The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка  RSS
"Уязвимость в VMware Workstation и VMware Player для Debian G..."
Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Изначальное сообщение [ Отслеживать ]

"Уязвимость в VMware Workstation и VMware Player для Debian G..."  +/
Сообщение от opennews (ok) on 24-Авг-13, 11:36 
В системах VMware Workstation и VMware Player, развёрнутых под управлением Debian GNU/Linux, найдена (http://www.vmware.com/security/advisories/VMSA-2013-0010.html) опасная уязвимость (CVE-2013-1662), позволяющая непривилегированному пользователю хост-системы получить root-доступ через манипуляции с утилитой vmware-mount (проблема не даёт возможность выйти за пределы гостевого окружения, только повышение привилегий). Уязвимость уже устранена в свежих обновлениях (https://www.vmware.com/go/downloadworkstation) VMware Workstation 9.x/8.x и VMware Player 5.x/4.x. В качестве обходного пути решения предлагается убрать suid-бит с исполняемого файла vmware-mount.

URL: http://www.vmware.com/security/advisories/VMSA-2013-0010.html
Новость: https://www.opennet.ru/opennews/art.shtml?num=37734

Ответить | Правка | Cообщить модератору

Оглавление

Сообщения по теме [Сортировка по времени | RSS]


1. "Уязвимость в VMware Workstation и VMware Player для Debian G..."  –5 +/
Сообщение от V.Len (ok) on 24-Авг-13, 11:36 
все пользуются VB
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

2. "Уязвимость в VMware Workstation и VMware Player для Debian G..."  +/
Сообщение от Аноним (??) on 24-Авг-13, 11:43 
не все, ибо DX7
Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

3. "Уязвимость в VMware Workstation и VMware Player для Debian G..."  +5 +/
Сообщение от Аноним (??) on 24-Авг-13, 12:36 
Не все. Многие используют kvm
Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

4. "Уязвимость в VMware Workstation и VMware Player для Debian G..."  –1 +/
Сообщение от midori (ok) on 24-Авг-13, 13:46 
поверьте, таких гиков, как вы - не очень много, я вот не буду пользоваться kvm на своем домашнем пк, да и вы бы не стали - выбор вызван лишь тем, чтобы разобраться в работе, конфигурировании и управлении.
Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

5. "Уязвимость в VMware Workstation и VMware Player для Debian G..."  +/
Сообщение от anonymous (??) on 24-Авг-13, 14:39 
>не очень много

Неправда. Нас хватает.

Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

7. "Уязвимость в VMware Workstation и VMware Player для Debian G..."  –2 +/
Сообщение от Аноним (??) on 24-Авг-13, 16:03 
>>не очень много
> Неправда. Нас хватает.

Ты и твой сосед Вася? Толпень, ничего не скажешь. Беру назад свои слова.

Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

14. "Уязвимость в VMware Workstation и VMware Player для Debian G..."  +/
Сообщение от Аноним (??) on 24-Авг-13, 20:20 
Меня еще запишите, хоть я и не его сосед. Зато KVM сразу есть в системе, не требует левых модулей, отпадающих на каждый пук, и проброс usb там не зажлобили, как некоторые.
Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

21. "Уязвимость в VMware Workstation и VMware Player для Debian G..."  –1 +/
Сообщение от анонимус (??) on 25-Авг-13, 09:28 
>проброс usb там не зажлобили

разжопили уже

Ответить | Правка | ^ к родителю #14 | Наверх | Cообщить модератору

8. "Уязвимость в VMware Workstation и VMware Player для Debian G..."  +/
Сообщение от Аноним (??) on 24-Авг-13, 16:04 
там гуй не хуже чем у коробки. Если бы делал для дома "безэкранные" виртуалки для запуска в фоне, то выбрал бы квм. (хотя, коробка тоже умеет)
>>suid-бит

facepalm

Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

9. "Уязвимость в VMware Workstation и VMware Player для Debian G..."  +/
Сообщение от pavlinux (ok) on 24-Авг-13, 16:07 
> там гуй не хуже чем у коробки. Если бы делал для дома
> "безэкранные" виртуалки для запуска в фоне, то выбрал бы квм. (хотя,
> коробка тоже умеет)

Вящик - ушлёпская поделка и для автоматизации полное говно. KVM рулит! Кто-то на Xen дрочит.
Домой можно Вящик, игрухи старые пускать. Для корпоратива только VMware/vSphere.
(если откаты выпросишь - Parallels).

