Hace 10 años | Por zarapito a redeszone.net
Publicado hace 10 años por zarapito a redeszone.net

Hace pocas horas se ha dado a conocer una nueva vulnerabilidad en el núcleo del sistema operativo libre presente en este sistema desde el año 2009 que puede permitir a un atacante que la explote correctamente ganar permisos hasta considerarse “root” o generar un “kernel panic” en el sistema mediante un ataque DoS desbordando los límites asignados de la memoria. Esta nueva vulnerabilidad descubierta afecta a todas las versiones del kernel de Linux desde la versión 2.6.31 (una versión de 2009) hasta la actual 3.14.3 y la 3.15, aún en desarrollo.

Comentarios

D

Es una feature.

inconnito

#8 ¿Has leído el report y explicación del parche?
https://git.kernel.org/cgit/linux/kernel/git/torvalds/linux.git/commit/?id=4291086b1f081b869c6d79e5b7441633dc3ace00

Porque sí, el parche son 4 líneas, pero no es tan sencillo como haber declarado char cosa[20] y haber hecho luego sprintf(cosa, "ESto es una cadena de mas ed 20 caracteres y la estoy liando pardisima");

vickop

#8 Por eso en el software privativo, que sí que es ampliamente auditado, no se encuentran bugs ¿no?

Total, que vaya a desaparecer el soporte a Windows XP da igual ¿no?

Hanxxs

#30 ¿Acaso creías que era inmune a errores de programación?

D

#8 Cuando se tiene información completa del bug, es prácticamente trivial hacer el parche.

angelitoMagno

Irrelevante. No veo la necesidad de menear actualizaciones menores de un SO.

D

Uso Linux desde hace relativamente poco. Antes no aparecían tantos bugs y fallos como ahora, que está en racha. O será que antes, como no me planteaba usarlo, no me fijaba en las noticias que aparecían con estos fallos...

La verdad es que me da igual. Estoy contento con el sistema, no pienso dejar de usarlo. Me ha bastado leer la noticia, teclear dos comandos en la consola y saber que el problema está arreglado. Cuando me pasaba algo parecido con Windows, tenia que ir a foros, buscar mi error, averiguar como solucionarlo... eso claro está, en los casos que me enteraba que se había descubierto un fallo.

No voy a entrar en atacar windows o defender linux, la verdad es que ninguno me da de comer, por lo que no necesito hacerlo, pero como usuario puedo entender y asumir que un sistema tenga fallos, sobre todo cuando es un sistema por el que no he pagado nada, y que hasta ahora me está funcionando de forma exquisita.

D

#2 Esto es lo que tiene ser una comunidad unida de programadores que miran por el bien de un kernel.

Con esto no digo que microsoft apple o quien queráis no miren por sus errores pero es que la comunidad de programadores que hay para linux a parte de ser mucho más grande a mi forma de ver son mejores

noexisto

#19 lol lol yo y tres más (de hecho me tomo un café con ellas ahora) Hale, positivo para que te vayas contenta

D

#5 Pues no sera tan tonto el bug cuando ha estado 5 años sin ser descubierto.

c

#44. Las smartv utilizan en su mayoría variantes de linux.

Serujio85

#24 El kernel de Linux ES Linux, los S.O. que utilzan dicho kernel suelen ser GNU/Linux (Debian, SUSE, Ubuntu, Fedora, ...)

n

#91 para mi una vulnerabilidad que no es explotable en remoto no es grave y menos "critica" como dice la noticia.

Hanxxs

#19 "Ya hay más de mil millones de dispositivos Android en el mundo" http://www.xatakandroid.com/mercado/ya-hay-mas-de-mil-millones-de-dispositivos-android-en-el-mundo

Waskachu

Pero no es en el núcleo de Linux en sí si no en un módulo poco usado... Ah no espera.

