Hace 8 años | Por cerilet a arstechnica.com
Publicado hace 8 años por cerilet a arstechnica.com

Grave vulnerabilidad en la libreria glibc utilizada en sistemas GNU/Linux permite la ejecución de código malicioso. Para ponernos en situación, se sospecha que la vulnerabilidad se extiende a un gran número de aplicaciones, incluyendo prácticamente a todas las distribuciones GNU/Linux; lenguajes de programación como Python, PHP, y Rubi on Rails; y muchas otras que utilizan código GNU/Linux para buscar una dirección IP. La mayoría del software utilizado en Bitcoins está afectado también.

Comentarios

albandy

#7 Si utilizas el software de los repositorios, las librerías están enlazadas a los binarios de forma dinámica. A no ser que compiles algo y le digas que haga un linkaje estático nunca se va a incluir la librería en la compilación, siempre va a estar enlazada a las librerías del sistema.

cerilet

#9 Nunca te acostarás sin querer a GNU/Linux un poquito más 💖

Azucena1980

#24 He sido usuaria de Mint y de Ubunto... y he acabado hasta los ovarios de ambos. Cuando no era la WiFi, era el ratón, y cuando no, cualquier otro controlador, así que mi migración desde Windows XP hacia Linux acabó en Windows 7...

Muy chachi piruli, pero yo quiero un bolígrafo para escribir, no para tener que cambiar cada 2x3 la tinta, la tapa o el botón de encendido.

cerilet

#25 En el momento en que entiendas lo que significa software libre y lo que conlleva usar software privativo dejarás de decir estupideces.

Venga, un saludo.

Azucena1980

#26 Sí, la estupidez es que en el software libre tienes que estar encima, y pierdes más tiempo haciéndolo funcionar que usándolo.

Excepto en supercomputadoras, claro está, donde tienen a un chico de la informática para hacerlas funcionar, y no actúan de cara al usuario.

m

#26 un respetito con la opinión de los demás, listillo. Yo uso servidores linux a diario (entre 10 y 20 ahora mismo) y su opinión me parece coherente (sea troll o no). Para servidores y personal técnico es una cosa y para usuarios finales otra. En muchos casos linux sigue siendo un dolor de huevos echar a andar ciertas cosas, por la razón que sea. Y eso es inadmisible para un usuario final.

cerilet

#31 Puede que peque de soberbia de vez en cuando, pero sólo entendiendo que la privacidad es una cosa muchísimo más importante que la comodidad es razón más que suficiente para esforzarnos y protegerla cueste lo que cueste.

El poder que puede llegar a tener la información que conlleva conocer nuestros hábitos diarios, nuestros gustos, y nuestras intimidades para manipularnos (con o sin que no demos cuenta) o chantajearnos no es una cosa por la que debemos descuidar nuestra privacidad lo más mínimo. No se si lo sabes pero es un derecho recogido en la carta de Derechos Humanos. Y si está ahí es que es importante. Otra cosa es que se entienda el alcance de esto.

cerilet

#25 Mira, de hace dos dias:

Tu Windows 10 llama a Bill Gates 5.508 veces al día
http://www.eldiario.es/cultura/tecnologia/Windows-espia_0_483652267.html

Y una posible solución para minimizar el problema:

https://www.reddit.com/r/Windows10/comments/3fn46j/i_made_my_own_userfriendly_windows_10_privacy/

M

#27 #30 Usáis tanto el argumento de la NSA que ya perdió todo su sentido.

Decidme, entre vosotros y yo en la práctica ¿qué diferencia hay? y en la teoría también porque si creéis que ya por usar linux la NSA no os puede entrar hasta la cocina...

A mi me afecta p ej cuando me falla la wifi o el ratón porque el SO no va bien ( #25 ) pero la libertad de p.ej. "poder leer el código" cuando ni siquiera sé leerlo, me trae sin cuidado. Más aún cuándo hablamos de la NSA, ese comodín que todo el mundo usa pero a ver si alguien me dice en qué me afecta realmente, y cómo me ayuda linux.

D

#34 Para mi, que alguien pueda entrar sin permiso en mi cocina, posee un sentido profundo y es un hecho, no un argumento. Mientras siga ocurriendo, habrá que seguir poniéndolo en evidencia pues seguirá teniendo siempre el mismo profundo sentido de falta de intimidad, por tanto, carencia de libertad. En todo caso, la diferencia entre tu postura y la nuestra es que tú entregas voluntariamente las llaves de tu casa a quien en realidad es tu enemigo y nosotros no. Podrán entrar igualmente o probablemente les costará más o directamente ni podrán entrar. Pero realmente esa es sólo la parte superficial del asunto, el tema es si en tu día a día empleas herramientas que hacen tu mundo mejor o herramientas que hacen el mundo de algunos mejor a tu costa y a costa del nivel general de libertad. Si no entiendes que además eso requiere de cierto esfuerzo, es normal que no valores la maravilla social, política y técnica que es el Software Libre y sigas usando herramientas que trabajan para hacerte una esclava a la que cualquiera puede invadir su cocina a cambio de unas monedas de aparente comodidad.

