AICon 上海站|90%日程已就绪,解锁Al未来! 了解详情
写点什么

CoreOS Linux Alpha 的重大漏洞已修复

  • 2016-05-29
  • 本文字数:1178 字

    阅读完需:约 4 分钟

CoreOS Linux Alpha 中的一个重大漏洞已修复,安全团队称此问题只影响该 Linux 发行版的 104x.0.0 版。

在博客文章《 CoreOS Linux Alpha 中远程 SSH 存在重大安全问题,部分用户受影响》中,CoreOS 安全团队在描述这个问题时说:

CoreOS Linux Alpha 1045.0.0 和 1047.0.0 中 PAM 子系统的一项错误配置将使得未经授权用户能够在无需密码,或不具备任何其他必要身份验证令牌的情况下访问帐户。该漏洞影响了部分运行 CoreOS Linux Alpha 的计算机。

根据该团队介绍,这个问题最初上报于 5 月 15 日 20:21,仅六小时后就发布了可用的修复程序。运行 CoreOS Linux Beta 或稳定版系统的计算机不受影响。

在 CoreOS 于 5 月 19 日发布的事件简报中,资深安全工程师Matthew Garrett 称接获通知说有人已经“发现有系统被攻陷”。据报攻击者以Operator 用户的身份登录,并“使用被攻陷的系统发送垃圾邮件”。

“最开始我们很纳闷,因为Operator 用户是被禁用的,但我们在内部也可以复现这个问题,”Garett 说:最后发现有人可以通过任何密码登录Operator 和其他核心帐户,“哪怕帐户并未设置任何密码。”

Garrett 努力将问题原因缩小至 coreos-overlay 中提交的一项内容,其中为了实现用户身份验证,需要将 Red Hat 的 System Security Services 工具与 CoreOS 进行集成。最终发现这个问题是由于基于 Gentoo 的系统和基于 Red Hat 的系统之间的一个差异导致的,前者默认会使用一个可选的pam_permit作为 PAM 配置的结尾,而后者默认会使用一个必备的pam_deny。在这种情况下,配置将最终落实为pam_permit,进而导致用户可以登录。

在解释为什么会出现这种问题时,Garrett 称尽管 Operator 用户被禁用,但该用户“依然存在于很多 UNIX 类系统中,并会出现在很多自动化 SSH 攻击脚本中,因此只要存在 Operator 用户,就可能在不具备有效密码的情况下访问,这也使得此类系统面对这样的自动化攻击更显脆弱。”

在 Hacker News 对于这个简报的讨论中, Kamil Choudhury 评论问到:“认为这种问题是小题大做,我的想法错了吗?”

Garrett回复解释说,“没有极为可信的理由”能让我们相信 Alhpa 测试版软件比其他版本更糟糕。

我认为,分布式计算的优势之一就是可以在部分部署中运行 Alpha 测试版软件,而无须担心 Bug 会拖累整个部署。这样用户就可以更容易地确信新发布的稳定版软件不会造成更大麻烦,同时这也意味着用户可以更快速用上稳定版,并避免继续运行老版本软件可能造成的安全隐患。

为此用户需要确信 Alpha 测试版并不是“包含大量安全问题”的版本,Garrett 说:“尽管我们没做到,但这一点很重要。”

查看英文原文 Major CoreOS Linux Alpha Vulnerability Patched


感谢张龙对本文的审校。

给InfoQ 中文站投稿或者参与内容翻译工作,请邮件至 editors@cn.infoq.com 。也欢迎大家通过新浪微博( @InfoQ @丁晓昀),微信(微信号: InfoQChina )关注我们。

2016-05-29 19:001461
用户头像

发布了 283 篇内容, 共 113.1 次阅读, 收获喜欢 62 次。

关注

评论

发布
暂无评论
发现更多内容

AE如何导入LUTS呢 ?After Effects导入lut使用详细教程

Rose

一种高效解决12306第三方抢票不公平乱收费体验差的新技术

巨公摇号创始人钱庆照

12306 第三方付费抢票 随机信标 巨公摇号 抢火车票

服务器操作卡,出现蓝屏、死机,该怎么解决

德迅云安全杨德俊

ai全称是什么?好用的AI软件有哪些?这14款一定要知道。

彭宏豪95

AI 在线白板 AIGC AI绘画 效率软件

前端开发CSS实用的技巧有哪些

小魏写代码

photoshop2024硬件要求

Rose

VMware Fusion Pro 13(VM虚拟机)中文破解版安装教程

Rose

XMind for mac XMind思维导图 v24.01中文版

Rose

为什么VPS比传统虚拟空间更受欢迎?深度解析!

一只扑棱蛾子

VPS

Blocs for mac:可视化Web设计,全新的方法来构建现代化、高质量的静态网站

Rose

将Excel转换为HTML:Easy Data Transform for mac

Rose

Final Cut Pro 中文基础教程:多机位剪辑

Rose

macOS Big Sur 11安装包(macOS11系统下载) v11.7.10正式版

Rose

从技术到管理:如何避免失去专业指导能力的陷阱?

码哥字节

程序员 架构师 职业发展

火山引擎ByteHouse:如何为OLAP设计高性能向量检索能力?

字节跳动数据平台

数据库 大数据

Axure RP 10中文汉化版 交互式原型设计

Rose

好“云”来!盘点春节与云计算息息相关的那些事儿

Finovy Cloud

云计算 云时代

microsoft 365永久激活密钥

Rose

开发者集结令丨Farris-Vue前端组件创新挑战赛开赛啦!

inBuilder低代码平台

前端 低代码 开发

「云原生可观测团队」获选「InfoQ 年度技术内容贡献奖」

阿里巴巴云原生

阿里云 云原生

告别 GPU 焦虑,玩转极致性价比的 CPU 文生图

阿里巴巴云原生

阿里云 Kubernetes 云原生

CoreOS Linux Alpha的重大漏洞已修复_Linux_James Chesters_InfoQ精选文章