Hace 6 años | Por Marx a unaaldia.hispasec.com
Publicado hace 6 años por Marx a unaaldia.hispasec.com

Se ha anunciado una grave vulnerabilidad que afecta a varias distribuciones Linux que puede permitir a un atacante remoto provocar condiciones de denegación de servicio o ejecutar código arbitrario. Un servidor DNS malicioso puede enviar una respuesta TCP especialmente diseñada para engañar systemd-resolved, de forma que determinados tamaños pasados a dns_packet_new pueden hacer que asigne un búfer demasiado pequeño y posteriormente escribir datos arbitrarios más allá del final del mismo, provocando caída del sistema o ejecución de código.

Comentarios

D

#2 Era cuestión de que el sistema ganase en funcionalidades y complejidad, y que hubiesen más ojos analizandolo, para que pasara. Cualquier software que pase del Hola mundo esta expuesto a ello.

D

#2 #3 Os habeis dejado en algun sitio la comparativa con la cantidad de bugs de Linux de este año con el pasado.

D

#3. "Era cuestión de que el sistema ganase en funcionalidades y complejidad, y que hubiesen más ojos analizandolo..."

Imagino que lo que quieres decir es que "ahora que Linux es un S.O. serio como otros se enfrenta a los mismos problemas". Pero creo que te equivocas, Linua siempre fue un S.O. serio, más que otros.

Yo creo, reconociendo mi ignorancia, que esto pasa porque Linux atendiendo a esa " comunidad emergente que demanda simplicidad" se adapta a los tiempos actuales y sucumbe ante "expertos demasiado ocupados para usar bash o leer las salidas del cron.

En Nextu.com te hacen experto en IT en unos pocos días...

D

#2 En systemd.

D

#2 SystemD. OpenRC aun da esperanzas.

D

#6 SystemD es una chapuza.

D

#6 Bueno, todos todos... La mayor parte de los que mantienen distros decentes con una mínima proyección para sistemas de producción (Suse, Red Hat, Debian, CentOS o Ubuntu, por ejemplo) no le tienen ganas. De lo contrario no la hubiesen puesto.

D

#50 Debian y Ubuntu usan systemd y creo que Suse tambien.
Los otros los tengo en duda.
Y precisamente por las dependencias obligatorias de Debian con systemd he dejado de considerarla una ditribuciín decente.

D

#53 Red Hat también.

Aparte de las que he dicho, pocas más vas a poner en un sistema de producción, es decir, decentes.

Pero vamos, igual tú sabes más que los que mantienen todas esas distros.

D

#57 Falacia de autoridad y argumentum ad populum.
Quizá tienes tantos programadores y colaboradores de Debiany otras distros fuera que piensan que es una mierda como tienes dentro.

z

#61 el hecho de que desconocieras que RH utiliza systemd, siendo el principal sponsor del proyecto, ya te desautorizó.

No hacía falta que añadiera nada más@tarkedo

D

#62 Puedo conocer al detalle que otros demonios integra systemd, por qué eso es una mierda de solución, y por lo tanto criticarlo sin que sepa que existe RH o Centos.
Confundes conocer la alineación de un equipo con saber de fubtol.

Panko

#53 Pues no se a que dependencias te refieres en Debian, por que el mío sigue siendo capaz de iniciar con sysvinit.... Gnome (ugh!) es lo que depende si o si de systemd, no Debian.

Panko

#59 Como he dicho en #63 Debian funciona perfectamente iniciando con sysv-init, mientras no uses gdm/gnome, no problem. Puedo usar sin problemas tanto lxqt como Plasma/KDE sin iniciar con systemd.

D

#64 Veo que noy el único que regularmente se contesta a sí mismo desde que está el nuevo tema en Mnm.

Panko

#71 el #59 no soy yo, pero si el 63, igual será por eso lol Juro y perjuro que le contestaba a el...

D

#96 No te mates. Yo ya lo he dado por perdido.
Se que un tanto por ciento de las veces le voy a dar a contestar al rosario de la aurora.