M

#35 en tu casa entran igual que en la mia. La diferencia de lo que comentas es la misma que hay entre darle a me gusta en facebook a un " que se acabe el hambre en Africa" creyendose defensor de los pobres, y no darselo. Los niños en africa no van a comer mas por ello, mejor vete de voluntario o al menos dona dinero.

Mi mundo y el tuyo no es mejor ni peor por usar linux, ni el de quien nos rodea. Mi mundo sera mejor con aquel SO que me funcione mejor y me de menos rompederos de cabeza.

No soy esclavo de nadie por usar uno u otro SO, hago lo que quiero, y cuando quiera modificar el codigo, p ej, y windows no me deje, usare linux, y cuando quiera hacer algo que con linux no pueda, usare windows. Tu por contra te autorestringes a linux, asi que a lo mejor eres tu el que esta mas prisionero.

D

#35 "en tu casa entran igual que en la mia. "

Igual no. En mi casa no son bien recibidos y no se les faciita el paso, en la tuya sí. La diferencia es más que sustancial. No negaré que puedan entrar, pero la proporción entre tu caso y el mio es la que hay entre una autopista sin peaje y un camino de cabras rodeado de gente hostil: no hay color.

"Mi mundo sera mejor con aquel SO que me funcione mejor [..]"

O sea que es mejor, de facto, con sistemas operativos basados en software libre, que además de más eficientes no entregan las llaves de tu cocina.

"No soy esclavo de nadie por usar uno u otro SO"

No estoy de acuerdo. En la medida en la que uses herramientas de software a las que se les impide, entre otras cosas, acceder a su código fuente, distribuirlo y modificarlo, evidentemente estás siendo restringido de forma externa, luego dependes de una compañía que además de no estar interesada en absoluto en tu libertad, lo que hace es darle acceso a poderes que lo que quieren es directamente acabar con ella y esta última aseveración no es conspiranoia, si no un hecho político. Por tanto eres un esclavo que forja sus propios grilletes.

"Tu por contra te autorestringes a linux,"

Pues no, también empleo openbsd, freebsd, freedos, mayaos.. y tengo un inmenso abanico de distribuciones con las que experimentar y en caso de que no me gustara ninguna, hasta podría crearme una con el código que tengo la libertad de usar. No es tu caso.

De cualquier forma, la autorrestricción es una parte muy importante en el ejercicio de la libertad, pues sin autocontrol ésta no es viable. Lo cierto es que si no fuera por la autorrestriccion de personas como R. Stallman, tú hoy no podrias moverte en el amplio margen de libertad del que disfrutas a nivel informático, así que deberías tomarlo en consideración.

Saludos.

M

#49 No te flipes tanto. La diferencia radica en que a ti te tardarán cinco minutos más en entrar, lo que les lleva fumarse un cigarro. Después de eso, no hay diferencia.

Pero pongámonos en el extremo de que a ti la NSA no te entra de ninguna forma y a mi sí ¿puedes decirme exactamente en qué ha cambiado mi vida? ¿cuál es el mal que estoy padeciendo? Un mal, por ejemplo, sería que me prohiben entrar en EEUU porque me espiaron y vieron que tengo demasiado porno lésbico. Responde porque resulta que en el mundo real entre tú y yo no hay diferencia.

No, no es mejor de facto, a mi en linux no me van ciertos programas, ni ciertos aparatos. En windows sí, sin problemas. Mientras tú hablas metafóricamente de las llaves de no sé qué cocina, yo te hablo de cosas reales que me afectan cada día.

Palabras grandilocuentes esas de forjar mis propios grilletes, pero llega el mundo real y te las tira por el retrete: yo no quiero ni distribuirlo, ni modificarlo, ni nada de eso, entonces tales "restricciones extremas" es que me la sudan, son cosas que no me afectan. Cuando me afecten ya usaré otro programa. Tú por contra te niegas a usar software privado y por tanto te privas de usar cosas que funcionan con software privado pero no con software libre. Te estás perdiendo eso, eres tú el que se pone los grilletes, yo cambio según me haga falta.

Tienes openbsd, freebsd... todo ese software libre, fíjate, exactamente como yo. Pero yo además tengo el software privado. Supongamos que te compras un Tomtom, con todas esas marabillas que tienes ¿me puedes decir cómo lo actualizas sin usar software privado? No puedes, pero yo sí porque uso el software según me sirva, no según su licencia. tú eres el esclavo de una licencia.

Tu último párrafo es un párrafo Zen, lo siento.

cerilet

#34 Que tú no sepas leerlo no significa que otra gente que esté capacitada lo pueda hacer en aras de nuestra privacidad y libertad.

Y en cuando al ejemplo que pones del prisionero; el prisionero eres tú que usas software privativo (i.e. que priva de libertad). Acaso crees que el nombre software libre se lo puso Stallman por casualidad? Mira el video que puse en #24 donde lo explica bastante claramente.

Y bueno, Snowden aquí resume el tema en una sola frase: "Argumentar que no te importa la privacidad porque no tienes nada que esconder no es diferente a decir que no te importa la libertad de expresión porque no tienes nada que decir".

M

#39 el argumento de que otros pueden leerlo y velar por nuestra seguridad se cae cuando aparecieron varios fallos de seguridad en linux y ssl que llevaban ahi muchos años sin que nadie los hubiese visto. Y las puertas son asi, fallos como esos, asi que esos ojos nada te garantizan.

Yo no digo que no me importe la privacidad, yo digo que ¿cual es la diferencia practica entre tu y yo? ¿acaso crees que con linux ya no te espian? ¿crees que solo se limitan a linux?

El video ya dije que era una parida y lo de software privativo no viene por la NSA sino porque te restringe a no poder modificarlo, distribuirlo, etc

cerilet

#45 ¿Que el video es una parida? Jajaja, no has entendido nada de todo el asunto. Te basas en ejemplos concretos para intentar desmontar toda una idea que es de lo que estoy hablando yo: de la diferencia entre tener acceso al código y la de no tenerlo.

Anda, informate un poco más y deja de hacer el ridículo o continúa defendiendo la postura que has elegido sin cuestionarte la base del problema.

M

#47 Tú no estás hablando de nada, simplemente pones enlaces a vídeos pero aún no lo has expresado con tus propias palabras.

No me baso en ejemplos concretos, me baso en la enorme complegidad de estudiar y entender cientos de millones de líneas de código de un SO como linux. Si la auditoría de un programa tan simple como el de Truecrypt llevó tanto tiempo, imagínate todo un SO como linux, todas sus partes, incluso sus binarios de los que no tienes código, y todas las actualizaciones que este recibe, así como el resto del software libre que corres en él. Los ejemplos que puse tan sólo lo ilustran.

Es imposible e incluso tu amigo Snowder dijo que es relativamente fácil colar una puerta trasera en linux, por la complegidad del SO, por la cantidad de colaboradores y porque sus aportaciones al final se revisan sin profundizar todo lo necesario.

El vídeo:

"El usuario controla el programa o el programa los controla a ellos"

Yo quiero hacer X y para ello uso el programa que me lo permita, fin.

"La libertad cero es la de utilizar el programa como quieras, para cualquier propósito"

Yo uso el programa como quiero. Algunos por su licencia, los privados, no me permitirán usarlo de una forma, entonces si necesito esa forma de usarlo, busco otro que me lo permita. Si no necesito esa característica, me da igual y uso el privado. Fin.

"Libertad 1 de estudiar el código fuente"

No sé ni leerlo así que me da igual, y que miles de ojos sí puedan tampoco me ayuda, ya lo expliqué al principio.

"libertades 2 y 3, redistribuirlo/hacer derivaciones"

No quiero redistribuirlo, así que poder hacerlo no me beneficia ni me perjudica. Cuando quiera redistribuirlo, buscaré un programa que me lo permita.

"borrar libros, actualizaciones maliciosas..."

Me voy al punto cero: Yo quiero hacer X y para ello uso el programa que me lo permita, fin.
Cuando windows me borre archivos o me bloquee algo que necesito, cualquier programa que haga lo que sea que me perjudique, lo dejaré y usaré otro. Por de momento no tengo ningún problema con ningún programa que uso, independiente de su licencia.

En serio, en la práctica ¿cuál es la diferencia entre tú y yo? y exprésalo con tus palabras, no con otro vídeo.

vejeke

#25 Mis padres jubilados llevan unos 7 años usando linux a diario... Y con 0 mantenimiento por mi parte (solo actualizar de vez en cuando)...

