В USB-подсистеме ядра Linux обнаружены множественные уязвимости
Новости
USB-драйверы ядра Linux изобилуют недостатками безопасности, которые могут быть использованы для запуска ненадёжного кода и захвата компьютеров пользователей.
2К открытий2К показов
Подавляющее большинство уязвимостей USB-драйверов ядра Linux было обнаружено экспертом по безопасности Google Андреем Коноваловым, о чём он уже уведомил сообщество Linux.
Список уязвимостей огромен
Найденные 14 уязвимостей на самом деле являются частью большого списка из 79 багов, которые Коновалов нашёл в USB-драйверах Linux за последние месяцы. Не обо всех было сообщено, не говоря уже об их исправлении разработчиками Linux.
Большая часть из этих багов — обычные DoS-уязвимости (Denial of Service, отказ в обслуживании), способные блокировать или перезапускать ОС. Но некоторые из них позволяют злоумышленникам получать привилегии на запуск вредоносного кода. Все уязвимости были найдены при помощи syzkaller — утилиты Google, которая использует фаззинг для поиска багов в системах безопасности.
Проект POTUS
Заметим, что не только Коновалов отметил существование уязвимостей в ядре Linux. Ранее исследователи из университета Лондона представили утилиту POTUS, которая также смогла найти баги USB-драйверов ядра OC.
Первым из них стал CVE-2016-5400 — уязвимость утечки памяти в драйвере USB-устройства для связи с SDR-приёмником Airspy (Software-defined radio, программно-определяемая радиосистема). А второй — это Use-After-Free (обращение к освобожденной области памяти) уязвимость, которая существовала в Lego USB Tower ядра Linux ещё с 2003 года.
Драйверы Linux не проходят надлежащее тестирование
Статья учёных из Лондона только подчёркивает тот факт, что с повсеместным внедрением устройств с USB-интерфейсами встаёт необходимость поддержки ядром Linux широкого спектра драйверов, большинство из которых даже не были тщательно протестированы.
Такие инструменты, как POTUS и syzkaller, помогли найти и устранить некоторые из недостатков USB-драйверов. Даже создатель Linux, Линус Торвальдс, оценил усилия разработчиков фаззинг-инструментов, которые раскрыли различные проблемы безопасности ОС.
2К открытий2К показов
Антибот-системы — это технологии, которые помогают защитить веб-сайты от автоматического вмешательства, например, от спама или DDoS-атак. Но автоматическое взаимодействие с сайтом не всегда несет вред: например, иногда боты нужны для тестирования безопасности, построения поискового индекса или сбора данных из открытых источников. Для того, чтобы выполнять такие задачи, необходимы инструменты, которые позволяют избегать блокировки антибот-системами.
Временная почта (Temp Mail) может стать хорошим помощником в работе. Разбираемся, какие есть преимущества и недостатки и как ей пользоваться. А еще — рассмотрим топовые сервисы
Из найма в IT к управлению собственной компанией Алексей Лихацкий шел более 10 лет. Из года в год индустрия менялась. Появлялись не только новые требования к специалистам, но и профессии. Рассказали о внешних и внутренних переменах рынка и их влиянии на нужные для специалиста навыки.
Проверьте свою способность находить уязвимости в игре МТС RED