دسته: مقاله

یک باگ جدید و جدی توی glibc دیده شده. یک باگ خیلی جدی. کتابخونه سی گنو یا همون glibc یکی از بخش‌های بسیار مهم اکثر توزیع های لینوکس است. حالا یک باگ توی این کتابخونه هزاران برنامه لینوکس رو تهدید می کنه. این باگ نسبتا شبیه باگ سال گذشته GHOST است (CVE-2015-0235) که اجازه می داد از راه دور کدهایی روی ماشین اجرا بشه.

باگ فعلی (CVE-2015-7547) یک باگ سرریز استک (stack based buffer overflow)‌ است در بخش کلاینت دی ان اس glibc که وظیفه تبدیل کردن آدرس های قابل فهم برای آدم ها (مثلا jadi.net) به آی پی رو داره.

کلیت ماجرا

این مشکل وقتی دیده می شه که یک دستگاه دارای باگ سعی کنه به یک DNS سرور بدطینت ریکوئست بزنه و نتایج رو توی حافظه بذاره (تابع getaddrinfo). چیزی که دی ان اس سرور بدخواه بدجنس بر می گردونه ممکنه حاوی کدی باشه که کار مخربی می کنه و نشستنش توی حافظه – در سطرح تئوری – باعث اجراش خواهد شد. البته در عمل این اتفاق تقریبا غیر ممکنه چون انواع مکانیزمهای امنیتی جلوی اونو خواهند گرفت (شامل ASLR). حالت بعدی اینه که حمله کننده به شکل مرد میانی درخواست های دی ان اس رو خودش بر می گردونه و بینشون کدهای نامناسب درج می کنه.

چه کسانی مبتلا هستن

تقریبا هر سیستم لینوکس جدید با این مشکل مواجه خواهد بود. این باگ از جی لیب سی ۲.۹ به بعد ظاهر شده و در نتیجه هر برنامه ای که با استفاده از توابع glibc به شبکه دسترسی پیدا می کنه ریسک داره. نمونه ها؟ اس اس اچ،‌ سودو و کرل. لیست کامل می خواین؟ تقریبا غیر ممکنه. بهتره تصور کنین اکثر برنامه های مرتبط با شبکه و حتی زبون های پایتون، پی اچ پی، روبی، … و البته برنامه‌های بیت کوین.

مشکل دقیقا کجاست

محققین گوگل می گن که بخشی از glibc که به دی ان اس ریکوئست می زنه مشکل داره. این مساله به جی لیب سی تذکر داده شده و اصلاح شده و همه باید آپدیت کنیم… حداقل در طول هفته آینده دائما آپدیت کنیم. مهندسین گوگل می گن:

جی لیب سی ۲۰۴۸ بایت برای استک الوک می کنه تا جواب دی ان اس از _nss_dns_gethostbyname4_r رو توش ذخیره کنه. جلوتر در تابع send_dg و send_vc اگر جواب بزرگتر از ۲۰۴۸ بایت باشه، بافر جدیدی درست می شه و پوینترها آپدیت می‌شن. در شرایط خاص ناهماهنگی بین بافر استک و تخصیص دهی جدید هیپ پیش می یاد و نتیجه این می شه که بافر استک برای ذخیره کردن جواب دی ان اس استفاده می شه، حتی در مواقعی که جواب بزرگتر از اندازه این بافر باشه. این مساله موجب اورفلوی بافر استک می شه.

(فارسی گفتن اینها عجیب می شه. متن اصلی اینجاست).

اثبات شده

سه شنبه مهندس گوگل فرمین سرنا یک اکسپلویت برای اثبات این مساله منتشر کرد. با استفاده از این اثبات مفهوم می شه چک کرد که آیا برنامه های ما در مقابل این مشکل صدمه پذیر هستن یا نه (هستن!).

اصلاح

مهندسین گوگل با همراهی ردهت یک پچ برای حل مشکل ارائه کردن. اما مساله اینه که حالا تک تک توزیع‌ها باید glibc خودشون رو آپدیت کنن و هر برنامه ای که استاتیک این کتابخونه رو لینک کرده، باید خودش رو آپدیت کنه. مثل همیشه در دنیای لینوکس وقتی مشکلات دیده بشن سریعا حل می شن و من و شما فقط کافیه آپدیت کنیم. پس در روزهای آینده حواستون به آپدیت ها باشه منتظر آپدیت های زیاد باشین. همچنین اگر از سروری محافظت می کنین که به اینترنت وصل نیست، دردسرهای نسبتا زیادی منتظر شما خواهد بود چون آپدیت کردن این سیستم‌ها معمولا دردسره و در مواردی شاید نتونین به سادگی فقط glibc رو آپدیت کنین.

آیا من و شما در خطریم؟

در حالت معقول نه. کامپیوترهای ما به دی ان اس سرورهای بدجنس وصل نمی شن و اگر از لینوکس هایی به روز استفاده کنیم مشکل همین الان هم تا حدی برطرف شده و فقط در روزهای آینده باید آپدیت‌ها رو جدی بگیریم همچنین اندرویدها به جای glibc از بیونیک استفاده می کنن که این مشکل رو نداره و اکثر لینوکس های درونکار( امبدد؟ )‌ هم مشکلی نداره چون اکثرا uclibc هستن.