#2 que sea reportada ahora no significa que no se supiera de su existencia antes.

c

#59. Tu ordenador no usa Linux cuando navegas por internet, pero tú si lo estas haciendo, ya que lo que ves en tu navegador en su mayoría es la salida de la ejecución de aplicaciones sobre Linux.

thingoldedoriath

Me niego a explicar una vez más la diferencia entre Linux y el kernel de sistemas que no se puede auditar, con forofos de esos sistemas que no se pueden auditar!!

Si no entienden que "no tienen acceso al código fuente y por tanto están a merced de los pocos que si tienen acceso, que son los que le venden una licencia de uso de ese código; bajo términos leoninos"... si no entienden que en un código cerrado puede haber cualquier cosa y solo los que lo compilaron saben por qué metieron esa cualquier cosa ahí... que coño se le puede explicar??!!

Shotokax

#20 claro, los milagros no existen. Si no lo actualizas no puedes estar a la última.

n

Este es un fallo que sólo se puede explotar si tienes usuario en la máquina, por lo que tienes que haber entrado antes de otra manera, por lo que no es de ninguna manera crítico ....

Serujio85

#20 Eso ya no es culpa del kernel de Linux. Si no actualizas tras descubrirse una vulnerabilidad y esta ser solventada, te toca apechugar.

c

#52. Pues mi televisión ni usa windows ni otra cosa que se le parezca. Si acaso, la LCD utiliza también una variante de Linux (LG). Las SAMSUNG también lo hacen.

Las de tubo, que yo sepa, no tienen SO de ningún tipo, y la mayoría de los TDT utilizan también variantes Linux.

D

#8 las fuentes del núcleo son públicas. ¿ Quieres que le pasemos uno de esos superprogramas para que lo encuentre ?
Me temo que te veo muy optimista...
#26 en los proyectos de software libre generalmente se hacen públicos al recibir el reporte. Te suscribes a la lista o consultas la página de internet y ya lo sabes desde el primer minuto. cc/ #41
#30 si esta mierda de error es "el error crítico del año", tenemos un software bastante decentillo. Para mi que nos costaría encontrar alguno con el que compararlo.

vazana

#4 en Windows XP no se informa de ninguna porque es perfecto, ya no tiene vulnerabilidades.

M

#116 Pero si llevo diciendo desde el principio que no fue "tan rápido" ¿dónde ves tú que critico que lo resuelvan tan rápido si ni siquiera considero que fuese "tan rápido"?

El fallo tiene fecha del 29 de abril y a 12 de mayo todavía se estaban distribuyendo los parches, sigue siendo rápido pero no "en horas".



#115 ¿cuántas veces me vais a decir la misma tontería? -> #44



#109 No siempre. Cuando es crítico se suele dar algún tiempo antes de hacerlo público para que cualquiera pueda explotarlo.

Esto empieza con suse, 29 de Abril: https://bugzilla.novell.com/show_bug.cgi?id=875690

El parche se agrega a la rama de desarrollo el 3 de mayo: https://git.kernel.org/cgit/linux/kernel/git/torvalds/linux.git/commit/?id=4291086b1f081b869c6d79e5b7441633dc3ace00

En Redhat consta como reportado el 5 de mayo: https://bugzilla.redhat.com/show_bug.cgi?id=1094232

Debian lanza la actualización el 12 de mayo: https://lists.debian.org/debian-security-announce/2014/msg00107.html

Red Hat, Fedora y Ubuntu también tenían actualización pero a 12 de mayo todavía había distribuciones que no.

¿eso es "en horas"? no, eso es rápido pero no "en horas". El artículo de redeszone está mal y la gente se fía de él para decir que lo hacen "en horas".

A

#12 Pues como lo arreglen igual que de bien que el bug de la alarma de iOS apaga y vámonos

mandelbr0t

El exploit para Android es bueno ya que nos permite a los propietarios del teléfono ganar permisos de root que nos niegan los fabricantes.