Panko

#97 Son imaginaciones nuestras, acabo de comprobarlo, si cambias el sistema de "visionado" a "ordenados" en vez de "hilos" se ve que no nos contestamos, aunque lo parezca... A ver si es que fumamos de lo mismo... lol

D

#98 Pues tendrá que fumar todo el mundo lo mismo para que nos enteremos quien contesta a quien lol

D

#1 Hace mucho que ví que systemd tiene 10 pegas por cada cosa positiva.
Por otro fallo de systemd me compré otro escaner estando perfectamente el que tenía, pensando que no respondía.
Y precisamente por culpa de systemd he mandado a Debian a la mierda y me he pasado a Devuan.

D

#1 Yo utilizo Windows

D

#18 Eso ha sido un golpe bajo cry

pedrobz

#18 oh, no! You Heartbleed me! I Wanna cry! but don't worry, still ILoveYou!

M

#30 Si las vulnerabilidades de Linux tuviesen nombres chulos como las de windows, yo también podría haberte construido una frase graciosa, pero en Linux solo entienden de números y así no hay manera. Maldita vaca sucia, Heartbleed también afectó a Linux.

D

#37 #30 De hecho, heartbleed es una vulnerabilidad en OpenSSL y por tanto afecta a sistemas Linux. Y también tenemos nombres chulos como shellshock y tal.

D

#41 Hay Linux sin OpenSSL ni Bash como VoidLinux.

> como shellshock y tal.

pdksh, oksh, zsh...

musg0

#41 también tienes dirty cow

b

#30 una cosa no quita la otra. El de systemd no lo tendrías.

tshade128

#18 Jajajajaj. La palabra clave es "esos".

R

¡systemd es un demonio!

D

#19 será daemonio

D

#19 SystemD es demonio de Avaricia y Gula, creado por la Soberbia de Pottering, y alimentado por la Ira de RedHat.

a

Ya esta parcheado desde hace mas de 1 semana. Una simple actualización y problema resuelto.

A

#11 está vulnerabilidad lleva en el sistema desde el 2015 no ha sido tan simple como dices...

c

#12 En qué sistema?
No en Debian Stable, no en RH, no rn Suse... etc etc

A

#28 bueno tienes linux Mint , la mas usada según DistroWatch y de hecho es con la que te estoy escribiendo es una de las afectadas https://distrowatch.com/?language=ES
otras afectadas
Ubuntu
Deepin
Elementary
Fedora
Antergos
Zorin
..etc
una larga lista ...saludos

thingoldedoriath

#34 Linux Mint tiene versiones que no utilizan los repositorios de Ubuntu...

thingoldedoriath

#42 #10 Yo tengo por ahí una máquina con LMDE que tira de los repositorios de Debian Jessie y esa tira de NetworkManager. #34 No todas las Linux Mint tiran de los repositorios de Ubuntu.

#14 Claro que tienes opciones. La versión (mejorada) de Slackware con kernel 4.4.29 que uso ahora mismo, tira de NetworkManager y dhcpcd y por supuesto el arranque sigue siento tipo BSD. Nada de Systemd ni de sysvinit. init a secas y mucho /etc/rc.servicios/que/quieras.

D

#66 >ira de NetworkManager y dhcpcd
Si quieres.

thingoldedoriath

#67 Sí, claro. Supongo que hay distribuciones basadas en Slackware que hayan incorporado systemd. Está disponible en los repositorios SlaclBuid, pero no en los oficiales de Slackware.

D

#34 No me extraña, Linux Mint es una distro frankenstein. No se que haces usando eso. En cuanto a seguridad son un cero a la izquierda.

A

#74 No tengo en mi casa un silo nuclear, todos los sistemas informáticos tienen sus fallos pero también hay que mirar otras cualidades y Mint es estable y facil de usar como ninguna y eso lo valoro mucho y se ve que el resto de los mortales también. Ya me rompo bastante la cabeza en el curro programando como para llegar a casa y también tener romperme la cabeza con otra distro que luego no me reconoce el la mitad del hardware en mi caso Debian (hay que hacer mil historias para que funcione mi AMD6950 y sinceramente paso ademas de su política todo GNU no me mola nada nada considero que hay buen software privativo y muy útil) . Conclución valoro algo practico medianamente seguro y no algo que no que esta super capado de serie para ser mas seguro...saludos

D

#85 SolusOS.

D

#85 Ubuntu

D

#12, hombre, la cosa es el importe que pasa desde que se descubre hasta que se parchea.

D

#31, importe no, tiempo, no sé qué habré puesto para que el correcto me haya hecho ese cambio.

c

ALGUNOS Linux.