نکته باقیمانده

به سادگی در کامنت ها مطرح کنین و سعی می کنم در سطح سواد و وقت جواب بدم و بقیه رو هم می سپریم به دوستان باسوادتر در کامنت ها (:

می دونم که این دوشنبه یادم رفت مطلب دوشنبه های آخر ما رو منتشر کنم. با تذکر دوستان یادم افتاد و حالا با دو روز تاخیر سری می زنیم به هر کسی که در طول این ماه از من خواسته سرویسش رو معرفی کنم. یادمون باشه که اگر دست به دست هم بدیم، اینترنت بهتری خواهیم داشت.

شخصی‌ها

• حسین که کلاس‌های فتوشاپ و سی اس اس داره، این کلاس‌ها رو به رایگان روی وب گذاشته. ویدئوهای رایگان آموزش فتوشاپ و ویدئوهای رایگان آموزش سی اس اس
• گیک بوی هم تجربیاتش رو توی وبلاگش می نویسه
• فرزاد پنج کتاب انگلیسی برای افزایش سوادش در مورد سکس خونده و تجربه‌اش ازبه هرحال اونها رو با شما شریک شده. دیدن فهرستش جالبه
• این مطلب صوتی در مورد جامعه فرسوده یا در ستایش فراغت هم به نظرم ارزش گوش کردن داره
• دوستمون احمد طحانی‌ هم یک سرویس درست کرده به اسم تلپاتی و نکته جذاب‌ترش اینه که برای ساختش از داکر استفاده کرده و آموزش استفاده از داکر رو به شکل رایگان در ۱۷ قسمت با ما شریک شده و البته به همراه اسلایدهاش و مخزن مربوط به ویدئو. ذکر این نکته لازمه که ویدئوها تا جنکینز پیش رفتن و بقیه‌اش رو هنوز استاد درس نداده (:
• گروهی از دوستان من هم دارن روی یک سیستم موبایل بانک کار می کنن. اگر حال و حوصله، اینترنت و وقت و کنجکاوی داشتین پرسشنامه کوتاهشون رو پر کنین تا انتظاراتتون از یک موبایل بانک رو گفته باشین

سایت‌ها

• پلی کد سایتی است برای علاقمندان متن باز که یک کانال تلگرام هم داره.
• نظر کلی من اینه که اینهمه تاکید خام روی استارتاپ ها اشتباهه و باید به شکل پایه ای روی زیرساخت ها و صنعت نرم افزار کار بشه. نظر همراه این نظرم اینه که یکی از این زیرساخت ها داشتن هاستینگ مناسب استارتاپ است. هاستینجا تلاشی است برای حل این مشکل. یک هاستینگ که می شه بهش اس اس اچ کرد، دستورهای معمولی مثل (git، composer، npm و …) رو زد و دیتابیس های متنوع داشت. من استفاده نکرده ام ولی ایده شون عالیه و امیدوارم خوب پیش بره. تا آخر امسال هم آفرهای ویژه دارن.. اوه! با تشکر از پیشنهادشون، کد تخفیف jadi هم به شما ۲۵٪ روی هاستینگ و وی پی اس تخفیف می ده!
• سایتی هم داریم برای اخبار فناوری و آموزش. البته می‌گه که علاقمنده شکل اخباری متفاوت از دیگران داشته باشه: www.fitn.ir

تلگرام

• یک ربات برای صاحبان کانال! ربات تلگرامی «وردست» به آدرس telegram.me/vardast_bot رباتی است که با کمک اون صاحب یک کانال، میتونه تصاویر و ویدئوها رو کپشن بزنه و به همراه سایر مطالب، همون لحظه یا بعدا (در زمان خاص یا در صف انتشار با وقفه اتوماتیک) درج کنه.
• ربات ساقی هم براتون رباعیات خیام رو می فرسته. هم به شکل اتفاقی و هم به شکل جستجو به دنبال کلمات. لینک ربات اینجاست و سورسش روی گیت‌هاب و اینهم معرفی روی وبلاگ نویسنده‌اش.

اپ‌ها

• اخبار نمی خونین؟ پس لازمه این رو نصب کنین:‌ خلا.صه، یک اپ – فعلا آیفون – برای خوندن خلاصه اخبار.

خبر خوب برای خوره‌های اندروید و لینوکس و تکنولوژی اینه که بالاخره می‌تونن رو گوشی‌شون یک لینوکس داشته باشن. این کار با سیستم عامل جدیدی به اسم مارو او اس ممکن شده. این سیستم اجازه می ده با یک کابل اچ دی ام آی، تلفن شما تبدیل به یک سیستم عامل لینوکسی بشه. در حالت عادی شما روی تلفن یک اندروید ۵.۱ و یک دبیان خواهید داشت.

‌ در زمان اتصال موبایل به اچ دی ام آی مانیتور، دبیان به شکل خودکار لود خواهد شد. در این زمان اندروید هم در حال اجرا است و شما می تونین تماس هایی که بهتون می رسه رو دریافت کنین. منبع

به شکل پیش‌فرض روی این سیستم هیچ چرندی نصب نیست و احتمالا تجربه جالبی است اگر شما یک گوشی اضافی با قابلیت‌های مدرن دم دست دارین یا می خواین گوشی هر روزه‌تون رو عجیب غریب کنین. من تستش نکردم چون احتمالا بسیار سنگین و خسته خواهد بود. فان من در این روزها برای گوشی دبیان نو روت است که یک دبیان روی گوشی شما بالا می یاره.