BTC: 12275 USD
ETH: 383 USD
BCH: 251 USD
LTC: 49 USD
DASH: 75 USD
Перейти к содержанию


bm65

Пользователи
  • Публикаций

    13
  • Зарегистрирован

  • Посещение

2 Подписчика

Информация о bm65

  • Звание
    Rank №2

Посетители профиля

172 просмотра профиля
  1. В драйвере n_hdlc, поставляемом в составе ядра Linux, выявлена уязвимость (CVE-2017-2636), позволяющая локальному пользователю повысить свои привилегии в системе. Вызывающая уязвимость ошибка присутствует в ядре с 22 июня 2009 года. Подготовлен рабочий прототип эксплоита, который будет опубликован через несколько дней, чтобы дать пользователям время на обновление системы. Уязвимость вызвана состоянием гонки (race condition) при доступе к указателю n_hdlc.tbuf, которое может привести к двойному освобождению памяти и перезаписи не связанных с буфером данных через манипуляцию с параметрами протокола HDLC (High-Level Data Link Control). В случае ошибки передачи данных, одновременный вызов функций flush_tx_queue() и n_hdlc_send_frames() может привести к дублированию записи указателя n_hdlc.tbuf в список tx_free_buf_list и дальнейшему двойному освобождению памяти одного и того же буфера в функции n_hdlc_release(). Проблема выявлена в результате изучения причин краха ядра, инициированного при выполнении fuzzing-тестирования системных вызовов программой syzkaller. Для совершения атаки непривилегированный локальный пользователь может активировать HDLC для устройства tty, при этом модуль ядра n_hdlc будет загружен автоматически. Для успешной атаки не требуется наличие специализированного оборудования Microgate или SyncLink. Наличие уязвимости подтверждено в ядрах из RHEL 6/7, Fedora, SUSE, Debian и Ubuntu, ядро RHEL 5 проблеме не подвержено. Обновление пакетов с устранением уязвимости пока выпущено только для Ubuntu и Fedora Linux. Исправление также доступно в виде патча. В качестве обходного пути защиты можно блокировать автоматическую загрузку модуля n_hdlc, добавив строку "install n_hdlc /bin/true" в файл /etc/modprobe.d/disable-n_hdlc.conf. Если модуль n_hdlc уже загружен и используется, то для его выгрузки требуется перезагрузить систему. Дополнительно, можно упомянуть обнаружение ещё одной уязвимости в ядре Linux, применение которой ограничивается системами, в которых включена не активированная по умолчанию возможность DAX в XFS/EXT4, используемая для прямого доступа к устройствам постоянной памяти (persistent-memory, NVDIMM) в обход страничного кэша. Проблема проявляется в ядрах новее 4.5 при включении настроек CONFIG_ZONE_DEVICE, СONFIG_FS_DAX и CONFIG_BLK_DEV_PMEM. Уязвимость позволяет переписать любой файл на устройстве постоянной памяти, если этот файл может быть прочитан пользователем.
  2. Опубликовано экстренное обновление web-фреймворка Apache Struts (2.3.32 и 2.5.10.1), применяемого для создания web-приложений на языке Java с использованием парадигмы Model-View-Controller. В новых выпусках устранена критическая 0-day уязвимость (CVE-2017-5638), которая уже несколько дней используется злоумышленниками для получения контроля за сайтами, работающими под управлением Apache Struts. Уязвимость позволяет выполнить произвольный код на сервере, отправив запрос со специально оформленным содержимым HTTP-заголовка "Content-Type". Проблема проявляется в выпусках Struts с 2.3.5 по 2.3.31 и с 2.5.0 по 2.5.10, и вызвана ошибкой в коде Multipart parser, применяемом для разбора запросов, состоящих из нескольких частей (multipart/form-data). В случае, если заголовок Content-Type содержит некорректное значение, срабатывает исключение для отображения сообщения об ошибке, которое, если в тексте присутствует маска "multipart/form-data", также приводит к вызову обработчика Multipart parser и выполнению произвольного кода, передаваемого через выражение OGNL. Так как в открытом доступе опубликовано несколько вариантов рабочих эксплоитов и в сети уже зафиксирована автоматизированная вредоносная активность, эксплуатирующая данную уязвимость, всем пользователям Apache Struts рекомендуется в экстренном порядке выполнить обновление или блокировать работу компонента Jakarta Multipart parser, а также убедиться в отсутствии следов атаки на систему. Обновления пакетов с libstruts уже выпущено для Debian. В Ubuntu проблема остаётся неисправленной. В штатных репозиториях RHEL/Cent OS пакет Apache Struts не поставляется. В случае если web-приложение выполняется в контейнере Apache Tomcat, запускаемом с правами root, в результате атаки сразу может быть получен root-доступ к системе. Например, фиксируемые в логах попытки атак выполняют отключение пакетного фильтра и устанавливают бэкдор для удалённого управления системой или типовое вредоносное ПО:
  3. Специально обученные кошки!??
  4. У Вас есть машина? Может у Вас личный шофер?Пока только одно выяснили - все-таки микрофибра не помогает. Все видели видеоролик? - очередной развод,реклама из 90-х.В любом случае-ничего оригинального. Придумайте что-то другое.Ну,например там еще были установки с пылесосом(не такой,какой хотелось бы), что-то вроде этого,чтобы без тряпок(даже микрофибров),канализации...
  5. Очень грязные авто оно мыть не может,- ведь грязь должна стекать,а для этого нужна вода(много воды и,может быть,с применением моющих средств).Здесь не нужны никакие видеоролики. Я думаю,что для салона оно может подойти, а кузов - по старинке.
  6. С добросовестными водителями проблем никогда не будет. А вот для нарушителей и любителям организовывать подставы действительно стоит что-то придумать.
  7. Смотрел на видео. Кроме экономии воды и моющих средств,ничего нового. Все как прежде,да еще дышать паром...
  8. Все же, хотелось бы посмотреть видео с демонстрацией,если Вам нечего скрывать. Для многих,живущих в загородном - грязь,экологичность,энергоемкость не имеют большого значения.Важна легкость(мойки),эффект,безопасность(для металла тоже) Что касается парилки - в закрытом помещении-без сомнения.
  9. Здесь важно другое. Даже если удасться что-то такое изобрести,то оно найдет применение,например в цехах с доменной печью,как указывалась ранее, но не в случаях,которые указывал автор,-это невозможно.И это уже не революция,а обычные работы по экономии энергии,примеров которых не мало. По-моему,автор указывал именно на революционность идеи.
  10. Непонятно,зачем обсуждать и,тем более пытаться что-то сделать? Эти устройства крайне малоэффективны,требуют большого количества материалов(для деталей),по-моему,дорогостоящих. В литературе читал про такие системы - вместо всех этих баков,труб,воды... используется какой-то диэлектрик или полупроводник,который прямо переводит тепло в электричество.Но и они не нашли применения - очень малая мощность(по отношению к количеству материалов,габаритам и т.д.) И такие системы уже есть(см. выше - дв.Стирлинга), с 1816 года
  11. При использовании любого вида двигателя или топлива вокруг будет маленькая смерч,в любом случае. Для городских условий оно не годится.
  12. Исчерпывающий ответ. Еще можно добавить,что всякое получение энергии - это уравнивание разности потенциалов,т.е. в данном случае уравнивание температур комнаты и улицы. Придется выбрать одно - или обогрев комнаты или получение энергии. Во втором случае (получение энергии) температура комнаты должна постепенно сравниться с темп. улицы - тогда как....... Путаница какая-то.
×
×
  • Создать...