Ubuntu tiene grave problema de seguridad que permitiría el acceso completo al sistema

#1   Para más información: www.ubuntu.com/usn/USN-894-1 [EN]

#2   No creo que tarden mucho en solucionarlo, más o menos lo mismo que Microsoft tardaría en solucionar cualquier problema con su kernel. </mode ironic off>

#7   #4, no he seguido este problema en particular, pero "montar un sistema de ficheros modificado" es trivial. Solo tienes que modificar el sistema de ficheros de un pen USB y meterlo en un ordenador. Voilà (lo he comprobado). También ten en cuenta que muchos dispositivos portátiles tienen el sistema de ficheros principal en un archivo y lo montan con "-o loop". Modificar ese archivo también es trivial y se podría usar para destrozar un móvil.

#3, Linux tiene sus fallos como todos. No sé dónde escuchaste que Linux no tiene fallos. Lo chulo es que no son secretos y cualquiera que sepa puede arreglarlos. Y los que no sepan solo tienen que esperar una semana.

#6, habrán sigo bastante rápidos para arreglarlo después de descubierto, porque esto parece que afecta a Ubuntu 6.04... de hace 4 años

#8   #4 Para los que no estamos tan puestos:

Que es un sistema de archivos 'modificado'?

#9   #7 A eso me refiero... Obviamente si se arreglaran TODOS los errores (conocidos y desconocidos) linux NO tendria errores....

Lo cierto es que lo han sacado rapido en cuanto lo han visto que es mucho decir en el mundo de los SO's.... Hay algunos que de hecho solo sacan parches los segundos martes de mes....

#10   #7 Mira quien monta el sistema de ficheros. tendría que montarse con sudo (root) para que se pudiera utilizar el fallo.

#11   Vamos a ver, esto en LINUX dura lo que la comunidad quiere que dure, esto es, menos de un par de días. En Windows, estaríamos hablando de una 'característica de cogestión mal administrada'.

#12   #8 A ver, es una forma muy genérica de decir las cosas, dependiendo del caso puede ser una modificación de la tabla de particiones, meter permisos heredados, cambiar el identificador del sistema de ficheros sin formatear la partición, etc ...

#14   Si leeis la noticia informa del fallo de seguridad y de que actualizando al último kernel el fallo desaparece...

Así que #3 FAAAAAAAAAAAAAAAAAAAAAAAAAAAIL en toda la boca, más suerte la proxima vez.

#15   #7 respecto a lo de los 4 años, de eso nada, el kernel vulnerable de 6.06 es el 1.6.15-55.81 que se publicó el 29 Nov 2009.

launchpad.net/ubuntu/dapper/+source/linux-source-2.6.15/+changelog

#16   #10, ya te digo que no he explorado este fallo en particular, pero te prometo porque lo he probado que en otras ocasiones el kernel entero se colgaba simplemente montando un USB modificado como usuario: bugs.debian.org/cgi-bin/bugreport.cgi?bug=427402

#13, Debian actualizó el fuse la semana pasada así que supongo que afecta a todos. Pero la noticia es de la política de actualizaciones de Ubuntu así que hablamos de Ubuntu (a pesar de que no lo use, yo soy Debian ) No, tampoco sé cómo arreglar un fallo antes de descubrirlo. Lo malo es que si se tardan 4 años en descubrirse es que los controles de calidad no sean demasiado buenos. Aún así #15 ya nos avisa de que en realidad no han sido 4 años con este bug, pero me consta que otras veces sí que ha pasado todo ese tiempo y más.

#17   #7 Si te parece arreglarán los fallos antes de descubrirlos. Es algo que todo hacker linuxero sabe hacer.

#18   Este fin de semana ha habido actualizaciones, al menos en los 9.04 y 9.10 que tengo yo. Del kernel precisamente,

#19   #18 Si, yo uso Kubuntu y se han actualizado.

#20   #17 Creo que se refiere a que lleva varios años siendo un coladero. No que lo arreglen antes...

#21   Mi pregunta es, ¿Cuanto tiempo lleva ese bug?. Porque si, se ha solucionado rapido, pero una vez que ha sido publico.