M

#85 Mira, gilipollas (es que lo de lerdo me ha llegado al alma ) lo bien que anda de fechas el artículo que enlaza este meneo que el bug es público se conoce al menos desde el 29 de abril: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-0196

http://www.etccrond.es/2014/05/cve-2014-0196-fallo-de-seguridad-en-linux.html

Pero ale, lo corrigieron en un par de horas entre pinta y pinta.

CC/ #2

D

#2 Confiando en que se actualice claro. En muchas universidades van por fedora 7, ubuntu 12.04 etc

arivero

#1 Cuando era joven usabamos las vulnerabilidades como feature... bloqueabas totalmente la posibilidad de ejecutar como root salvo si entrabas con un exploit. Asi, si te entraba alguien, tenias esperanza de que al menos supiera lo que estaba haciendo.

C

#3 Estoy de acuerdo contigo, además, el problema no es tanto que Google saque un parche como que los fabricantes lancen sendas actualizaciones en sus terminales. Esto no es culpa de Linux, sino más bien de cómo gestionan las versiones de Android, pero si el fallo fuera realmente peligroso, habría muchos de esos "millones de dispositivos que usan Linux" totalmente vulnerables por mucho tiempo (o para siempre).

Y no todos los modelos tienen una amplia comunidad de desarrolladores de custom ROMS tipo CyanogenMod.

Valverdenyo

#20 Ubuntu 12.04 es LTS así que sin problema tendrán su actualización.

D

#112 esta vulnerabilidad se basa en que si se da a la vez más de una orden de escritura a una TTY se produce un desbordamiento de búfer (buffer overflow)

Por tanto, selinux tiene muchas posibilidades de evitarlo, si está correctamente configurado, claro.

(no tengo claro el uso de negativos en meneame, presupongo que se usan para "no estoy de acuerdo", como tú los has usado)

M

#2 Siempre sale un comentario como el tuyo y siempre es lo mismo y yo siempre digo lo mismo: Vi una vez como un fallo fue corregido antes de ser "descubierto" ¿tenían un Delorean? no, simplemente que una cosa es cuándo se hace público y otra cuando se encuentra de verdad. Normalmente cuando se descubre un fallo se espera un tiempo a tener una solución y después se hace público.

M

#31 Y yo digo que tanta agilidad, tanta como queréis hacer ver no existe normalmente. "Pocas horas después" es después de que se haya hecho público pero a saber cuánto tiempo hace que ellos la conocen.

Lanzar una actualización en tan pocas horas, o la corrección es muy tonta o me parece imprudente porque entre que te pones a ello, lo corriges, haces pruebas, distribuyes la actualización y tal allá se te van esas horas.

A

#58 Pues si vieras cuántos años ha estado abierto el bug #1 de Ubuntu

https://bugs.launchpad.net/ubuntu/+bug/1

Rubenix

#12 En el MSDN hay gente que se queja que ha reportado errores y, tras muchos meses, no los han corregido.

En el software libre la opción de crear correcciones está también en quien lo descubre, en los usuarios o en otros desarrolladores.

PussyLover

#2 Aun así dice que también se ve afectado Android, pues dudo que muchos teléfonos reciban su actualización particular. Ahí se morirán de asco.

sorrillo

¿Hoy el kernel de Linux es Linux o no es Linux?

D

En Windows esto pasa, porque nunca se dan a conocer.

c

#75 BSD no tiene nada que ver con Linux. Si acaso, lo único que tienen en común es ser variantes de UNIX.

el_mico_de_l_anis

El kernel de Linux.
Linux es un kernel.

D

#20 Yo uso elementary OS (Ubuntu 12.04) y esta mañana me ha entrado una actualización del kernel desde los repositorios de Ubuntu. No había leído esta noticia, pero imagino que alguna relación hay.

Linux 3.2.0-63-generic #94-Ubuntu SMP

D

¿Vulnerabilidad crítica? ¡Eso es una noticia importantísima que afecta a miles de sistemas en el mundo!

