---------- Добавлено 07.11.2014 в 21:08 ----------
Pavel.Odintsov: В KernelCare патчи появились буквально через десяток часов после аносна уязвимости, это где-то неделю назад (аж!), так что это отличный вариант, для тех, кому ребут не вариант :)
Патчи-то оно накатывает, но я не совсем понял чем они пользуются для загрузки нового ядра без перезагрузки машины. kexec?
В случае openvz как я понимаю контейнеры все равно придется дернуть.
Представляем небольшой обзор критических уязвимостей, появившихся за последнее время.
1) Компрометация системы в OpenSSH.
Уязвимость существует из-за того, что приложение позволяет предоставлять пользователям SFTP-доступ с ограниченными правами при использовании команды «ForceCommand internal-sftp». Удаленный пользователь может выполнить произвольный код на целевой системе.
Уязвимость позволяет удаленному пользователю обойти ограничения безопасности. Уязвимость существует из-за неизвестной ошибки. Подробности не разглашаются.
Уязвимость существует из-за ошибки в реализации протокола. Удаленный пользователь может путем осуществления MitM-атаки получить доступ к зашифрованным соединениям. Для устранения уязвимости необходимо полностью отключить использование SSL в пользу TLS! Дополнительная информация по ссылке: https://technet.microsoft.com/en-us/library/security/3009008.aspx
4) Отказ в обслуживании в OpenSSL.
Уязвимость существует из-за того, что SSL/TLS/DTLS сервер неправильно осуществляет проверку session ticket. Удаленный пользователь может вызвать утечку памяти и спровоцировать отказ в обслуживании. Подробности: ttps://www.openssl.org/news/secadv_20141015.txt
5) Неавторизованное изменение данных в Drupal.
Уязвимость позволяет удаленному пользователю осуществить SQL-инъекцию. Для устранения установите последнюю версию с сайта производителя. Информация с официального сайта: https://www.drupal.org/SA-CORE-2014-005
Наш head-администратор продолжает публиковать материалы по современным технологиям, статья "Виртуальные ресурсы в Puppet" была размещена на Habrahabr. Если у вас есть какие либо вопросы по данной теме - наш специалист бесплатно ответит на них в комментариях к этой статье.
У QCow2 есть дополнительные возможности. Если нужно постараться забить машину по максимому можно использовать qcow2, т.к. у него есть grow-on-demand, поэтому на диске места будет занято столько, сколько реально забито внутри VM.
Еще есть поддержка copy-on-write, шифрование образов, сжатие.
Если это все не нужно ставьте LVM. По скорости он лучше.
в virtualbox виртуализации не помню чтоб находили уязимостей, а она почти такая же крутая как kvm, правда панелей управления гламурных нету.
Достаточно набрать в поиске CVE Virtualbox :)
На phoronix хорошая статья про сравнение скорости VirtualBox и KVM - http://www.phoronix.com/scan.php?page=article&item=ubuntu_1404_kvmbox&num=1 Это в частности ответ на вопрос "зачем KVM?".
---------- Добавлено 07.11.2014 в 21:08 ----------
В KernelCare патчи появились буквально через десяток часов после аносна уязвимости, это где-то неделю назад (аж!), так что это отличный вариант, для тех, кому ребут не вариант :)
Патчи-то оно накатывает, но я не совсем понял чем они пользуются для загрузки нового ядра без перезагрузки машины. kexec?
В случае openvz как я понимаю контейнеры все равно придется дернуть.
В качестве хардкорного решения можно погасить exim, удалить локи в /var/spool/exim4/db и запустить заново.
Насколько я помню routing defer когда доставка почты много раз завершилась неудачей. Заблокировали smtp порт или что-то похожее.
Если проблема решена, то можно снять retry удалением локов, как я писал выше.
В качестве хардкорного решения можно погасить exim, удалить локи в /var/spool/exim4/db и запустить заново.
Насколько я помню routing defer когда доставка почты много раз завершилась неудачей. Заблокировали smtp порт или что-то похожее.
Если проблема решена, то можно снять retry удалением локов, как я писал выше.
Kernel Care решает, мужики :)
А вы им пользовались? У него гордо заявлена поддержка Debian6, что несколько смущает в его up-to-date.
А так, раз на то пошло - всем OpenWall :)
так оно еще и дырявое решето ) openvz еще большее зло чем я думал.
И к прмеру Xen - CVE-2014-7188
Просто непонятно.
Уязвимы ядра 2.6.32-042stab057.1 to 2.6.32-042stab093.5
Proxmox показывает версию 2.6.32-30-pve. Я судил исключительно по последним числам.
И обновлений от proxmox не видно, будто все в порядке.
Поэтому не все страшно. Например ядро используемое в proxmox не подвержено PSBM-29594 судя по всему.
Представляем небольшой обзор критических уязвимостей, появившихся за последнее время.
1) Компрометация системы в OpenSSH.
Уязвимость существует из-за того, что приложение позволяет предоставлять пользователям SFTP-доступ с ограниченными правами при использовании команды «ForceCommand internal-sftp». Удаленный пользователь может выполнить произвольный код на целевой системе.
Подробности по проблеме и методы ее устранения: http://seclists.org/fulldisclosure/2014/Oct/35
2) Отказ в обслуживании в Joomla.
Уязвимость позволяет удаленному пользователю обойти ограничения безопасности. Уязвимость существует из-за неизвестной ошибки. Подробности не разглашаются.
Больше информации: http://developer.joomla.org/security/596-20140904-core-denial-of-service.html
3) Раскрытие важных данных в SSL.
Уязвимость существует из-за ошибки в реализации протокола. Удаленный пользователь может путем осуществления MitM-атаки получить доступ к зашифрованным соединениям. Для устранения уязвимости необходимо полностью отключить использование SSL в пользу TLS! Дополнительная информация по ссылке: https://technet.microsoft.com/en-us/library/security/3009008.aspx
4) Отказ в обслуживании в OpenSSL.
Уязвимость существует из-за того, что SSL/TLS/DTLS сервер неправильно осуществляет проверку session ticket. Удаленный пользователь может вызвать утечку памяти и спровоцировать отказ в обслуживании. Подробности: ttps://www.openssl.org/news/secadv_20141015.txt
5) Неавторизованное изменение данных в Drupal.
Уязвимость позволяет удаленному пользователю осуществить SQL-инъекцию. Для устранения установите последнюю версию с сайта производителя. Информация с официального сайта: https://www.drupal.org/SA-CORE-2014-005
Наш head-администратор продолжает публиковать материалы по современным технологиям, статья "Виртуальные ресурсы в Puppet" была размещена на Habrahabr. Если у вас есть какие либо вопросы по данной теме - наш специалист бесплатно ответит на них в комментариях к этой статье.
Если у вас NOPASSWD можно:
Если нет, то, например, так:
У QCow2 есть дополнительные возможности. Если нужно постараться забить машину по максимому можно использовать qcow2, т.к. у него есть grow-on-demand, поэтому на диске места будет занято столько, сколько реально забито внутри VM.
Еще есть поддержка copy-on-write, шифрование образов, сжатие.
Если это все не нужно ставьте LVM. По скорости он лучше.