Me temo que el mundo de los bugs solo conocidos por unos pocos es inmensamente superior al otro.

Y por otro lado, se solucione rapido o no, esto confirma que un SO como linux si puede ser inseguro de igual manera que Windows por muchos permisos y privilegios que exija.

Me temo que aunque windows si sea mas inseguro que linux, solo es cuestion de tiempo y cuota de mercado que tambien los linuxeros sufran lo suyo con la seguridad.

#23   #21 Los bugs se solucionan normalmente cuando se conocen.

Eso es cierto cuanta más gente use Linux más fallos se descubrirán pero también es cierto que la base de linux es más sólida que la de Windows en ese tema aunque también cabe decir que el aumento de la seguridad del 98 al XP fue sustancial y que el Vista/7 también aporto mucho.

#22 que vergüenza para los fanboys linuxeros ¿no? ¡La perfección se rompeeeeeeee!

De verdad quien piense que Linux es perfecto o 100% seguro es que es idiota del todo, lo malo es que a todos los que usamos Ubuntu o cualquier otra distro nos acusan de fanboys de la misma manera que si digo que uso Windows la gente da por sentado que no sabes nada de informática son tópicos y cada SO tiene sus ventajas e inconvenientes.

#24   #22 vergüenza no, orgullo, es lo que tiene el software libre, es más seguro y ya tenemos otro fallo menos.

#25   #22 Para cuando he leído la noticia ya tenía mis dos sistemas Ubuntu actualizados automáticamente.
Sin embargo hace unas semanas en el curro nos recomendaron tener cuidado al abrir adjuntos o usar otro navegador que no fuese Iexplore porque había un bug no resuelto, que por cierto se ha tardado semanas en solucionar.

#26   A mi no me afecta, yo uso Windows (nótese la ironía)

#27   A ver, son políticas de actualización. Microsoft, lo hace el primer martes del mes. Otras empresas grandes, como Cisco han seguido una política similar. Con lo cual mala, mala tampoco es.

Personalmente, me quedo con la política de Canonical u otras distros de Linux, pero bueno, para gustos, colorines.

#28   No os metais con el chiquillo de #22, hombre, que el pobre no da mucho de sí pero se entretiene con cualquier cosa.

#29   #27 No son políticas de actualización. Es tener el código abierto para todo el mundo, de forma que cualquiera que conozca el fallo y sepa como, pueda arreglarlo.

Una vez arreglado se manda el parche y se publica tras una revisión.

Esto (obviamente) no puede hacerse en compañías que no liberan el código: se notifica el bug, se comprueba, se busca donde es, se arregla, y se empaqueta con más actualizaciones.

Yo tengo claro cual es mejor

#30   casimiro-vista.blogspot.com/2010/02/vulnerabilidad-afecta-todas-las.ht

#31   #27, Microsoft saca algunos parches sin esperar al segundo martes del mes, también puedes descargar el resto vía web e instalarlos en red usando, por ejemplo, un SBS. Pero ese no es el único inconveniente; muchas veces pasan semanas sin que MS saque el parche, cosa que obliga a realizar cambios manuales en todas las máquinas que en ocasiones deshabilitan funciones vitales. Si su software fuese libre no tendríamos que esperar ni hacer remiendos temporales, cualquiera podría hacer los parches, pero si eligen ser cerrados, como es el caso, debemos exigir una respuesta inmediata.

#32   #29 Son políticas, porque yo puedo tener mi repositorio y solo actualizar los binarios del mismo una vez al mes. A fin de cuentas, en Ubuntu, el kernel es un paquete más.

Por muy poco que tardasen en arreglarlo, es porque a Canonical le da la gana de publicarlo nada más aplicar el parche al control de versiones que usen.

#33   #31 que sea código privativo no implica que tengas derecho a exigir respuesta inmediata. Lo que sí te da derecho a exigirlo es el precio que pagas por el producto. Pero al igual que se aplica esto al privativo puede aplicarse también al opensource.

#34   #22 Lo que hace la ignorancia...