Ответить | Правка | ^ к родителю #8 | Наверх | Cообщить модератору

12. "Уязвимость в VMware Workstation и VMware Player для Debian G..."  +/
Сообщение от Аноним (??) on 24-Авг-13, 16:29 
Что мешает использовать в корпоративе KVM/Xen (например, через libvirt)?
Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

15. "Уязвимость в VMware Workstation и VMware Player для Debian G..."  +/
Сообщение от Аноним (??) on 24-Авг-13, 20:21 
> Что мешает использовать в корпоративе KVM/Xen (например, через libvirt)?

А ничего не мешает, кроме собственной репоголовости. К тому же qemu умеет и через KVM акселерироваться и через xen.

Ответить | Правка | ^ к родителю #12 | Наверх | Cообщить модератору

17. "Уязвимость в VMware Workstation и VMware Player для Debian G..."  –1 +/
Сообщение от pavlinux (ok) on 25-Авг-13, 00:15 
libvirt - опенсоурсная поделка.

VMware работает в огромных комплексах, облаках, прозрачное хранение,
зеркалирование облаков, взаимодействие с продуктами EMC Symmetrix/Clariion,
и их ПО ...  

К примеру, вызов и восстановление работы SAAS в виртуалке, которое валялось в бэкапе
из-за того что не использовалась пару недель, занимает около 5 сек.

В общем это другой мир!      

Ответить | Правка | ^ к родителю #12 | Наверх | Cообщить модератору

19. "Уязвимость в VMware Workstation и VMware Player для Debian G..."  –1 +/
Сообщение от rshadow (ok) on 25-Авг-13, 02:34 
Согласен. Вся эта функциональность есть в других системах, но нормального гуя чтоб секретарша могла в один клик восстановить работу SAAS нету =(. Нужно искать рукастого админа, коих немного.
Ответить | Правка | ^ к родителю #17 | Наверх | Cообщить модератору

24. "Уязвимость в VMware Workstation и VMware Player для Debian G..."  +/
Сообщение от pavlinux (ok) on 25-Авг-13, 19:22 
> Согласен. Вся эта функциональность есть в других системах, но нормального гуя чтоб
> секретарша могла в один клик восстановить работу SAAS нету =(. Нужно
> искать рукастого админа, коих немного.

Есть курсы EMC, да дорогие, но стоят того. Более того, закупая железо EMC,
у них много халявы, в том числе на те же курсы.

К примеру блондинка легко может собрать массив из 5-10 полок,
инструкции по сборки и быстрому старту реально для IQ в районе 10. :)

Про секс с ZFS иль BTRFS, дрочению настроек бэкапа, можно забыть, как страшный сон.
Это всё настраивается, часа за два, вместо 6 месяцев.


Ответить | Правка | ^ к родителю #19 | Наверх | Cообщить модератору

11. "Уязвимость в VMware Workstation и VMware Player для Debian G..."  +/
Сообщение от Аноним (??) on 24-Авг-13, 16:28 
> все пользуются VB

Никто не гарантирует отсутствия аналогичной "уязвимости" в утилитах VB, или любых других suid-программах. Потому что корень проблемы - в дырявом дебиановском bash.

Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

6. "Уязвимость в VMware Workstation и VMware Player для Debian G..."  +/
Сообщение от pavlinux (ok) on 24-Авг-13, 15:33 
Супер-мега-патч! :)

# chmod u-s `which  vmware-mount`;

---
Кстати, почему в Debian, в других дистрах такая же хрень?!

