Re: duvidas sanadas ;-)
On Tue, 24 Apr 2001, Carlos Laviola wrote:
Olá Carlos!
Parece que temos propósitos diferentes!!! você me mandou uma correção já
muito velha.... o que mostra que você está desatualizado.... no minimo!
A minha intenção foi somente relatar minha experiência com alguns
programas e informar que o netscape funciona sim, como root, em alguns
sistemas, salvo o Debian como você mencionou e me corrigiu....obrigado!
Só que estes programas são muito mais que programas para script kiddies,
ou qualquer que seja o nome que eles recebem!!!
realmente eu só sei que que leio, o que parece que vc não tem feito!!!
E eu fui humilde o suficiente para PEDIR esclarecimentos, caso estivesse
enganado, e não este tipo de resposta!
Se quiser chamar a atenção de alguém... faço quando você estiver 100%
certo do que está fazendo!
A sua orientação é de 26 de Fevereiro!!!!
A minha é de 03 de Março!!! o que é tempo demais!!!! em termos de
segurança!
Com certeza já deve ter outra!!!
Se você quiser continuar num tom adequado a quem tentou ajudar e pediu
correções/informações no caso de incorreções, faça-o se puder, senão eu,
infelizmente, dispenso este tipo de comentário!
não estou competindo com ninguém, quero compartilhar e aprender e SÓ!!!
Assim como você não sabe quem sou e o que faço, eu também não tenho a
mínima idéia de quem você é ou o que faz, mas isto é pre-requisito para a
lista???
por isto existe(deveria existir) um compartilhamento de
informações nas listas! Todos sabemos algo que alguém não sabe! E eu quero
aprender!
E se você entente o que lê: leia a minha primeira postagem!
lá eu digo que alguns programas de 'segurança' (aspas em sua homenagem!),
exigem que somente o /root ou equivalente, tenham acesso a tais tipos de
programas! Eu não logo como root para tudo! Mas existem trabalhos
essenciais que devem ser feito por /root, ou equivalente, e se o sistema
for suficientemente seguro, não haverá problemas! Ou seja, executa-se o
trabalho e sai o /root de cena!
Dispenso comentários que não levam à nada!!!
Ricardo Castanho
===================================================================
Topic: sudo contains local buffer overflow
Category: ports
Module: sudo <==================================
Announced: 2001-04-23 <============================
Credits: Chris Wilson <chris@ritc.co.uk>
Affects: Ports collection prior to the correction date.
Corrected: 2001-03-07
Vendor status: Updated version released
FreeBSD only: NO <=======================
I. Background
sudo is a program that allowss a sysadmin to give limited root
privileges to users and logs root activity.
II. Problem Description
The sudo port, versions prior to sudo-1.6.3.7, contains a local
command-line buffer overflow allowing a local user to potentially
gain increased privileges on the local system.
III. Impact
Local users may potentially gain increased privileges on the local
system.
If you have not chosen to install the sudo port/package, then your
system is not vulnerable to this problem.
IV. Workaround
Deinstall the sudo port/package if you have installed it.
V. Solution
One of the following:
1) Upgrade your entire ports collection and rebuild the sudo port.
2) Deinstall the old package and install a new package dated after the
correction date, obtained from:
===========================================================================
> -----BEGIN PGP SIGNED MESSAGE-----
> Hash: SHA1
>
> sudo (1.6.3p6-1) unstable; urgency=high
>
> * new upstream version, fixes buffer overflow problem,
> closes: #87259, #87278, #87263
> * revert to using --with-secure-path option at build time, since the option
> available in sudoers is parsed too late to be useful, and upstream says
> it won't get fixed quickly. This reopens 85123, which I will mark as
> forwarded. Closes: #86199, #86117, #85676
>
> -- Bdale Garbee <bdale@gag.com> Mon, 26 Feb 2001 11:02:51 -0700
>
> On 24-Apr-2001 Ricardo Castanho de O. Freitas wrote:
> > On Tue, 24 Apr 2001, Carlos Laviola wrote:
> >> Falar de SEGURANÇA!!! mas logar como root pra tudo não combina muito.. Eu
> >> não me
> >> logo como root pra nada, mas consigo rodar programas como root usando sudo.
> >> Recomendo que você leia sobre ele ou sobre o super.
> > Boa recomendação se forem sanados antes os últimos expoits para sudo!
> > Como você falou, aliás dá para perceber, SEGURANÇA é assunto sério!
> > Mas rodar programas com falhas de segurança (como o sudo, recentemente...)
> > dá no mesmo!
>
> Você entende do que fala ou só repete o que lê nas listas?
>
> > Mas se o SAINT não for um programa de auditoria de segurança... oque é
> > então?
>
> Um programa pra ajudar script kiddies.
>
> > e o nmap?
>
> Outro.
>
> > E o Nessus?
>
> Mesma coisa.
>
> > E geram relatórios em html (menos o nmap!) pode ser outro browser, mas dá
> > no mesmo, não?
>
> Não.
>
> > Que só rodam como root, su e outros!?! Justamente por Segurança! Você
> > deixaria uma ferramenta destas fora do 'escopo' de um 'root'...?
>
> Não faço a menor idéia do que seja isso.
>
> > Veja que estou falando de segurança de um modo amplo...nossa e dos
> > 'outros'!!!
> >
> >> > Funcionou em Slack, Debian, FreeBSD e Cl6!
> >> ^^^^^^
> >> Netscape no Debian não roda como root, tem um wrapper que verifica se o uid
> >> é 0.
> > Eu fiz diversos teste em seguida e, agora não posso afirmar 100% se
> > consegui no debian, que foi desinstalado para testar o FreeBSD (que está
> > cheio de exploits!!!) e já foi deletado.... em breve testarei novamente!
> >
> > Por favor de houver alguma informação sobre estes programas de segurança
> > que eu não saiba, me avise! é muito importante estarmos cientes do que
> > estamos usando!!!
> > E até o momento não tive problema algum de segurança....(espero manter
> > assim ;-)
>
> Sinto-me suficientemente seguro.
>
> - --
> carlos laviola - icq #55799523
> $ chown us:us /your_base -R
> chown: what you say!!
>
> -----BEGIN PGP SIGNATURE-----
> Version: GnuPG v1.0.4 (GNU/Linux)
> Comment: For info see http://www.gnupg.org
>
> iD8DBQE65aj6ZAYCJzUW03IRApAVAJ42eIohAo7R1nfxkZ7F7dFRIBukYQCeMfHj
> Vm36uVSazvuMN80hfKJhCSM=
> =yO5F
> -----END PGP SIGNATURE-----
>
--
==========================================================
Ricardo C.O. Freitas <english.quest@best-service.com>
Linux user # 102240 => Seti@home user - SE440BX-2
PII-400-128Mb-2hd (13+4,3Gb) + Invicta 1L de Café Pilão©
CL6.0 + Pine4.31 (This msg is 100% MS Free!)
==========================================================
You should emulate your heros, but don't carry it too far. Especially
if they are dead.
Reply to: