Не тільки Windows: ПЗ CrowdStrike створює проблеми для Linux

[inquisition]

S

И на опенсорсе не бывает так что бы сапорт производителя за сутки срочно что то допилил по запросу.

Бывает, но таких продуктов мало.

мелочевка всякая даже сапорт нормально часто обеспечить не может своим продуктам

Истина.

Открою великую тайну - этого толком никто бесплатно не делает.

Истина.

[SergiusTheBest]

В Linux їх менше, бо код відкритий, і будь-хто може його подивитися, проаналізувати, знайти і виправити проблему.

Открою великую тайну - этого толком никто бесплатно не делает.

У гугл є спеціальна команда, яка цим займаються. Також різні університети над цим працюють, пишуть всякі аналізатори для пошуку вразливостей в ядрі Linux та в іншому опенсорсі - це для них наукова робота.

Відправлено через 17 хвилин 48 секунд:

Тут не погоджусь, нема достовірного порівняння.

Нещодавно бачив інфографіку по наявним CVE по системах і там, так всім ненависна вінда, шось не дуже відрізнялась від лінухи.

Є ж база даних вразливостей. Для прикладу, дивимося вразливості рівня "виконання коду" за 2023 рік:

• Microsoft Windows Server 2019 - 179 (https://www.cvedetails.com/product/5066 ... -2019.html)
• Microsoft Windows Server 2022 - 184 (https://www.cvedetails.com/product/1006 ... -2022.html)
• Redhat Enterprise Linux - 12 (https://www.cvedetails.com/product/78/R ... Linux.html)
• Canonical Ubuntu Linux - 0 (https://www.cvedetails.com/product/2055 ... Linux.html)
• Debian Linux - 20 (https://www.cvedetails.com/product/36/D ... Linux.html)
• Linux Kernel - 13 (https://www.cvedetails.com/product/47/L ... ernel.html)

Більше, якщо би Ви взяли книжечку Марка Русcіновича (Windows Internals), то би ще і дізналися шо там не так і багато різниці між системами. Два тома, дуже рекомендую.

В мене є така, 7-ме видання. Книжка must have.

[Scoffer]

SergiusTheBest
Вразливості рівня виконання коду 0 звучить дуже вмішно враховуючи що на лінуксі стандартною практикою є купити або просунути свого мейнтейнера в якийсь популярний пакет, і розповсюдити пакет з дірою прямо з оф репи Один бекдор в XZ чого вартує. І скільки там ще таких непомічених включених спеціально навченими китайцями залишилось не знають мабуть і самі китайці. А так дійсно, немає сенсу ламати паркан, якщо ворота відкриті.

[SergiusTheBest]

Вразливості рівня виконання коду 0 звучить дуже вмішно враховуючи що на лінуксі стандартною практикою є купити або просунути свого мейнтейнера в якийсь популярний пакет, і розповсюдити пакет з дірою прямо з оф репи Один бекдор в XZ чого вартує. І скільки там ще таких непомічених включених спеціально навченими китайцями залишилось не знають мабуть і самі китайці. А так дійсно, немає сенсу ламати паркан, якщо ворота відкриті.

Всі стабільні дистрибутиви бекдор XZ не зачепив. А тепер уявіть скільки таких бекдорів в закритому коді.

[Scoffer]

SergiusTheBest
Бекдор стабільні дистри не зачепив виключно через випадковий збіг обставин, а не тому що вони якось краще перевіряються. Мейнтейнер дуже спішив і наробив тупих помилок, котрі призвели до нестабільної роботи пакету по основному його функціоналу, а рандомний программер з МС, котрому дуже нудно жилось вирішив в вільний час покопатись в пакеті і знайти проблему. Якби мейнтейнер не накосячив або програмер пішов бухать в п'ятницю, то ця не просто діра, а ціла дірища галактичного масштабу автоматом розповсюдилась би по більшості дистрибутивів.

[S]

У гугл є спеціальна команда, яка цим займаються. Також різні університети над цим працюють, пишуть всякі аналізатори для пошуку вразливостей в ядрі Linux та в іншому опенсорсі - це для них наукова робота.

Ага, заграница нам поможет. (с)

[den888]

Victor Butko
Це ти вдома у себе можеш хош голою дупою в вікно світити, а в корпоративі є загальноприйняті стандарти, котрим необхідно слідувати незалежно від того подобається це тобі чи ні. І стандарти ці не на пустому місці виникли.

Чому тоді ті корпорації які замість використання якогось "корпоративного рішення" гроші вкладають в спеціалістів, які самі створюють умови безпеки, не страждають від помилок цих рішень? Може тому що вони розрарували, що це надійніше і іноді дешевше?

Ага, особливо в корпорації «Київстар». Ото владачі «в спеціалістів» від бога

[NiTr0]

Я прекрасно бачив вже дуже багато дірок, які були в ядрі лінухи чи бсд по 4-5-10-15 років.

напомнить smbv1 баги (причем не просто баги, а remote code execution баги), которые тянулись начиная с winnt4 (а скорее - даже с nt3.5 но никто эту некрофилию не проверял) и аж до win10? после самых ярких из которых майкрософт сначала перестали писать в списках ОС, подверженным уязвимостям, EOL системы, а потом - и вообще отключили smbv1 в одном из апдейтов с концами, "порадовав" этим админов сетей со старыми компами под ХР/2003? да-да, я про те дыры, через которые, в частности, и "петя" ходил, и его предшественники... дырам 20+ лет.

Отправлено спустя 3 минуты 36 секунд:

SergiusTheBest
Бекдор стабільні дистри не зачепив виключно через випадковий збіг обставин, а не тому що вони якось краще перевіряються. Мейнтейнер дуже спішив і наробив тупих помилок, котрі призвели до нестабільної роботи пакету по основному його функціоналу, а рандомний программер з МС, котрому дуже нудно жилось вирішив в вільний час покопатись в пакеті і знайти проблему. Якби мейнтейнер не накосячив або програмер пішов бухать в п'ятницю, то ця не просто діра, а ціла дірища галактичного масштабу автоматом розповсюдилась би по більшості дистрибутивів.

нет. на стабильных дистрах версии пакетов в принципе зафризены. и из новых версий только бэкпортятся багфиксы. потому никого бы не зацепило, кроме пользователей бета-версий дистров (всякие debian-testing и возможно fedora).

не говоря уже о том, что удаленно заюзать бекдор в архиваторе - нужно сильно постараться))) в отличие от багов в logon shell например, или в smb...

Отправлено спустя 9 минут 49 секунд:

Это все сказочки для мечтателей, опенсорсные решения требуют в разы большего внимания со стороны IT team чем зрелые коммерческие продукты. И на опенсорсе не бывает так что бы сапорт производителя за сутки срочно что то допилил по запросу.

расскажите это клиентам оракла например - что зря они ораклу большие бабки платят за опенсорс решения, надо было все на виндах строить)))

Аналогічно Crowdstrike збанкротував - і де ви, які вбухали в його продукти сотні тисяч $?

У крупных компаний так не бывает практически никогда.

угу. ага. а те, кто от бага crowdstrike прилег на несколько суток - это мелкие компании, недостойные называться энтерпрайзом, да

и да, для crowdstrike 99% что эта история закончится банкротством - никто больше не захочет повторить этот экспириенс. пушо убытки, уверен, оказались больше стоимости годовой подписки. возможно - на порядки. а все бабки, потраченные на интеграцию crowdstrike в инфраструктуру - оказались выброшенными вникуда.

В Linux їх менше, бо код відкритий, і будь-хто може його подивитися, проаналізувати, знайти і виправити проблему.

Открою великую тайну - этого толком никто бесплатно не делает.

не бесплатно, да. но если проблема есть - всегда можно найти того, кто ее пофиксит. в отличие от closed-source, где в принципе ничего пофиксить невозможно, только ждать пока вендор разродится фиксом. а на это может уйти и полгода, и больше...

[Scoffer]

не говоря уже о том, что удаленно заюзать бекдор в архиваторе - нужно сильно постараться)

Функції з цієї ліби юзав OpenSSH з усіма відповідними наслідками. Атака була направлена саме на SSH, а не на розпакування якихось лівих архівів. Більш того, атака через архіви в принці не була передбачена.

и из новых версий только бэкпортятся багфиксы

Бекдор і позиціонувався баг-фіксом, а не новим функціоналом. Спочатку нестабільні, потім успішно бекпортувалось би в стабільні. Я все таки рекомендую ознайомитись з тою епопеєю, якби засланець не наробив косяків і не сповільнив роботу пакету, діра залишилась непоміченою, і під вразливість потрапило б все що з OpenSSH. Заділо б навіть *BSD. Віндові вася з петєю просто відпочивають в порівнянні з прямою авторизацією в більшості ніксів світу.

[S]

угу. ага. а те, кто от бага crowdstrike прилег на несколько суток - это мелкие компании, недостойные называться энтерпрайзом, да

Крупные компаниии производители софта, и хоть Crowdstrike вроде как по капиталу не сильно мелкие но на рынке всего с 2011 года.

[IvanCh]

Scoffer
просто на серверах він ніби і не дуже потрібний.

ось, на користувацьких тачках да, перевіряти обнови, перевіряти білі\чорні списки софта. блокати доступ якщо щось не те стоїть.

я якось воював з техпідтримкою бо підключив ems від убунти(вона дає ліцуху на 5 компів на шару) і CrowdStrike сварився що версія не та.

хоча по лозіці це саме преміум секюріті апдейти за які багато хто кашляє бабоси.

[Scoffer]

IvanCh
У ІТ-безпеки зазвичай дуже своєрідні поняття що як має бути влаштоване, і частенько вони більше шкодять ніж допомагають.
Але по-перше мені давно набридло з ними воювати, а по-друге якщо щось піде не так, то вони будуть винні, а не я, що не може не радувати. Зрештою, це їхня робота і вони за це гроші отримують.

[IvanCh]

SergiusTheBest
Ні, це дуже вузьке поняття. Це корпоративне прикладне програмне забезпечення.
Ти б текст новини хоч прочитав. Не постраждала контора, котра сидить на він 3.1. А тому що корпорації в принципі не переписують софт якщо він працює і якщо софтописання не є основним напрямом роботи контори. Делфі-клієнт з 2000х це за корпоративними мірками просто свіжак і ще років 30 має попрацювати. Для цього вінда забезпечує наскрізну сумісність біс знає з яких років. Для цього Java EE забезпечувала таку ж сумісність, поки існувала в вигляді Java EE, для цього Domino робило те і щось старе дуже навіть можна. було б бажання.ж саме поки в IBM на нього не забили, а залишки не продали, котрі тепер не сумісні зі старим, і, відповідно, нафіг нікому не всрались.
Так само нікому в цьому сегменті не всрались твої веб мордочки з лінуксними бекендами бо їх неможливо підтримувати десятиліттями.

ти тут знатно маніпулюєш.

контора яка сидить на він 3.1. вона не сидить на тухляку. я ось бачив недавно сервера що крутилися на 2.4 і на 2.6 ядрі і все там норм.
протухло але якось пихтить. це звісно не 3.1 тут більше петання виживання заліза, воно не вічне.
якщо ж мова за емулятори і віртуалки то тут би все теж полетіло бо на хост системі CrowdStrike мав би стояти.

Якщо ми про підтримку то вона офіційна у вінді та ubuntu з readhead так ж сама, а якщо їм написати і проплатити то вони (як і майкрософт)
будуть тянути поки гроші течуть. Тут дуже дивно апелювати до системи без жодної підтримки.


на ентерплайзах є все. особливо на серверах. інакше би майки не пилили в вінді підтримку роботи з лінукс хостос,
і не пи пилити ядро лінуксу, в тому числі щоб воно працювало в hyper v.
а мs найбільш лютий ентерпрайз з усіх можлививх.

[Scoffer]

IvanCh
Так собі маніпуляція.
Подивись на сумісність ПЗ. Якщо воно не юзає недокументовані функції, то ще досові 16-бітні програми працюють по він сервер 2008 включно, або по десятку до якогось там глобального оновлення на клієнтах. А 32-бітні і досі. Хто ще щось подібне може запропонувати? Лише IBM i і IBM z з умовно живих сьогодні, але за дуже-дуже дорожче.
У мене був кейс з ораклом, сьомим ще здається. Ну якимось древнім коротше. Так от, в конторі заведено правило, що якщо ОС не оновлюється, то вона має бути відлученою від домену і винесеною в дмз з усіма відповідними наслідками в вигляді черезсрачного керування юзверями і неменш черезсрачної інтеграції з іншою обв'язкою. Ораклятина ця стояла на якійсь там сусі, забув вже якій, котра ясен пень що вийшла з підтримки по терміну давності і ні про які оновлення мова вже не йде. Клієнтське ПЗ принципово не працює зі свіжішими ораклами через релігійні переконання. Нове клієнтське ПЗ куплятись не буде через інші релігійні переконання. Рішення? Правильно, переводимо на вінду. Це хоч і не підтримувана конфігурація в вигляді допотопного оракла на свіжій вінді, але вона і так і так не підтримувана, тобто нічо не втрачаємо, але отримуємо свіжу ОС. Чудово працює.

[zaqik]

Southwest Airline використовувала застарілий Windows 3.1

У меня чёт флешбеки по нашим ж/д кассам.
А вообще, зная разрабов, я удивлюсь если этот краудстрайк даёт поставить на какой-нибудь устаревший билд десятки типа 1709, не говоря про семёрку. И все пишущие за "копропротивные стандарты безопасности" почему-то не делают ударения на том, что по этим же стандартам всё должно быть обновлено. Может, не в первый же день как апдейты вышли - тут не знаю, но обновы на автомате в таких условиях - нормальная практика.