#35   #31 "cualquiera podría hacer los parches", "cualquiera puede mejorarlo", "cualquiera puede modificarlo", siempre el mismo rollo ¿quien ha hecho este parche?, los que llevan Ubuntu ¿no?. Ya salió aquí en meneame o en barrapunto, no recuerdo, un artículo explicando que por razones obvias de calidad y de llevar un cierto control los parches como otras cosas siempre pasan por manos del que se encarga de la distribución y en su inmensa mayoría, por no decir todos, son ellos quienes lo hacen, no "cualquiera". Esto es como lo de "mil ojos lo vigilan" y luego tenemos el problema de Debian con el SSL, años ahí metido.

Otro tema, ¿se ha resuelto 24h después de tener constancia del bug o se ha publicado el parche 24h después de que nosotros hayamos sido informados?, porque son muchas las veces que se hace público un bug casi al mismo tiempo que el parche pero conocer se conocía hace tiempo solo que durante ese tiempo se estuvo haciendo el parche. Esto canta mucho cuando solo pasan horas entre uno y otro. Ojo, a mi no me parece mal, es normal que se espere a tener un parche antes de hacer público un bug. Una vez más, salió aquí en meneame o en barrapunto un artículo que hablaba del tema.

De cualquier forma me alegro, un bug menos.

#36   #33 Puede que no derecho jurídico, pero sí moral, si solo ellos pueden arreglarlo deben hacerlo, el problema es que a veces no lo hacen.

#35 Verdaderamente en este caso poco tiempo se ha dado para que alguien más realice un parche, seguramente porque cuando una empresa seria dice que va a sacarlo el que ha encontrado el bug no se ve obligado a hacerlo público para evitar la dejadez del creador, ¿Pero me dirás que no has visto nunca, por ejemplo, la lista de BugTraq donde voluntarios sacan el código para parchear un programa incluso antes de que lo hagan los propios responsables de la distro? Porque vaya, ahí tienes todos los ejemplos que necesitas. www.securityfocus.com/archive/1

Edit: lo que sucede es que los creadores y mantenedores de software libre muchas veces son mucho más responsables que los de software privativo, posiblemente porque saben que tienen competencia en su mismo nivel, mientras que los otros saben que dependes de ellos.

#37   A mí me parece que esta noticia es amarillista, o el que la ha publicado no sabía muy bien de qué se trataba. Mirando el enlace de The Inquirer, que enlaza a la web de Ubuntu, se trata simplemente de una actualización de kernel y el reporte de bugs que han sido corregidos:

www.ubuntu.com/usn/USN-894-1

Algunos de esos bugs implicaban escalado de privilegios, DDoS, etc. vamos lo típico de cualquier actualización; el tono alarmista de TheInquirer ha hecho todo lo demás, si se hubieran limitado a poner que hay un kernel nuevo con bugs corregidos no se habría liado este follón. La noticia quizás esté en un agujero que llevaba 4 años abierto, pero eso también pasa en otros SOs. ¿Qué hay gente que conoce esos bugs desde hace años y los usa en su propio provecho? Pues sí ¿y qué le vamos a hacer?

#39   ya salió la actualización del kernel ayer en la actualizaciones automáticas

#7 no pueden arreglar un error antes de descubrirlo...

#40   Tan sencillo como actualizar el sistema con una actualización gratuita en un sistema operativo gratuito

#41   Jojojojo! La verdad es que uso ubuntu en todos mis ordenadores en alguna particion y se lo seguro que es.

Mi comentario en #22 era de cachondeo (un poco trollear, lo se) y de paso ver cuantos fanboys me linchaban a negativos

Pues nada chicos! Que pena que un sistema como Ubuntu acabe desprestigiandose por sus usuarios, que no saben ni cojer ni una critica ni una broma para molestar un poquito.

Se ve que os escueze mucho ¿eh?

Todas las respuestas a lo dicho, correctisimas, menos #28... En fin, Podrias haber sido mas productivo con tu comentario. ¿Acaso me conoces? ¿Acaso lo has pillado? Quizas tu seas mas chavalin que yo. Y lo de que no doy mas de mi, bueno, viniendo de alguien que ni caza la broma... En fin . Pero tengo que reconocer que me has hecho gracia (sobretodo ver como te picas por la chorrada de #22, lo cual era mi intencion, chavalin ^^).