¡Rápido, votemos negativo a la noticia para sacarla de portada!

P

#53 y como OSX no tiene NADA de Unix/SL lol. Cuánto ignorante, no me extraña que uses un MBP; no creo que te de la cabeza para utilizar ni Windows lol (no es envidia, yo también tengo un MBP Retina).

D

#53 iluso

D

#59 Y el router a través del cual te conectas a internet también suelen usar Linux. Y las páginas a las que te conectas (como esta) también lo usan.

P

#76 hablo de Software Libre, mira mis comentarios.

D

#2 ¿Y todos los años que estuvo ahí el bujero a merced de quién quisiera explotarlo? Linux hace como todos, revela los agujeros justo horas antes de publicar el parche.

D

#2 ¡Qué sí! ¡Que ya sabemos que los parches salen rápido...!

Shotokax

#81 eso es culpa de los fabricantes de los teléfonos, que no tienen un sistema de actualizaciones adecuado.

D

#83
Claramente no, no me confundí citándote lol

D

#88
Tú sigue haciendo gala de tu ignorancia, me resbala totalmente cualquier cosa que puedas decir. Sólo los necios te podrían hacer un mínimo de caso.

D

#92
Pero es que vienes con tonterías irrelevantes para darte bombo.

D

#94
Jajaja, pobrecito, tu cabecita no da más de sí, ni tan siquiera para enterarse de que la información que coloca es errónea.

D

#97
No tengo ahora mismo pincel ni pintura ni tampoco tela.

D

#99
Lo mismo digo. Tirar un pedrusco, un cóctel molotov y luego largarse no está bien visto.

D

#101
Pero qué vas a aclarar si ya te he dicho que es erróneo lo que expones como tú dices que lo que expongo yo es erróneo lol

D

#103
La estás mareando tú todo el rato. Los bugs se corrigen en pocas horas según su naturaleza.

Y de nuevo sigues poniendo información errónea.
Pista: ADSLZone funciona con retraso.

D

#105
JAJAJAJANMasdjklhdfgshjkdghfklawhf!!!! lol

#105
Pero le meneo es de redeszone.

#107
Te deseo una feliz partida.

MycroftHolmes

#6 A ver, yo esa parte la entiendo, pero tanto Microsoft como Apple publican actualizaciones de seguidad para usuarios UNA vez al mes
Me parece una ventana la mar de digna para vulnerabilidades a nivel de usuario

Apple, cuando en sus iOS descubrieron la vulnerabilidad del texto en árabe (que hacía reiniciar el móvil), tardaron UNA TARDE en publicar la actualización mundial a todos sus telefonos. UNA TARDE

#11 No tienen por que se iguales, pero GENERALMENTE si lo son. Si es facil de descubrir, suele ser facil de arreglar

D

otro palo más para linux

D

Mientras los Geeks que no tienen vida privada correrán a proteger la privacidad de sus sistemas los millones de usuarios comunes y corrientes de Android (que si tienen mucho que cuidar) quedarán expuestos por muchos años... las ironías de la vida

D

Vulnerabilidad si, pero vulnerabilidad LIBRE.

jazcaba

me la pela, yo uso windows (por lo que las de windows no me la pela)

e

#41 Te equivocas, en cualquier bug crítico tal agilidad en el parche es la norma. Ahora criticas que lo resuelvan tan rápido, a ver si te decides.

e

#117 En #41 tú mismo dices "Lanzar una actualización en tan pocas horas, o la corrección es muy tonta o me parece imprudente porque entre que te pones a ello, lo corriges, haces pruebas, distribuyes la actualización y tal allá se te van esas horas."
Das por hecho que se ha corregido en pocas horas.

Por otra parte da igual en horas que el periodo que luego explicas, se ha actualizado rápido y eso es lo importante y lo que se ha argumentado.

e

#119 La verdad es que no entiendo que estas discutiendo pero bueno.

e

#121 Vamos, que estas troleando.

e

#123 Porque sólo comentas para darte autobombo, no estás debatiendo nada.