Yo uso init y muchas distros no están afectadas...

frg

#5 Muchas, lo que se dice muchas, ... Prácticamente todas las últimas versiones de las distribuciones más utilizadas son vulnerables.

c

#8 Ni redhat, ni suse ni debian stable. Si acaso debian stable durante 4 días, y no estoy seguro...

D

#9 RH es quien usa SystemD.

c

#17 RH no es vulnerable.

frg

#9 No había vistos los CVE de cada distribución. Al parecer el componente que falla, "systemd-resolved", parece no está activado por defecto (Debian), o las versiones que se utilizan son anteriores a la aparición de dicho bug.

t

#9 Debian stable lleva systemd, pero no systemd-resolved.

D

#42 Ya, pero ya veras lo poco que tarda en pasar el paquete completo de mierda systemd desde la testing a la estable.
Solo es cuestión de tiempo.

apetor

2017 Es el año de OpenRC en Gentoo Linux

S

Pues a mi me parece que systemd junto con wayland son las mejores cosas que le han pasado a Linux en los últimos años. Totalmente necesarios para modernizar el sistema operativo.

kurtz_B

#33 sí, ahora el portátil arranca volando, eso es verdad.

S

#36 a mi me gustan los comandos como systemd-analyze blame o critical-chain.

El problema es que a la gente no le gustan los cambios, e incluso muchos de ellos ni siquiera saben que implican realmente esos cambios.

b

#33 somos minoría. Y el networkmanager es un pegote pero es mejor que editar ficheros planos de texto.

D

Si usáis otra cosa como NetworkManager no hay problemas, al menos con el comentado en la noticia.

Quien diga que no hay sistema operativo vulnerable, va muy errado.

D

#39 Los que nos quejamos algo de nivel tenemos. Y no nos quejamos por que no entendamos como funcione o por miedo al cambio.
Systemd es todo lo opuesto a la filosofía unix. Haz una herramienta que haga una sola cosa pero que la haga bien.
Systemd engulle init, cron , dbus , syslog, klog, login, getty, pam, udev, etc.... es un puto monstruo monolítico que hace la depuración de problemas una tarea titánica o imposible.

D

#60 Y precisamente por ese motivo era imposible para una empresa diseñar un software que funcionase en varias distros a la vez. Ahora puedes hacer un software que se apoye en el sistema de systemd y sabes que va a funcionar en todas las que lo usen.

Y no hablemos de configurar servidores, que es por lo que existe linux, es una gozada hacer los mismos pasos en ubuntu/redhat/debian/... sin tener que pensar en 1000 demonios diferentes por distro.

D

#76 > Y no hablemos de configurar servidores, que es por lo que existe linux, es una gozada hacer los mismos pasos en ubuntu/redhat/debian/... sin tener que pensar en 1000 demonios diferentes por distro.

Eso cuando no falla systemd-resolved.

D

#76 Eso es una película de miedo que algunos van contando.
Tambien era según Debian IMPOSIBLE desincrustar multitud de aplicacioens de la dependencia de Systemd.
Un montón de programadores dijero que no y lo demostraron con Devuan.
¿Qué aplicacion necesita simultaneamente acceder a dbus, init, cron , syslog, klog, login, getty, pam, udev, etc....?
Además muchos de los demonios eran bastante comunes la distribuciones tenían en común la mayoría.
Todo el tema de el systemd ha sido cabezonería de un tio y metedura de pata de gnome, como en muchas otras cosas.
En Debian pesa mucho la parte de Gnome y todo ha sido una reacción en cadena.
Debian se pasa a systemd, Ubuntu no tiene más remedio que tragar (o hacer el trabajo de Devuan pero ha sido que no), detrás de Debian y Ubunto van otras 200 distribuciones basadas en ella, etc...
Si tú tienes servidores es raro que tengas 4 distros distitnas, y aunque las tengas ¿que te impide tener los mismos tipos de demonios de arranque, PAM, cron, syslog, etc....?

D

#79 Que qué lo impide? pues que cada distro tendría su init particular, con sus más y sus menos, y cualquier servicio que metas tiene que tener ficheros distintos para cada uno de ellos.

Con systemd solo necesitas un fichero y a correr.

Systemd ofrece cosas que los demás solo sueñan, para un administrador de sistemas claro. Para el comun de usuarios, da igual systemd o cualquier otro.

thingoldedoriath

#60 Y además, otros muchos creemos que esa "unificación de configuraciones de servicios entre distribuciones", no es deseable!!