Y ahora mas enserio, os recomendaria relajaros con esto, que no iba a malas. Pero bueno

#42   #41 Por esa mierda de broma te has merecido todos los negativos y los que te queden.

#43   #41 Pues yo no te había metido negativo y uso Ubuntu, te meto negativo en este último por generalizar. Por cierto, parece que fuese a ti al que le escociese que le hayan puesto negativos, cuando oooooo, es lo más agresivo del mundo. Te recomiendo que después del próximo Madrid-Barça o Barça-Madrid, vayas a una peña de fútbol del equipo que pierda y diles "LOL que verguenza para los fanboys del (equipo perdedor) ¿no? ¡La perfección se rompeeeeeeee!" entonces si sabrás lo que e el escozor.

Por cierto, aseverar tu mismo que tu comentario es un poco trolear y luego decir que no iba a malas, no encaja, son matices contrapuestos, igual es que ya probaste mi sugerencia de la peña de fútbol y después del escozor ya no riges bien.

#44   O sea, que es necesario que el atacante sea usuario local para casi todos esos ataques salvo 2: en uno el atacante tiene que estar en tu red local y tu ordenador tiene que estar usando uno de 2 determinados controladores de red, y el otro puede causar un DOS remoto si usas IPv6.

No voto negativo porque es bueno que los fallos de seguridad se conozcan, pero no creo que fallos tan poco importantes en Windows alcanzasen la portada. A mí la noticia me parece un poco amarillista.

#45   Vaya, parece que es del kernel, ningun problema para mi pues Me compilo los mios:
uname -r
2.6.32.7custom

#46   ¿"Ubuntu tiene grave problema de seguridad"? Tenía, tenía. Eso era ayer.

#47   #21 en #15 te lo explica:

El kernel es de noviembre...

#48   #44 En servidores web, por ejemplo, los ataques locales pueden ser igual de peligrosos que los remotos ya que a través de cualquier error en una página web dinámica pueden subir los archivos y conseguir ejecutar los exploits.
Si el núcleo del servidor es vulnerable y escalan privilegios a root probablemente estés jodido y tengas que reinstalar la máquina. Si no es vulnerable como mucho tendrás los restos del ataque en algún directorio de la máquina.

Para un usuario doméstico, mientras el soft que instale sea de los repositorios y vigile bien lo que ejecuta no debería tener problemas. Al igual que en Windows el problema es ejecutar software sin identificar o encadenar un fallo en el navegador o gestor de correo que permita ejecutar programas sin el consentimiento del usuario.

#49   Mi Mandriva actualizó automáticamente el kernel hace 2 o 3 semanas ya... De hecho, desde noviembre pasado que instalé la 2010.0 ha habido 3 kernels distontos: 2.6.31.5, 2.6.31.6 y 2.6.31.12. ¿Por qué Ubuntu no pone actualizacones más seguido?

#50   #48 los ataques locales pueden ser igual de peligrosos que los remotos
Generalmente tendrias razon. En este caso no. Dale un vistazo a que implica la explotacion del fallo de esta vulnerabilidad concreta y considera si se puede lograr ese efecto atacando un servidor web. A mi me parece posible, pero realmente muy poco probable que se den las circunstancias adecuadas. El resto de tu comentario merece un positivo desde mi punto de vista (por el caracter informativo)

Coincido en la opinion de #44 respecto al amarillismo. Ademas yo creo que es erronea, ya que es un fallo del kernel, no es un fallo especifico de Ubuntu.

#52   Bug solventado con tan sólo tener actualizado el sistema. Algo que la gran mayoría de usuarios de esta distro hacemos, ya que es completamente transparente para nosotros.

AMARILLISTA !!!!!!!!!!!!!!!!!!!!

#53   Por lo visto ya tenía actualizado mi ubuntu antes de que apareciera en meneame esta noticia. Nada más que decir, para mi como si no existiera.