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

10. "Уязвимость в VMware Workstation и VMware Player для Debian G..."  +1 +/
Сообщение от Аноним (??) on 24-Авг-13, 16:25 
> Кстати, почему в Debian, в других дистрах такая же хрень?!

В дебиане на bash наложен специальный патч (http://patch-tracker.debian.org/patch/series/view/bash/4.2+d...), отключающий сброс привилегий в режиме эмуляции sh.
То есть, повторяется история с OpenSSL. Всем горячий привет от профессиональных "разработчиков" Debian.

Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

16. "Уязвимость в VMware Workstation и VMware Player для Debian G..."  –1 +/
Сообщение от Аноним (??) on 24-Авг-13, 21:55 
С OpenSSL была другая ситуация, тот патч одобрили авторы OpenSSL. Одобрили ли этот патч авторы bash пока неизвестно :)
Ответить | Правка | ^ к родителю #10 | Наверх | Cообщить модератору

18. "Уязвимость в VMware Workstation и VMware Player для Debian G..."  +/
Сообщение от pavlinux (ok) on 25-Авг-13, 00:22 
>> Кстати, почему в Debian, в других дистрах такая же хрень?!
> В дебиане на bash наложен специальный патч (http://patch-tracker.debian.org/patch/series/view/bash/4.2+d...),
> отключающий сброс привилегий в режиме эмуляции sh.
> То есть, повторяется история с OpenSSL. Всем горячий привет от профессиональных "разработчиков"
> Debian.

В Debian есть
Securing Debian Manual  http://www.debian.org/doc/manuals/securing-debian-howto/
CIS Security Benchmark  https://benchmarks.cisecurity.org/downloads/multiform/index.cfm
Guide to the Secure Configuration of RHEL (те же яйца, только RedHat) http://www.nsa.gov/ia/mitigation_guidance/security_configura...

По этим мануалам нужно пройтись, проверить и настроить сразу после установки системы!
Дальше отслеживать все критические узлы, после каждого апдейта.
ВСЕ suid/sgid программы в системе админ должен знать наизусть!!!

---
ЕСЛИ ВЫ ЭТОГО НЕ ДЕЛАЕТЕ - ТО ВАМ ПЛЕВАТЬ НА БЕЗОПАСНОСТЬ.

За Вас никто думать не будет, тут вам не windows!
---


[сообщение отредактировано модератором]

Ответить | Правка | ^ к родителю #10 | Наверх | Cообщить модератору

20. "Уязвимость в VMware Workstation и VMware Player для Debian G..."  +/
Сообщение от rshadow (ok) on 25-Авг-13, 02:37 
>Каждое сообщение о дыре нужно воспринимать ...

Если так будут делать то рынок сисадминов наводнится профессионалами. Но пока что это не наблюдается...

Ответить | Правка | ^ к родителю #18 | Наверх | Cообщить модератору

22. "Уязвимость в VMware Workstation и VMware Player для Debian G..."  –1 +/
Сообщение от Аноним (??) on 25-Авг-13, 10:41 
и это радует
Ответить | Правка | ^ к родителю #20 | Наверх | Cообщить модератору

25. "Уязвимость в VMware Workstation и VMware Player для Debian G..."  +/
Сообщение от Аноним (??) on 26-Авг-13, 12:31 
Сами качайте бесплатно/покупайте этот тормозной, гнилой и проприетарный крэп. У нас-же, на работе, на серваках - квм, у разрабов - вбокс, у меня дома - квм  и очень редко вбокс
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

27. "Уязвимость в VMware Workstation и VMware Player для Debian G..."  +/
Сообщение от pavlinux (ok) on 27-Авг-13, 21:24 
> Сами качайте бесплатно/покупайте этот тормозной, гнилой и проприетарный крэп.
> У нас-же, на работе, на серваках - квм, у разрабов - вбокс, у меня дома - квм  
> и очень редко вбокс

Опа, говорящее говно!

Ответить | Правка | ^ к родителю #25 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Спонсоры:
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2022 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру