Тысячи путей ведут к заблуждению, к истине - только один.

- Девушка , Ваши документы ? ...

Открыт код классического почтового клиента Eudora
Wed, 23 May 2018 09:09:46 +0300

Kubuntu прекращает подготовку сборок для 32-разрядных систем x86
Mon, 21 May 2018 12:24:33 +0300

Компания Tesla частично опубликовала GPL-код для формирования системного окружения
Mon, 21 May 2018 08:31:05 +0300

Lubuntu переходит на пользовательское окружение LXQt
Sat, 19 May 2018 09:24:55 +0300

Представлена вторая версия протокола Git
Fri, 18 May 2018 21:50:53 +0300

В Chrome изменится индикация безопасных соединений
Thu, 17 May 2018 22:24:42 +0300

Сенат США проголосовал за отмену решения FCC, касающегося сетевого нейтралитета
Thu, 17 May 2018 10:53:01 +0300

Прекращена разработка дистрибутива Korora
Wed, 16 May 2018 23:20:47 +0300

Компания Canonical опубликовала заявление, связанное с вредоносным ПО в Snap Store
Tue, 15 May 2018 23:33:17 +0300

Фонд свободного ПО сертифицировал программатор Zerocat Chipflasher
Tue, 15 May 2018 22:37:05 +0300

Из файлового менеджера GNOME будет удалена возможность запуска исполняемых файлов
Tue, 15 May 2018 21:41:05 +0300

В openSUSE Leap появится поддержка атомарного обновления системы
Tue, 15 May 2018 11:27:56 +0300

Google планирует обязать OEM-производителей выпускать обновления безопасности для Android-устройств
Sat, 12 May 2018 11:00:33 +0300

GitHub опубликовал отчёт о блокировках в 2017 году
Fri, 11 May 2018 23:06:21 +0300

Опубликованы макеты мобильного интерфейса GNOME для смартфона Librem 5
Fri, 11 May 2018 10:25:21 +0300

Новости OPENNET
Новости

В недавно выпущенном релизе Firefox 60 была существенно улучшена sandbox-изоляция для платформы Linux, но к сожалению данное новшество не было отражено в официальном списке изменений. Процессы обработки контента, в которых осуществляется отрисовка web-страниц и выполнение JavaScript-кода, теперь лишены возможности прямой установки сетевых соединений и использования Unix-сокетов для обращения к локальным сервисам, таким как PulseAudio. Также теперь блокируются любые обращения к System V IPC (исключение сделано только для взаимодействия с fglrx и VirtualGL). В настройках about:config блокирование сетевого доступа ассоциировано с четвёртым уровнем изоляции в параметре security.sandbox.content.level.

Sandbox-изоляция значительно усложняет эксплуатацию уязвимостей в web-движке и вынуждает для проведения атаки на систему применять более сложные комбинации, охватывающие несколько уязвимостей в разных подсистемах. Блокирование сетевого доступа в процессах обработки контента позволяет исключить все нештатные пути отправки трафика, например, при включении работы через прокси в настройках доступ теперь возможен только через прокси, даже в случае эксплуатации уязвимости и попытки прямой установки соединения (особенно изменение актуально для защиты от атак по деанонимизации пользователей Tor Browser). Не менее важна блокировка доступа через unix-сокеты, так как эта возможность позволяет обратиться от имени пользователя к локальным сервисам, RPC-интерфейс которых допускает команды, в результате которых можно выполнить код в системе.

Блокировка реализована через запрет системных вызовов, таких как connect, и помещение процесса в отдельное пространство имён идентификаторов пользователя (user namespaces), по аналогии с тем как реализуется изоляция для контейнеров. Исключение сделано только для протокола X11, который применяется для отображения графики и приёма событий ввода (в будущих выпусках планируют реализовать защиту и для канала связи с X11).

Помимо ограничения сети в прошлых выпусках Firefox также была применена изоляция доступа к файловой системе (используется chroot в пустой каталог), ограничен доступ дочерних процессов Firefox к системным вызовам (используется Seccomp-bpf), ограничено взаимодействие со сторонними процессами, исключён доступ к разделяемой памяти и видеоподсистеме.

В обычных условиях для настройки sandbox в Firefox требуется предоставление полномочий CAP_SYS_ADMIN, CAP_SYS_CHROOT и CAP_SET(UG)ID, которых достаточно для получения полноценных прав пользователя root. Применение user namespaces позволяет получить необходимые права в отдельном окружении без поднятия привилегий основного процесса. Но из-за обилия уязвимостей, которые можно эксплуатировать только при включенном user namespaces, данную возможность часто отключают, например, по умолчанию user namespaces отключен в Debian и Red Hat Enterprise Linux, но активен в Ubuntu и Fedora.

61.2610 72.2390 0.552 9.6162

НОВОСТИ: Второй бета-выпуск FreeBSD 11.2 Mon, 21 May 2018 11:46:54 +0300

Сформирован второй бета-выпуск FreeBSD 11.2. Выпуск FreeBSD 11.2-BETA2 доступен для архитектур amd64, i386, powerpc, powerpc64, sparc64, aarch64 и armv6 (BEAGLEBONE, CUBIEBOARD, CUBIEBOARD2, CUBOX-HUMMINGBOARD, RPI-B, RPI2, PANDABOARD, WANDBOARD). Дополнительно подготовлены образы для систем виртуализации (QCOW2, VHD, VMDK, raw) и облачных окружений Amazon EC2. Релиз FreeBSD 11.2 запланирован на 27 июня.

???????@Mail.ru Opera Firefox INFOBOX - хостинг Google Chrome