D

será en el escritorio, como este año es su año....
(calzador!)

D

#28 a mi la única pista que me da es que para sacarle partido a un hardware tan específico es normal que sea mejor un sistema operativo de código abierto, para cualquier modificación de procesos, optimizacion,... que se requiera. Lo cual no quiere decir que para el usuario de a pie y su flamante CPU x86/x64 sea mejor o peor.

c

#62. Tu televisión no usa windows pero cuando ves la tele tú sí lo estás haciendo ya que lo que ves en tu televisor en su mayoría es la salida de la ejecución de aplicaciones sobre windows,



¿Qué canal miras?

P

#72 parte de OS X es BSD (http://en.wikipedia.org/wiki/OS_X#History).

Si abres tu terminal, eso que no sabrás ni lo que es y pones "man ls" qué sale arriba de todo después de LS(1)? Pues eso. No hables de lo que no sabes.

http://gyazo.com/c7c3cce6a9faec3f2814ed61e62b1ebb

c

#77. BSD es software Libre, pero OS/X de ninguna de las maneras y ninguna de sus partes. La licencia BSD permite que eso sea así.

c

#79, Simplemente que OS/X no tiene nada de Software Libre. Aunque incorpore código de BSD. Puedes decir sin equivocare "Partes de OS/X están basadas en software libre", pero nunca "Parte de OS/X es software libre".

D

para mi el tema de que en el software libre hay mas seguridad porque cuando se sabe de una vulnerabilidad se soluciona mas rapido y que cualquiera puede hacerlo o descubrirlas leyendo el codigo...

Siempre he pensado que si tienes el codigo fuente del programa y controlas te sera mas facil encontrar vulnerabilidades, y si lo haces sin afan de ayudar a la comunidad en el fondo es peor.

a

#21 si te refieres a heartbleed, el error estaba en OpenSSL y no en el kernel. Respecto a otros bugs... No he visto las estadísticas pero no creo que sea un año especial.

a

#24 siempre lo ha sido. Linux es el kernel (núcleo) en sí (supongo que tu comentario es irónico)

M

#25 Y tú (y todos) windows cada vez que enciendes la tele, vas a un cajero, firmas en un banco, recibes una carta certificada...

Somos multisistema

piki.g.saraza

Dios, daría el brazo derecho para ver la reacción de Linus Torvalds, sus gritos e insultos.
Es como ver llover por la ventana, que uno se alegra el doble de estar bajo un techo.

D

#49 Yo es que uso un flamante MacBook Pro Retina con su magnífico OS X. Ni virus ni mierdas. Fluidez y elegancia.

E

#52 ¿De las emisoras? Hombre, habrá una barrera entre utilizar un sistema o que lo utilice tu proveedor, lo del cajero vale, lo de los servidores un poco pillado, pero vamos, que el software multimedia de una emisora de TV ni siquiera sabe que estás tu ahí (Por ahora).

j

5 años con el fallito... son muchos años

M

#61 Muy bien. Tu televisión no usa windows pero cuando ves la tele tú sí lo estás haciendo ya que lo que ves en tu televisor en su mayoría es la salida de la ejecución de aplicaciones sobre windows, véase el enlace que puse.

P

#78 So what? En serio, qué me quieres decir con eso?

Cambia eso el hecho de que parte de OSX sea (o esté basada, forkeada o lo que sea) BSD, es decir software libre? Ahora si quieres sigue soltando tus "en realidad...", eso no va a cambiar los hechos.

M

#73 Como tantas cosas que usan windows. Si vamos a eso, incluso Stallman usa windows.

#71 O te confundiste citándome o no sé qué coño me respondes.

#64 Pues... cualquiera.

M

#89 No lo digo yo, ahí tienes los enlaces pero si te resbala, entonces no hace falta que me contestes.

1 2