Historias como la tuya las he visto decenas de veces y sólo puedo decir que los cambios no siempre son fáciles, a veces las cosas no salen a la primera pero puede que tener un poco de paciencia al principio haga que al final todo merezca la pena. Y para la mayoría de la gente pasar de Windows a GNU/Linux merece la pena.

m

#29 Ya, con un técnico que les da soporte y capacitación.

vejeke

#32 El asunto es justamente al contrario de como lo pintas.

"Y con 0 mantenimiento por mi parte (solo actualizar de vez en cuando)".

Si les puse linux fue precisamente porque cada semana tenía que estar arreglándoles mierda, que si el antivirus dice que está caducado, que si me aparece una barrita de no sé qué hostias, que si ya no carga el gugle sino una pagina rara, que si la impresora no funciona, que si me salta publicidad de tetas sin que esté haciendo nada, que si ahora no me suena el audio, que si aveces me pide contraseña para iniciar sesión y a veces no, que si lleva 3 horas y no se apaga porque dice que está "haciendo cosas" y un largo etcétera.

Son cosas que pasan absolutamente desapercibidas para la gente que lleva toda la vida en Windows, no las ves como problemas porque ya sabes que es lo que tienen que hacer o por dónde van los tiros. Y sin embargo a esas personas les dices de cambiar el fondo de escritorio de cualquier distribución linux y puede que les salga humo por las orejas. Lo más probable es que se frustren enormemente y se sientan perdidos y luego será imposible convencerles de que hay linuxs mucho más fáciles de usar que cualquier versión de windows.

Vivo en otra isla y era un auténtico dolor de cabeza tener que solucionarles la papeleta por teléfono (a personas de más de sesenta años) porque con la mierda de conexión del ADSL rural el TeamViewer moría.

Fue ponerle linux y asunto arreglado. Y lo usan a diario... enviar correos, menéame, skype, imprimir algún que otro documento, etc.

m

#33 Soporte también implica echarlo a andar. Eso no es trivial en muchos casos, y tú te lo has currado para dejarle un sistema adaptado a lo que necesitan.

D

#25 Pues nada, disfruta de tu pluma de ganso con conexion automatizada al tintero marca ACME/NSA, que cuando no la uses para escribir te la puedes colocar en la pamela.

tunic

#25 ¿Te das cuenta de que lo que te fallaban eran los controladores que el fabricante NO te suministraba? Lo cual, en realidad, no dice nada de la calidad del sistema operativo como sistema operativo.

Azucena1980

#43 Ah, la culpa era del hardware... qué cosas.

tunic

#44 Los controladores no son hardware. Es el software, treméndamente específico, que sirve de interfaz entre el sistema operativo y el dispositivo, facilitando el uso del dispositivo por parte del sistema operativo. Normalmente ofrecido por el fabricante del dispositivo como parte del paquete (se podría decir que es el 'manual' para que el sistema operativo use el dispositivo). Los fabricantes suelen ofrecer controladores para Windows y Mac, no tanto para Linux, que sin embargo tiene probablemente de la mayor oferta de controladores disponibles (lo que incluye muchos dispositivos de uso industrial y no casero, por lo que un usuario puede percibir que tiene pocos controladores, especialmente con dispositivos nuevos).

La cupla, en resumen, es de los fabricantes.

Azucena1980

Nooooooooooo!!!!!!!!! Linux no tiene errores, es perfecto en un mundo perfecto!!!!!! Tirémosla por insidiosa!!!!!

Stash
cerilet

#2 #3 Bueno, el otro enlace lleva a un hilo en un foro. Esta es una notícia muy completa de Arstechnica donde explican con todo tipo de detalles el problema y su alcance.

Me voy a arriesgar. La voy a dejar a ver.

albandy

#5 Por lo menos no votaré la noticia (ni para bien, ni para mal), a ver que pasa. lol.

Stash

#5 Lo cierto que llevas toda la razón del mundo. Siento el negativo ahora.

cerilet

#8 No te lo perdonaré jamás, JAMÁS!! lol

Stash

#10 Me alegra que me recuerdes por mucho tiempo...

Azucena1980

#2 #3 #4 #11, osea, que Linux es mediocre, pero como los otros son malos, no debemos preocuparnos...

Stash

#13 A mi no me metas en esa guerra ni te voy a entrar a ese trapo (mas allá de este comentario )

D

#13 no, mas bien que nada en este mundo es perfecto y todo tiene errores. Pero no solo en informatica sino en todos los aspectos de la vida. Cada cual elige lo que quiere usar, nada es blanco o negro, bueno o malo 100%

Goldstein

#13 Como linux es mediocre, y TODOS los demás son peores, estoy esperando ansioso a que TU hagas algo mejor.

