Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Локальная DoS-уязвимость в systemd, opennews (??), 29-Сен-16, (0) [смотреть все] нечему удивляться, хочешь миришься с этим, либо сидишь на дистре без сабжа Или , Аноним (-), 21:33 , 29-Сен-16, (5) // есть надежда, что оно будет академично по-бздешному продуманней, чем сабж Напри, АнонимХ (ok), 21:49 , 29-Сен-16, (6) // pkg-ng научился в человеческое разруливание циклических зависимостей Может он х, . (?), 23:43 , 29-Сен-16, (23) –5 // CODE pkg info xcb-utilxcb-util-0 4 0_1,1Name xcb-utilVersion , Аноним (-), 03:54 , 30-Сен-16, (34) +1 Версию и билд вижу Serial aka семейство - нетЭто просто великолепно А бинарн, Аноним (-), 05:32 , 30-Сен-16, (35) –5 Расскажите, пожалуйста, что такое семейство а то может в более других отлич, тигар (ok), 08:58 , 30-Сен-16, (45) Плакали с такими конфликтами фронты на nginx перед апачем, на одной и той же маш, Аноним (-), 13:35 , 30-Сен-16, (59) Семейство чего Гуглить насчет serial несколько напряжно А посмотреть по ссылк, Аноним (-), 13:47 , 30-Сен-16, (60) Скорее часть полной версии, перекрывающая собственно версию исходника Например, , Michael Shigorin (ok), 14:35 , 30-Сен-16, (62) В следующей строчке Version 0 4 0_1,1предпоследняя 1 после _ инкремен, Аноним (-), 16:41 , 30-Сен-16, (65) +1 это он так эпоху в терминах RPM обозвал , Аноним (-), 16:43 , 30-Сен-16, (66) –1 Угу, это синонимы Рекомендуется s Serial Epoch g со слов нашего майнтейнер, Michael Shigorin (ok), 16:49 , 30-Сен-16, (67) –1 Если пакетному менеджеру нужно большое количество pre post и т д скриптов, то о, alp (?), 08:02 , 30-Сен-16, (40) –3 как правило - это нужно не пактеному менеджеру,а пакету для выполнения тех или и, fail (?), 10:08 , 30-Сен-16, (54) +2 Интересно, зачем могут понадобиться циклические зависимости пакетов По факту, та, None (??), 10:31 , 30-Сен-16, (56) Но пользоваться им нормально все-равно не получится Потому что монолиты 110 мет, Аноним (-), 20:02 , 30-Сен-16, (70) –1 // Великий знаток опеннета не в курсе разницы между ракетным менеджером и собственн, Аноним (-), 21:23 , 30-Сен-16, (80) +2 Хорошая опечатка При том что теоретически он есть Практически толку с этого нет, Аноним (-), 22:04 , 30-Сен-16, (81) –1 Бывает А по теме что-то будет Учитывая предыдущие вумности , смахивает на оче, Аноним (-), 00:36 , 01-Окт-16, (89) А в дистре без сабжа, типа, уязвимостей не бывает , Фунт (?), 10:00 , 30-Сен-16, (53) –1 // В bin init-е-то Серьёзно , Andrey Mitrofanov (?), 10:50 , 30-Сен-16, (57) +1 // Кгм, у меня и бинаря-то такого нет -- следовательно, неуязвим CODE rpm -qf --, Michael Shigorin (ok), 14:39 , 30-Сен-16, (63) Лучше так ps -p 1 PID TTY TIME CMD _, Andrey Mitrofanov (?), 15:03 , 30-Сен-16, (64) Говорили им - нечего лезть в иерархии, обязательно что-нибудь пойдет не так, так, Аноним (-), 21:53 , 29-Сен-16, (7) +8 // волков бояться - в лес не ходить, Нанобот (ok), 09:03 , 30-Сен-16, (46) –2 // Тут не про поход в лес, про нырок в канализацию , Аноним (-), 09:18 , 30-Сен-16, (48) +3 А, так вот о чём ldv вслух размышлял , Michael Shigorin (ok), 22:13 , 29-Сен-16, (8) –2 // 32545 - исправлено , KM (?), 23:07 , 29-Сен-16, (13) // Не-а Вообще говоря, поддержка ветки p7 уже завершена и всё, что в этом плане д, Michael Shigorin (ok), 23:45 , 29-Сен-16, (24) –2 // Поэтому я и не выделял ветки, а закинул в общую секцию Чем могу , KM (?), 23:51 , 29-Сен-16, (25) +1 Я надеюсь не при дамах размышлял Вообще, Михаил, спасибо вам за sysV сборки Пе, Vkni (ok), 01:38 , 30-Сен-16, (31) +4 // Все познается в сравнении Если так попробовать почитать баги в инит-скриптах - , Аноним (-), 20:17 , 30-Сен-16, (73) –2   // Вот тут и познаётся разница между нормальной компонентной системой и кубик-рубик, Vkni (ok), 21:00 , 30-Сен-16, (77) +3   При том большинство компонентов - из бамбука и лиан И работает характерно, заби, Аноним (-), 22:29 , 30-Сен-16, (82) –2   Ну вот примерно в таком стиле systemd и написан , Vkni (ok), 23:55 , 30-Сен-16, (85) +3   В нормальных системах покрутить лимиты-приоритеты может и старый добрый sysvinit, Michael Shigorin (ok), 09:54 , 01-Окт-16, (93)   Если надо, берёте monit и получаете _вменяемый_ мониторинг состояния сервисов , Michael Shigorin (ok), 09:47 , 01-Окт-16, (91)   Это чем он более вменяемый реализации в systemd Тем, что сделан через костыли с, Аноним (-), 03:52 , 06-Ноя-16, (106) –2   Ваши познания уних-вея ввергают нас в ступор благоговения У не сам ли Леннарт п, Andrey Mitrofanov (?), 14:22 , 07-Ноя-16, (107) +1   Функциональными тестами Если бы Вы ещё сами этой функциональностью пользовались , Michael Shigorin (ok), 14:34 , 07-Ноя-16, (108) +1   Это уже интересно И как выглядит функциональное тестирование сервиса, допустим,, Аноним (-), 22:10 , 08-Ноя-16, (109)   Зависит от того, какие средства внешнего контроля предусматривает сервис Напри, Michael Shigorin (ok), 22:35 , 08-Ноя-16, (110)   Это только начало, хехе , Аноним (-), 22:58 , 29-Сен-16, (11) +6 // Естественно Надо ведь не фичи релизить, а отлаживать существующий функционал ht, freehck (ok), 23:11 , 29-Сен-16, (14) +5 Забавный баг Походу нашли случайно Но для пользователей ничего хорошего, хоть е, vitalikp (?), 23:01 , 29-Сен-16, (12) +1 // Как , X2asd (ok), 23:13 , 29-Сен-16, (15) –1 // Как бамблби наверное, со своим rm -rf usr share , в айтишных байках , EuPhobos (ok), 23:20 , 29-Сен-16, (18) 1 Ну в апстриме исправили, а в старых версиях надо еще патч адаптировать 2 Есл, vitalikp (?), 23:28 , 29-Сен-16, (22) // в убунте уже исправили Вчера вечером команда работала, сегодня утром - уже нет, Аноним (-), 06:16 , 30-Сен-16, (37) Даже так Если они входные данные не проверили в одном месте, то такого будет мн, Andrey Mitrofanov (?), 09:29 , 30-Сен-16, (49) +3 Он давно уже идёт - я подписан на ALTовские рассылки, там периодически появляютс, Vkni (ok), 21:03 , 30-Сен-16, (78) +1 Достаточно посмотреть на опеннете на представителей альтлинукса, чтобы понять ка, Аноним (-), 22:38 , 30-Сен-16, (83) –1 Без чудес, да Падает, как у всех остальных , Vkni (ok), 00:01 , 01-Окт-16, (87) +3 Ничего, что здесь обычно отмечаются mike , cas , vkni -- а вот shaba , который , Michael Shigorin (ok), 11:11 , 01-Окт-16, (94) Думаю что во всех мало-мальски ориентированных на продакшн дистрах майнтайнеры б, Аноним (-), 20:22 , 30-Сен-16, (74) –1 Говорили же, чем больше всего намешано в PID 1, тем больше пространства для атак, anonymous (??), 02:58 , 30-Сен-16, (33) +12 // Не ошибается тот, кто ничего не делает , Аноним (-), 08:03 , 30-Сен-16, (41) –6 // Признаёте s-d ошибкой , Andrey Mitrofanov (?), 09:30 , 30-Сен-16, (50) +8 лол, пилить болгаркой стремянку, на которой стоишь, тоже можно а потом после , Аноним (-), 11:21 , 30-Сен-16, (58) +3 // Ну да, править кастомно 100500 скриптов от 100500 криворуких мейнтейнеров потому, anomymous (?), 20:15 , 30-Сен-16, (71) –2 Поэтому фанаты sysv init утверждают что болгарки и стремянки не требуются Макси, Аноним (-), 20:25 , 30-Сен-16, (75) –2 Язык Цэ, на котором написана система systemD - это и есть ручная дрель по сравне, Vkni (ok), 21:07 , 30-Сен-16, (79) +2 Пока не попробуешь им namespace переключить, попутно расставляя лимиты и переклю, Анонми (?), 22:45 , 30-Сен-16, (84) –3 У вас функциональная неграмотность я писал про языки Цэ и sh, а вы возражаете, , Vkni (ok), 00:00 , 01-Окт-16, (86) +3 Ну и нахрена вам всё это Ну и что вам такого дали эти ваши namespace-ы Улучшенн, freehck (ok), 09:47 , 01-Окт-16, (92) Он скорее о том, что ulimit из инитскриптов в обычных дистрибутивах штатно не , Michael Shigorin (ok), 11:37 , 01-Окт-16, (95) Да я, Миш, собственно о том и говорю, что они ставят в заслугу своей любимой под, freehck (ok), 17:33 , 01-Окт-16, (96) +2 Реально, если есть проблемы со скриптами, то нужно просто переходить на какой-ни, Vkni (ok), 18:14 , 01-Окт-16, (98) –2 Кстати, очень интересная мысль Предлагаю обсудить в почте vkni altlinux org, н, freehck (ok), 19:58 , 01-Окт-16, (99) У меня тоже есть, но толку-то Основная проблема с заменой sh - это то, что нужн, Vkni (ok), 22:48 , 01-Окт-16, (101) Вот мне тоже не понятно, куда там типизацию втыкать Основное применение shell -, freehck (ok), 15:57 , 02-Окт-16, (103) –1 Вообще это несложно поправить -- на конторе всё так же вечерами водится чай, а з, Michael Shigorin (ok), 22:39 , 01-Окт-16, (100) А контора-то где Посмотрел Мне 4 часа ходу до Переславля Можно попробовать Хо, freehck (ok), 15:25 , 02-Окт-16, (102) На Дмитровской, см basealt ru Да, зимой по горкам с эпизодическими лесовозами б, Michael Shigorin (ok), 15:10 , 03-Окт-16, (105) Я все жду когда Торвальдс хороший гемор от этой поделки получит, anonymous (??), 08:23 , 30-Сен-16, (44) +4 // LF РедХейту гешефт не выклюет , Andrey Mitrofanov (?), 09:31 , 30-Сен-16, (51) Немного напомнило давний багhttps bugs freedesktop org show_bug cgi id 74589Ве, Аноним84701 (?), 17:42 , 30-Сен-16, (68) +1 // Я тоже глубоко не закапывался, но на поверхностный взгляд бессистемность - это, KonstantinB (ok), 19:17 , 30-Сен-16, (69) +1 // upstart в целом был бы куда более интересен, если бы не имел такой полномасштабн, anomymous (?), 20:16 , 30-Сен-16, (72) –2 // Можете приступать Но что-то тот код с магическими константами как появился в 20, Vkni (ok), 00:03 , 01-Окт-16, (88) +3 архитектура -- дело поправимое, задумка -- не беда PS привет с калужской к, Michael Shigorin (ok), 09:45 , 01-Окт-16, (90) +1 Теперь-то да, деваться уже некуда Пару лет назад еще имело смысл пробовать допи, KonstantinB (ok), 19:37 , 02-Окт-16, (104) А радости с этого Ну вот надо мне чтобы моя программа взлетела перед какой-то е, Аноним (-), 20:32 , 30-Сен-16, (76) –1 5,7,8,11,12,33,44,68