Так, це був саме той випадок, коли новіше, ще не значить краще.

Это вы рофлите так?..

[SergiusTheBest]

під вразливість потрапило б все що з OpenSSH. Заділо б навіть *BSD

Далеко не всі OpenSSH: "openssh does not directly use liblzma. However debian and several other distributions patch openssh to support systemd notification, and libsystemd does depend on lzma. Arch does not directly link openssh to liblzma, and thus this attack vector is not possible." На скільки я знаю, то тільки Debian та RedHat. Проте, це не виправдовує наявний supply chain attack, і все могло б бути значно гірше.

[NiTr0]

Функції з цієї ліби юзав OpenSSH з усіма відповідними наслідками.

Vanilla upstream OpenSSH isn't affected unless one of its dependencies links liblzma.

Бекдор і позиціонувався баг-фіксом, а не новим функціоналом.

и? что такое freezed version - в курсе?

если там например liblzma 5.4.0 - она и будет 5.4.0 до окончания поддержки дистра (5-10 лет, да).

и ВСЕ новые версии либы - аккуратно разбираются на коммиты, проверяется что коммит делает, и патч бекпортируется на 5.4.0. ручками, да. с code review. если обнаруживается что патч делает что-то не то - поднимается кипиш.

Спочатку нестабільні, потім успішно бекпортувалось би в стабільні.

повторюсь, вы не представляете как мэйнтейнятся дистрибутивы. это ж не майкрософтовское "х*як-х*як - и в продакшн", когда новые service packs приносят внезапные изменения в system API (!!!!).

Віндові вася з петєю просто відпочивають в порівнянні з прямою авторизацією в більшості ніксів світу.

дадада, дыра позволяющая remote code execution простой отправкой пакета в сокет на ВСЕХ WinNT начиная с NT4 (или NT3.5?), т.е. существовавшая добрых 2 десятка лет (!!!!!), в протоколе в котором выявлялись десятки (!!!!) подобных дыр (да-да, почти все виндовые червячки юзали дыры SMBv1, хотя некоторые еще и RPC) - сравнивается с бэкдором в либе, который в процессе бэкпортирования на старые версии все равно бы выявили...

Отправлено спустя 11 минут 27 секунд:

Подивись на сумісність ПЗ. Якщо воно не юзає недокументовані функції, то ще досові 16-бітні програми працюють по він сервер 2008 включно, або по десятку до якогось там глобального оновлення на клієнтах. А 32-бітні і досі.

угу, ага. берем RAS API. на ХР - один синтаксис вызова функции поиска соединений, на висте/7-ке - совершенно другой, иначе надо заполнять переменные. иначе - не работает, вообще. и нигде (!!!!) в мануале об этом не сказано. и приходится городить такие вот костыли:

Код: Виділити все

    LPRASENTRYNAME lpRasEntryName = NULL;
    // Call RasEnumEntries with lpRasEntryName = NULL. dwCb is returned with the required buffer size and
    // a return code of ERROR_BUFFER_TOO_SMALL
    dwRet = RasEnumEntries(NULL, NULL, lpRasEntryName, &dwCb, &dwEntries);

    if (dwRet == ERROR_INVALID_SIZE){
        lpRasEntryName = (LPRASENTRYNAME) HeapAlloc(GetProcessHeap(), HEAP_ZERO_MEMORY, sizeof(LPRASENTRYNAME));
        lpRasEntryName[0].dwSize = sizeof(RASENTRYNAME);
        dwRet = RasEnumEntries(NULL, NULL, lpRasEntryName, &dwCb, &dwEntries);
        HeapFree(GetProcessHeap(), 0, lpRasEntryName);
    }

"обратная совместимость", да)))

[Scoffer]

с code review

В даному випадку мейнтейнерів пакету було аж два. Один засланець, а інший " бись воно все конем, у мене депресія". Хто мав зробити код ревью?

[NiTr0]

В даному випадку мейнтейнерів пакету було аж два.

и опять вы путаете авторов приложения/библиотеки и мэйнтейнеров пакета дистрибутива... открою секрет - автор приложения практически никогда не причастен к сборке (а тем более - бэкпортированию патчей) пакета конкретного дистрибутива.

[Scoffer]

NiTr0
Ага, зараз. В більшості випадків це одні і ті самі люди, благо тих корневих дистрибутивів аж два з половиною.
Наче мейнтейнерами дистрибутивів більше робити немає що як розбиратись в мегатонах чужого коду. Туди лізуть при явних проблемах, не раніше. В інших випадків просять авторів пакетів слідувати протоколу.