Azucena1980

#17 No, yo no diseño bolígrafos, los uso...

cerilet

#13 Imagino que hoy te has levantado así y estás haciendo de troll. Pero bueno, te contesto igualmente.

Que Linux es mediocre es una valoración que te deja totalmente en evidencia. Entre las muchas razones a su favor, sólo con decirte que es el SO más usado en dispositivos móviles (https://en.wikipedia.org/wiki/Usage_share_of_operating_systems) y que prácticamente la totalidad de los supercomputadores lo usan (https://commons.wikimedia.org/wiki/File:Operating_systems_used_on_top_500_supercomputers.svg) son suficientes razones para demostrar tu completa ignorancia sobre el tema.

Sin acritud kiss

Azucena1980

#21 Entonces volvemos al punto #1

cerilet

#23 Al punto #1 te ha contestado #4, pero esa no es la principal razón por la que todos deberíamos dejar de usar en el día a día software privativo y empezar a usar software libre (la mayoría de personas tendrían sus necesidades cubiertas de sobra con cualquier distribución GNU/Linux).

Como persona sensata que creo que eres, entenderás que utilizar un programa en el cual no sabes lo que está corriendo por debajo es un ataque muy grave contra tu privacidad. Cuando usas software privativo tú no controlas ese programa, es el programa el que te controla a tí.

Aquí Stallman lo explica muy sucintamente y en castellano:



Free software, free society!

cerilet

#3 Pero aquí el problema no es sólo la librería en cuestión, sino todo el software que se ha compilado con ella.

El problema es mucho más grave de lo que parece a simple vista y eso en el link que enlazas no lo pone.

D

#4 Hombre, eso de que se conoce de inmediato y que la comunidad se pone las pilas... https://sourceware.org/bugzilla/show_bug.cgi?id=18665

Se sabía desde el pasado verano pero no se le ha dado importancia hasta ahora.

D

#1 claro que tienen fallos, pero ya esta arreglado ya quisiera ms o apple tener los tiempos de respuesta de gnu linux.

D

#1 Algo básico a la hora de tratar de ser sarcástico es tener un mínimo de conocimiento de lo que se está hablando.

capitan__nemo

¿No hay una especie de escala richter para evaluar el impacto de las vulnerabilidades?
https://www.owasp.org/index.php/OWASP_Risk_Rating_Methodology

Parece que lo hay, pero estaria mejor un numero para evaluarlas dentro de la críticas.
Entonces lo hay
https://en.m.wikipedia.org/wiki/CVSS

¿Cual es la metrica de esta vulnerabilidad?

capitan__nemo

Es decir que la vulnerabilidad se conoce desde el pasado Julio. Lo conocian algunos. ¿Durante cuanto tiempo lo conocerian otros?

¿Quienes la conocian desde el principio?

¿La programación de la vulnerabilidad es lógica? es decir, que si es un error que podria cometer algun programador con todas las herramientas y sistemas de analisis de codigo para evitar este tipo de vulnerabilidades. ¿Por qué no pitaba en las herramientas de analisis y auditoría de código?
¿Pudo ser introducidad adrede la vulnerabilidad como la de juniper?
Grave vulnerabilidad en el cliente de OpenSSH (CVE-2016-0777, CVE-2016-0778)/c9#c-9

capitan__nemo

#41
Si tuvieses que introducir una vulnerabilidad que afectase al mayor numero de sistemas ¿Donde la meterias?
Juniper, cisco, glibc, ssh, ¿?

Hay que pensar como podrian haber pensado ellos.

¿Apuntan los que mantienen el codigo las actualizaciones y parches que algun contribuyente intenta incluir y se dan cuenta que tiene vulnerabilidades antes de incluirlas? ¿Las reparan y apuntan quién ha intentado colarla, bien por un error real o quizas no?
Apuntando el posible numero de ataques de introducción de vulnerabilidad en software libre.

De repente, igual se juntan los datos de muchos proyectos open source diferentes, los intentos de contribuciones que contenian este tipo de errores (o de los que no detectan los softwares y herramientas de auditoria de codigo), los datos que se pueden recuperar de los que cometieron estos "errores" e ¿Igual sale algo como aquí?
¿Alguna coincidencia en el origen de muchos errores aunque al final no entraron en el codigo final porque alguien en la cadena lo vio y lo reparo antes de que saliese a produccion?
¿Aplicando este tipo de técnicas de busqueda de sospechosos?
El programa SKYNET de la NSA puede estar matando a miles de personas inocentes (eng)

Hace 8 años | Por silosenovengo a arstechnica.co.uk

cerilet

Mierda, se me ha olvidado poner [ENG] en el título. Algún@admin por la sala?