☰

Патч Glibc для уязвимости getaddrinfo()

tag-icon • tag-icon security glibc
Патч Glibc для уязвимости getaddrinfo()

Я много видел информации о недавно обнаруженной уязвимости в библиотеке glibc, которую могут использовать (хотя и с трудом) злоумышленники.

Вот (огонь и сера) статья на эту тему: http://arstechnica.com/security/2016/02/extremely-severe-bug-leaves-dizzying-number-of-apps-and-devices-vulnerable/

Я понимаю природу уязвимости, но должен признать, что немного теряюсь, читая решение патча. Кажется, что на машине нужно выполнить несколько шагов, но там говорится, что к письму прикреплен «патч».

Где именно находится патч?

https://sourceware.org/ml/libc-alpha/2016-02/msg00416.html

Прошу прощения, но я не системный инженер Linux (aptitude и yum — мои друзья).

К сожалению, я управляю несколькими сайтами для клиентов, в основном на базе Amazon Linux, которые, как я читал, также могут быть уязвимы — предположим, что так и есть.

Я просто хочу убедиться, что защищаю ящики. Вероятно, я смогу применить патч, но, кажется, меня сбивает с толку почтовый архив glibc.

Может ли кто-нибудь пролить свет на это, т. е. изложить это на языке, понятном нам, простым веб-разработчикам?

Я знаю, что это что-то новое/развивающееся, но я уверен, что в ближайшие дни появятся более качественные документы.

Заранее спасибо.

решение1

Если вы используете любой достаточно хорошо поддерживаемый дистрибутив, вам не нужен сам оригинальный патч. Большинство дистрибутивов уже обновили libc и добавили его в свои репозитории, и все, что вам нужно сделать, это использовать менеджер пакетов для обновления libc. (Если они этого еще не сделали, серьезно подумайте о смене дистрибутивов.) И это действительно касается Amazon Linux. Отих бюллетени безопасности:

[К]лиенты, использующие Amazon EC2, которые изменили свои конфигурации для использования инфраструктуры DNS, отличной от AWS, должны немедленно обновить свои среды Linux, следуя указаниям, предоставленным их дистрибутивом Linux. Клиенты EC2, использующие инфраструктуру DNS AWS, не затронуты и не должны предпринимать никаких действий.

Для клиентов Amazon EC2, использующих Amazon Linux и изменивших свою конфигурацию для использования инфраструктуры DNS, отличной от AWS:

Исправление для CVE-2015-7547 было отправлено в репозитории Amazon Linux AMI с уровнем серьезности Critical. Экземпляры, запущенные с конфигурацией Amazon Linux по умолчанию 2016/02/16 или позже, будут автоматически включать требуемое исправление для этого CVE.

Если хотите взглянуть на патч, то это часть, с которой начинается diff --git a/resolv/nss_dns/dns-host.c b/resolv/nss_dns/dns-host.cэлектронное письмо:

CVE-2015-7547

2016-02-15  Carlos O'Donell  

    [BZ #18665]
    * resolv/nss_dns/dns-host.c (gaih_getanswer_slice): Always set
    *herrno_p.
    (gaih_getanswer): Document functional behviour. Return tryagain
    if any result is tryagain.
    * resolv/res_query.c (__libc_res_nsearch): Set buffer size to zero
    when freed.
    * resolv/res_send.c: Add copyright text.
    (__libc_res_nsend): Document that MAXPACKET is expected.
    (send_vc): Document. Remove buffer reuse.
    (send_dg): Document. Remove buffer reuse. Set *thisanssizp to set the
    size of the buffer. Add Dprint for truncated UDP buffer.

diff --git a/resolv/nss_dns/dns-host.c b/resolv/nss_dns/dns-host.c
index a255d5e..47cfe27 100644
--- a/resolv/nss_dns/dns-host.c
+++ b/resolv/nss_dns/dns-host.c
@@ -1031,7 +1031,10 @@ gaih_getanswer_slice (const querybuf *answer, int anslen, const char *qname,
   int h_namelen = 0;

   if (ancount == 0)
-    return NSS_STATUS_NOTFOUND;
+    {
+      *h_errnop = HOST_NOT_FOUND;
+      return NSS_STATUS_NOTFOUND;
+    }

...

Связанный контент