Pensamos, no sin cierta lógica, que eso es como eliminar características que fomentan la competencia!! y mientras haya competencia "la gente" tendrá donde escoger y además se seguirá investigando, desarrollando (fuera del yugo de Red Hat, Canonical y ahora también Debian).

D

#81 Yo por lo menos no quiero un Linux que sea como Windows. Una forma de trabajar para todos, un tipo de escritorio para todos, una configuración para todos... y atarlos en las tinieblas de Mordor donde se extienden las sombras.

thingoldedoriath

#82 Somos muchos los que nunca hemos apoyado nada que suponga "una misma configuración para todos". Por eso, entre otras cosas, nos mantuvimos siempre lo más lejos posible de las empresas que perseguían ese tipo de objetivos (las más recientes, Red Hat y Canonical). Y al lado de proyectos más solitarios, como Slackware o más comunitarios, como Debian (que ahora han decidido apoyar a los "malos").

Lo bueno del ecosistema de distribuciones con kernel Linux o FreeBSD es que, ante cualquier "ataque" por parte de empresas que siempre buscan lo mismo, siempre hay un grupo que se niega, hace un mutis y una derivación y a seguir por otro lado. El último ejemplo conocido fue LibreOffice... pero para escapar de las garras de Oracle hubo otros como MariaDB.
Y eso es lo que admiro de las comunidades de Software Libre, que contribuyan a mi libertad!! ofreciéndome opciones fuera de "las tinieblas" de las corporaciones

D

#84 Ramen hermano.
Por eso me pasé a Linux cuando Debian andaba por la Potato y no he vuelto.
Cambiaré de distribución o de SO (Linux, Openbsd, etc.. ) las veces que haga falta, como he hecho por el systemd de Debian a Devuan, pero lo primero que me gusta de Linux y que valoro más es la libertad.

thingoldedoriath

#86 Tengo por alguna parte una caja con 6 CD de Potato
Pero seguí (y sigo) fiel a Slackware y pasó algún tiempo hasta que me metí en Debian. El motivo principal fue "apt"... tenía que instalar un OS libre y enseñar a otros a mantenerlo, para esto Slackware resultaba bastante trabajoso. Debian con "apt", aportaba un plus en la gestión de paquetes (de sus, ya por entonces, miles de paquetes!!); que facilitaba mucho las actualizaciones.

Saludos cordiales.

D

#87 Yo he usado de todo. BeOS, QNX, BSD, SCO, Conectiva, Mandrake, Suse, Redhat, etc...
Precisamente en la capacidad de elección desde el SO hasta el último componente es donde está la gracia.
Saludos Linuxeros.

R

#87 Mmm, en mi memoria, Potato eran 4 CD y Woody 7. Me debo estar haciendo viejo

thingoldedoriath

#94 LA edición que yo tengo no está editada por Debian, sino por una empresa de la que no recuerdo el nombre.
Contiene dos CD con software "extra". Recuerdo varias versiones del kernel Linux (los fuentes) y creo que algún software que no estaba en los repositorios oficiales de Debian por razones de licencia.

Recuerdo que para instalar una Debian "standard" (con un escritorio Gnome) solo se necesitaban los dos primeros CD.

m

Llevo un par de meses en mint y todo muy bien, pero no paro de oir mierda de systemd, me estoy planteando cambiarme a trisquel, devuan o alguna otra sin systemd, ¿alguna recomendación por aquí?

d

#14 void Linux es una joya. Lo uso desde hace más de un año. Para producción freebsd.

m

#21 No se si atreverme, no son muy exóticos? yo pensaba algo mas generalista a ser posible basado en debian

d

#24 eso ya depende de cada uno. Yo he pasado de Ubuntu a void sin muchos problemas la verdad. El foro es bastante activo y la comunidad muy buena. Me he encontrado con menos problemas de los que me esperaba.

thingoldedoriath

#40 Veo que es un proyecto nuevo. No había oído hablar de Void!! y por eso no la he probado. En cuanto tenga un portátil libre, la instalaré y a ver que tal. Gracias por mencionarla

t

#24 Creo que en debian sigues pudiendo usar init.

m

#44 Tengo entendido que no, la versión sin SystemD se llama Devuan.

