая плохая. С какой начать? ))

Хорошая: "спокойно спать" могут также те, кто использует набор патчей grsecurity

Плохая: в сети уже есть другой эксплоит для ядер младше 3.14, правда он не рутает, а приводит к DoS, но при этом не использует kallsyms

Ссылку на эксплоит приводить не буду по понятным причинам :)

Вы ж на бажные скрипты и дырки в системе способные получить доступ к какому-либо пользователю намекаете?

Да, древние джумлы и вордпрессы на хостинговых серверах позволяют проводить такую деятельность в промышленных масштабах.

Причём тут раздел хостинг.

Для такого вида тем есть другой раздел:

/ru/forum/development/security - Безопасность.

Количество "спасибо" к первому посту как бы намекает, что автор не промахнулся. Проблема затронута не частная, а касающаяся многих.

В этой ветке помимо желающих приобрести хостинг постоянно присутствуют представители кучи хостеров. Если хотя бы несколько хостеров пойдут исправлять уязвимости в своей инфраструктуре после прочтения этой темы, поверьте, пользы (в том числе пользователям хостингов) будет больше, чем от очередного топика "накидайте хостингов за 5 рублей".

torg, надо в "безопасности" еще такую тему создать, в "администрировании" уже есть, каждый будет сам для себя решать - это безопасность, администрирование или проблемы хостинга 🤪

Никто не встречал сервисов проверки на уязвимость, на подобии filippo heartbleed ???

От разработчиков CloudLinux патч появился утром: http://patches.kernelcare.com/

---------- Добавлено 13.05.2014 в 22:29 ----------

Для ядер >= v3.14-rc1 есть вот такое: http://bugfuzz.com/stuff/cve-2014-0196-md.c

Для более старых ядер пока ничего не находил.

Как это отменяет патчи и фиксы, которые накладываются на OpenVZ ядра? ))

Да, я видел, только kernelcare - проект для "Live, automated kernel patching, without reboots".

Это отдельный "продукт" за отдельные деньги.

Официальные сборки ядер от клаудлинуксов аналогичных патчей _пока_ не включает.

Я написал о другом эксплоите.