Сообщения

[Сортировка по времени | RSS]

	73. "Локальная DoS-уязвимость в systemd"	–2 +/–
	Сообщение от Аноним (-), 30-Сен-16, 20:17
	> Я надеюсь не при дамах размышлял? Вообще, Михаил, спасибо вам за sysV > сборки. Периодически просматривая dev и sisyphus списки рассылки радуюсь, что у > меня не systemd. Все познается в сравнении. Если так попробовать почитать баги в инит-скриптах - они тоже на все вкусы. Не говоря о том что в sysv вообще нет нотификаций и система просто забьет на сервис повисший при старте. Это вообще никем и никак не обрабатывается.
	Ответить | Правка | Наверх | Cообщить модератору

	77. "Локальная DoS-уязвимость в systemd"	+3 +/–
	Сообщение от Vkni (ok), 30-Сен-16, 21:00
	Вот тут и познаётся разница между нормальной компонентной системой и кубик-рубик-монолитом. Те инит скрипты, которые я не запускаю, мне не мешают.
	Ответить | Правка | Наверх | Cообщить модератору

	82. "Локальная DoS-уязвимость в systemd"	–2 +/–
	Сообщение от Аноним (-), 30-Сен-16, 22:29
	> Вот тут и познаётся разница между нормальной компонентной системой При том большинство компонентов - из бамбука и лиан. И работает характерно, забив на ошибки, продолбав логи и проигнорировав таймауты. Если на таймауты забивать - то и багов в механизме нотификаций не будет. Кто бы сомневался. > и кубик-рубик-монолитом. Из кубик-рубика можно и скрипт позвать, если нужно. С другой стороны кубик-рубик может мне выставить планировщик времени проца и IO и приоритеты, порубить SECCOMP-ом лишние сисколы, выставить лимиты, рестартануть процесс при зависоне и проч. И все это несколькими простыми директивами. Самому это горожить что на скриптах что сишным кодом довольно утомительно, а использовать системы как будто на дворе XX век нравится не всем. > Те инит скрипты, которые я не запускаю, мне не мешают. Те сервисы которые я не запускаю в системд мне тоже не мешают. Более того - сперва я не понимал в чем прикол с 2 levels of disable. А после того как въехал нахожу это удобным и логичным.
	Ответить | Правка | Наверх | Cообщить модератору

	85. "Локальная DoS-уязвимость в systemd"	+3 +/–
	Сообщение от Vkni (ok), 30-Сен-16, 23:55
	> горожить Ну вот примерно в таком стиле systemd и написан.
	Ответить | Правка | Наверх | Cообщить модератору

	93. "Локальная DoS-уязвимость в systemd"	+/–
	Сообщение от Michael Shigorin (ok), 01-Окт-16, 09:54
	> Из кубик-рубика можно и скрипт позвать, если нужно. С другой стороны кубик-рубик > может мне выставить планировщик времени проца и IO и приоритеты, порубить > SECCOMP-ом лишние сисколы, выставить лимиты, рестартануть процесс при зависоне и проч. > И все это несколькими простыми директивами. В нормальных системах покрутить лимиты-приоритеты может и старый добрый sysvinit, я уже давал Вам ссылку на limited(8): http://git.altlinux.org/gears/s/service.git?p=service.git;a=... > Самому это горожить что на скриптах что сишным кодом довольно утомительно, Да уж, надорваться можно.  Если быть пользователем, а не улучшать используемую ОС. > а использовать системы как будто на дворе XX век нравится не всем. Давайте конкретнее -- "как будто 1995 год": то ли загрузится, то ли зависнет на останове...
	Ответить | Правка | К родителю #82 | Наверх | Cообщить модератору

	91. "Локальная DoS-уязвимость в systemd"	+/–
	Сообщение от Michael Shigorin (ok), 01-Окт-16, 09:47
	> Не говоря о том что в sysv вообще нет нотификаций и система просто забьет на сервис > повисший при старте. Это вообще никем и никак не обрабатывается. Если надо, берёте monit и получаете _вменяемый_ мониторинг состояния сервисов.
	Ответить | Правка | К родителю #73 | Наверх | Cообщить модератору

	106. "Локальная DoS-уязвимость в systemd"	–2 +/–
	Сообщение от Аноним (-), 06-Ноя-16, 03:52
	> берёте monit и получаете _вменяемый_ мониторинг состояния сервисов. Это чем он более вменяемый реализации в systemd? Тем, что сделан через костыли с опросом списка процессов? Поддержание работоспособности процессов и их перезапуск при падении — задача init'а, причём ещё со времён юниксов. Демоны для наблюдения прописываются в inittab с кейвордом respawn, при их завершении init получает сигнал SIGCHLD от ядра и перезапускает их. Почему вместо развития этой схемы от неё вообще отошли и прикрутили демоны уродливыми костылями через простыни скриптов с утерей возможности наблюдения и перезапуска — непонятно. Systemd с unit'ами — как раз таки исправление этого упущения, возвращение к архитектуре UNIX, а не уход от неё.
	Ответить | Правка | Наверх | Cообщить модератору