D

#44 Solo es un wrapper para systemd.
Es imposible usar practicamente ningún paquete gordo como escritorios sin instalar systemd y quitar sysv o cualquier otro arranque que tengas.

D

#59 Falso.

Parabola tira todo con OpenRC si lo adecúas.

Y OpenBSD lanza Gnome 3 sin SystemD. Con GDM3 y todo.

D

#68 Con perdón: y un cojón falso.
Si yo contesto a un comentario que cita especificamente Debian en #44:
"Creo que en debian sigues pudiendo usar init. "
Y tu vas y añades Parabola y Openbsd estas creando una falacia de hombre de paja como el templo de Luxor de grande.

t

#73 Bueno, que conste que ha sido sin intención.

D

#92 Pues me parece de elogio que lo digas. Otros hubiesen ahuecado el ala.
Yo meto la pata como el que más (si no el que más, debo andar cerca).
Así que seguro que mañána es al revés.

D

#24 Devuan de cabeza.
Es simplemente Debian sin systemd.
Con todas las demás tienes el problema de que tienen repositorios muy pequeños y menos paquetes que Debian, que no actualizan temas de seguridad decentemente rápido etc...
Yo llevo con Devuan desde que salío y funciona como un reloj. Que es como funcionaba Debian antes de que la gente de Gnome la secuestrase con el systemd.

thingoldedoriath

#24 Basadas en Debian stable tienes una muy ligera (que no usa systemd): http://distrowatch.com/?newsid=09882
También tienes la Devuan que mencionas y la versión actual de Linux Mint Debian Ediction (actual) que tira de los repositorios de Debian Jessie (dentro de unos meses lanzarán otra LMDE que ya enlazará los repositorios de Debian Strech, que es la nueva stable), pero la LMDE actual tiene soporte hasta 2019: https://www.linuxmint.com/edition.php?id=233

Y no se si una distribución basada en Slackware, será muy "exótica" para ti Tienes unas cuantas, pero esta versión de Salix te ofrecerá una buena experiencia, si te gusta XFCE o Mate: http://distrowatch.com/table.php?distribution=salix

thingoldedoriath

#26 Ahora bien, systemd es contrario a la filosofía unix...
Sí. Sin duda.
abarca demasiado
Sí. Y eso será bueno para que Red Hat (y otros) sean más fáciles de administrar... lo cual permite a las empresas contratar personal menos formado... pero no para la solidez y estabilidad de los sistemas que lo incorporan...
su creador es un prepotente
Sí. Pero no es el único!! en el ecosistema Linux (y BSD) hay unos cuantos personajes conocidos por sus grandes contribuciones al software libre que son muy prepotentes
y traerá problemas.
Sí. Pero eso no será exclusivo de este software.
He aquí el primero.
Depende de que definamos como "problema"... para mi el primero fue la discusión que causó una brecha entre los desarrolladores de Debian. Eso si traerá problemas y mucha gente irá dejando de colaborar.

frg

#14 Acostúmbrate a "systemd". Todas las grandes lo han adoptado, por lo que ha llegado para quedarse. Me gustaría ver el nivel de los que se quejan de "systemd", ya que a mi tampoco me gusta, pero porque llevo muchos años utilizando "system V init" e "inittab", y los cambios cuestan. Con que se cumpla el primer objetivo de "systemd", unificar configuraciones de servicios entre distribuciones, me doy por satisfecho.

https://en.wikipedia.org/wiki/Systemd

deabru

#14 si llevas un par de meses y todo te va muy bien, ¿para qué te vas a cambiar? ¿todo por las quejas de los que odian systemd?

Si a ti te va bien y te gusta, no te hace falta cambiar.

D

No puede ser pero sin en Linux no hay virus

restevezes

Todo lo que decís es lo lógico, pero es lo que se critica cuando sale una vulnerabilidad en Windows : "es que al tener tanta cuota es normal que tenga más ojos", "con tener actualizado listo".... Etc

LeDYoM

#13 Ah si? cuantos ojos vigilan el código del windows?
Ah no, que no es abierto.

t

#25 Que sea cerrado no significa que nadie lo revise.

LeDYoM

#43 Claro que lo revisan. Pero no tanta gente.

Mister_Lala

A mí no me afecta, yo uso windows

c

#69 A mi tampoco, yo uso Linux.

1 2