	107. "Локальная DoS-уязвимость в systemd"	+1 +/–
	Сообщение от Andrey Mitrofanov (?), 07-Ноя-16, 14:22
	> Поддержание работоспособности процессов и их перезапуск при падении — задача init'а, > причём ещё со времён юниксов. Демоны для наблюдения прописываются в inittab > с кейвордом respawn, при их завершении init получает сигнал SIGCHLD от > ядра и перезапускает их. Ваши познания уних-вея ввергают нас в ступор благоговения. У не сам ли Леннарт посетил борду! > Почему вместо развития этой схемы от неё вообще отошли и прикрутили демоны > уродливыми костылями через простыни скриптов с утерей возможности наблюдения и перезапуска > — непонятно. Systemd с unit'ами — как раз таки исправление этого > упущения, возвращение к архитектуре UNIX, а не уход от неё. Браво, бис, Леннарт Полиграфович!! Расскажите нам больше, сорвите покровы -- что будет новенького  прогрессивненького в RHEL-9 и s-d v300? Вы ж не просто так после драчки кулочками, и удобные факты под нужный ответ подгоняете -- у Вас же ж вИдение!? Жгите, просим!
	Ответить | Правка | Наверх | Cообщить модератору

	108. "Локальная DoS-уязвимость в systemd"	+1 +/–
	Сообщение от Michael Shigorin (ok), 07-Ноя-16, 14:34
	>> берёте monit и получаете _вменяемый_ мониторинг состояния сервисов. > Это чем он более вменяемый реализации в systemd? Функциональными тестами. > Поддержание работоспособности процессов и их перезапуск при падении — задача init'а, > причём ещё со времён юниксов. Демоны для наблюдения прописываются в inittab > с кейвордом respawn, при их завершении init получает сигнал SIGCHLD от > ядра и перезапускает их. Если бы Вы ещё сами этой функциональностью пользовались и понимали особенности... я, если что, пользовался -- для N малого особо важных сервисов. Очень вкратце -- да, обычному init не помешала бы возможность прилетевшие сыновнии копытца передать менеджеру вроде того же monit (возможно, поменьше и попроще).  Вот _это_ было бы возвращение и в затронутом Вами аспекте, но никак не неразборный комбайн с невменяемым "незаменимым" апстримом и типично штатовскими методами "продвижения демократии".
	Ответить | Правка | К родителю #106 | Наверх | Cообщить модератору

	109. "Локальная DoS-уязвимость в systemd"	+/–
	Сообщение от Аноним (-), 08-Ноя-16, 22:10
	> Функциональными тестами. Это уже интересно. И как выглядит функциональное тестирование сервиса, допустим, слушающего UART, в терминах monit? Да, он не работает с сетью. Но может быть вполне себе mission critical для моей задачи т.к. должен что-то сделать когда другая железка что-то прислала. И без него система полная тыква и утрачивает смысл существования. В системд - прописываем в конфиг желаемый таймаут и дергаем его апи, он знает что мой сервис живой. А в monit - это как будет выглядеть? Не говоря что проверяющего проверяет ядро и аппаратный вачдог и если и эти проверяющие дадут маху - железный вачдок тикает в железе и когда он дотикает до часа Ч - ну в крайнем случае системе приедет "железный" ресет от вачдога, он безусловный и неоспариваемый. И тут в хитрозадой системной механике вроде все схвачено. А как это делаете вы? Чтобы full coverage всей цепочки? Ну вот например - как проверяется что сам monit не повис? И как взвис обрабатывается? Подперто ли что-то из этого сначала ядерным а потом и аппаратными вачдогами, на случай если софту плохо или даже совсем плохо?
	Ответить | Правка | Наверх | Cообщить модератору

	110. "Локальная DoS-уязвимость в systemd"	+/–
	Сообщение от Michael Shigorin (ok), 08-Ноя-16, 22:35
	> И как выглядит функциональное тестирование сервиса, допустим, слушающего > UART, в терминах monit? Да, он не работает с сетью. Зависит от того, какие средства внешнего контроля предусматривает сервис.  Например, он может заранее известным образом отзываться на какие USR1/USR2. > В системд - прописываем в конфиг желаемый таймаут и дергаем его апи, > он знает что мой сервис живой. API сервиса? > А в monit - это как будет выглядеть? Если да, то так же. > Ну вот например - как проверяется что сам monit не повис? Там два процесса стартуют -- не помню уже роли и взаимоотношения, но не удивлюсь, если есть и некоторый самоконтроль, чтоб не доводить до hw watchdog, о котором Вы уже и упомянули. > И как взвис обрабатывается? Подперто ли что-то из этого сначала ядерным > а потом и аппаратными вачдогами, на случай если софту плохо или даже совсем плохо? Аппаратным вообще-то подпирается вне зависимости от, на то он и аппаратный. А так у меня monit за всё время эксплуатации -- это где-то с 2003 года, в т.ч. на системах, где почти каждое моргание eth0 звякало в копилку -- не вис ни разу.  В отличие от systemd, который однажды позволил себе упасть в корку в ситуации, когда приличный init продолжил бы работать.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема