>
>
> Rafael Ortiz
>
>
>
> 2009/11/4 Camilo Uribe <
camilo.uribe@...>:
>> On Wed, Nov 4, 2009 at 11:45 AM, Fernando Quintero
>> <
fernando.a.quintero@...> wrote:
>>> Hola Camilo,
>>>
>>> On Wed, Nov 4, 2009 at 12:09 AM, Camilo Uribe <
camilo.uribe@...> wrote:
>>>> On Tue, Nov 3, 2009 at 7:19 PM, Fernando Quintero
>>>> <
fernando.a.quintero@...> wrote:
>>>>> Hola a todos,
>>>>>
>>>>> Hago un reenvio de este mensaje para que observen unos puntos claves
>>>>> relacionados con la visión de OpenBSD con respecto a Linus y su Linux,
>>>>> Quizas los proyectos GNU/Linux completamente libres si terminan
>>>>> teniendo un mismo concepto acerca de estas cosas, lean sobre todo el
>>>>> punto #1 que expone Theo, acerca del bug de seguridad mas triste que
>>>>> ha tenido el kernel Linux en los últimos tiempos.
>>>>
>>>> Algo de contexto, para los que como yo no estaban enterados de esta
>>>> vulnerabilidad: Se encontró una vulnerabilidad que permite el
>>>> escalamiento de privilegios y es causada por NULL-pointer dereference,
>>>> el error fue rápidamente parchado en el kernel, Redhat ya saco
>>>> actualizaciones de seguridad y me imagino que las otras distros lo
>>>> harán muy pronto.
>>>>
>>>
>>> El verdadero punto es que el bug existia hace mas de 2 años (entonces
>>> no fue tan rápido), la gente de OpenBSD lo conocia y ya lo habia
>>> parchado en el sistema, pero Linux se negó a incluir el parche en el
>>> repositorio oficial porque como lo dice Theo, se rompia la
>>> compatibilidad con aplicaciones que acceden a página cero, como el
>>> WINE
>>
>> Luego de leer el hilo en la lista, esto fue lo que yo entendí:
>>
>> Hay un tipo de vulnerabilidad que permite explotar un NULL pointer
>> dereference bajo ciertas circunstancias y
>>
http://packetstorm.linuxsecurity.com/poisonpen/8lgm/ptchown.c es
>> comúnmente citado como la fuente publica mas vieja al respecto(1994).
>>
>> El equipo de openbsd conocía de la existencia de los NULL-pointer
>> dereference durante 2 años antes de parcharlo (estaban pensando la
>> manera mas elegante de resolverlo)
>>
>> En linux se implemento una solución para esto del NULL-pointer
>> dereference y para activarla se requiere que el archivo
>> /proc/sys/vm/mmap_min_addr tenga un valor diferente a 0, el gran
>> problema es que este archivo en los fuentes del kernel tiene el valor
>> 0 y varias distros lo ponen en 0 desde la instalación o lo cambian sin
>> avisarle al usuario (parece que ubuntu lo cambia al instalar wine)
>>
>>> El punto entonces es que dejamos de pensar en la seguridad, en
>>> los usuarios, en la libertad del software, solo por mantener
>>> compatibilidad con un producto que le hace la vida mas fácil a los
>>> windozeros, ves?.
>>
>> Creo que wine no solo le facilita la vida a los usuarios de Windows, a
>> mi por ejemplo me permite revisar si las paginas de mis aplicaciones
>> web se ven bien en internet explorer 7 (para ser mas exactos uso
>> playonlinux, pero este por debajo usa wine)
>>
>>> Yo estoy poniendo esto sobre la mesa porque se presentaron unas
>>> discusiones relacionadas con estos temas en las JSL. Ahora, el apunte
>>> que hacia especificamente, es que desde este otro lado BSDero se
>>> defiende ese tipo de principios tambien, entonces como es posible que
>>> dos comunidades (las de los linux bañaditos y los openbsderos) que
>>> apuntan a defender lo mismo no puedan ser compatibles?, se trabaja por
>>> lo mismo, los principios del free software, pero se termina
>>> discutiendo por las mismas cosas, LICENCIAS.
>>>
>>> Linus --> odia --> Theo
>>> Theo --> odia --> Linus
>>> Stallman --> odia --> Linus
>>> Linus --> no le importa stallman, pero pelea con la GPLv3
>>> Stallman --> odia --> Theo
>>> Theo --> odia --> stallman
>>>
>>> Jaja, de locos. El asunto termina en una LICENSE WAR y se olvida el
>>> concepto de libertad del software.
>>
>> Es una cosa curiosa pero una de las razones por las que me gusta el
>> mundo del software libre es por que cada quien es independiente y hace
>> lo que se le da la gana, lo cual no evita que como objetivo principal
>> o efecto secundario pueda ser de ayuda para otras personas.
>>
>> Además los grupos de desarrollo de los BSD's tampoco es que sean muy unidos:
>>
>> En
http://es.wikipedia.org/wiki/Theo_de_Raadt dice:
>>
>> "Theo de Raadt (nacido el 19 de mayo, 1968 en Pretoria, Sudáfrica) es
>> un ingeniero de software que actualmente reside en Calgary, Alberta,
>> Canadá. Es el fundador y líder de los proyectos OpenBSD y OpenSSH.
>> Antes, fue miembro fundador del proyecto NetBSD.
>>
>> De Raadt es conocido por sus formas beligerantes y confrontativas, lo
>> que le ha llevado a varias disputas con la comunidad de software
>> libre, aunque su mayor y más conocida discusión fue la que tuvo con el
>> equipo de NetBSD y que lo llevó a crear el proyecto OpenBSD. Debido a
>> esto, se ha ganado fama de decir siempre su opinión sin importarle lo
>> que los demás piensen, o las consecuencias de sus palabras.
>>
>> En 2004, la FSF le otorgó el premio FSF Award for the Advancement of
>> Free Software"
>>
>> Theo es independiente y hace lo que se le da la gana, lo cual no evita
>> que como objetivo principal o efecto secundario pueda ser de ayuda
>> para otras personas :)
>>
>>> No voy a seguir opinando aqui, para los que quieran leer el hilo y no
>>> esten en la lista @misc, pueden seguirlo aquí:
>>>
http://marc.info/?l=openbsd-misc&m=125729287502801&w=2>>
>> Gracias por el enlace, me deja muy preocupado eso de que Ubuntu al
>> instalar wine, vaya dejando el sistema mas vulnerable (al poner 0 en
>> mmap_min_addr) sin ni siquiera avisarle al usuario.
>>
>>> Saludos.
>>>
>>>
>>>> Para mas información pueden ver:
>>>>
http://www.securityfocus.com/bid/36901>>>>
http://xorl.wordpress.com/2009/11/03/cve-2009-3547-linux-kernel-pipe-null-pointer-dereference-race-condition/>>>>
>>>>> ---------- Forwarded message ----------
>>>>> From: Theo de Raadt <
deraadt@...>
>>>>> Date: Tue, Nov 3, 2009 at 6:58 PM
>>>>> Subject:
http://www.theregister.co.uk/2009/11/03/linux_kernel_vulnerability/>>>>> To:
misc@...
>>>>>
>>>>>
>>>>> [bcc'd to Dan Goodin @ theregister]
>>>>>
>>>>> If anyone wants a choice quote from me about the recent Linux holes,
>>>>> this is what I have to say:
>>>>>
>>>>> Linus is too busy thinking about masturabating monkeys, he doesn't
>>>>> have time to care about Linux security.
>>>>>
>>>>> For the record, this particular problem was resolved in OpenBSD a
>>>>> while back, in 2008. We are not super proud of the solution, but it
>>>>> is what seems best faced with a stupid Intel architectural choice.
>>>>> However, it seems that everyone else is slowly coming around to the
>>>>> same solution.
>>>>>
>>>>> The commit message:
>>>>>
>>>>> CVSROOT: /cvs
>>>>> Module name: src
>>>>> Changes by:
deraadt@... 2008/06/24 15:24:03
>>>>>
>>>>> Modified files:
>>>>> sys/arch/alpha/include: vmparam.h
>>>>> sys/arch/amd64/include: vmparam.h
>>>>> sys/arch/arm/include: vmparam.h
>>>>> sys/arch/i386/include: vmparam.h
>>>>> sys/arch/sh/include: vmparam.h
>>>>> sys/arch/sparc/include: vmparam.h
>>>>> sys/arch/vax/include: vmparam.h
>>>>> sys/arch/sh/sh : trap.c
>>>>>
>>>>> Log message:
>>>>> On user/kernel shared page table machines, do not let processes map their
>>>>> own page 0, as discussed with miod (and many others previously, including
>>>>> art and toby). On sparc, make this __LDPGSZ because PAGE_SIZE is non-constant
>>>>> ok miod tedu
>>>>>
>>>>> There are four things interesting about this change:
>>>>>
>>>>> 1) The #1 reason why the Linux team has not commited this by default
>>>>> is because it breaks Wine, which wants to play with page 0 -- so
>>>>> basically they are resisting this for Windows binary compatibility
>>>>> Ironic, isn't it? If anyone else tells you that is not the #1
>>>>> reason, they are lying. We decided we don't care about Wine.
>>>>>
>>>>> 2) At least three of our developers were aware of this exploitation
>>>>> method going back perhaps two years before than the commit, but we
>>>>> gnashed our teeth a lot to try to find other solutions. Clever
>>>>> cpu architectures don't have this issue because the virtual address
>>>>> spaces are seperate, so i386/amd64 are the ones with the big impact.
>>>>> We did think long and hard about tlb bashing page 0 everytime we
>>>>> switch into the kernel, but it still does not look attractive from
>>>>> a performance standpoint.
>>>>>
>>>>> 3) Last week a bug was found in OpenBSD's kernel which was locally
>>>>> exploitable before the commit on Jun 24, 2008. Afterwards that fix,
>>>>> it simply becomes a kernel crash; you cannot gain priviledge from
>>>>> it. The reality is that kernel bugs will always exist, no matter
>>>>> how hard we try. Our focus therefore is always on finding innovative
>>>>> ideas which make bugs very hard to exploit succesfully. Bugs will
>>>>> exist. At least they should be more difficult to exploit.
>>>>>
>>>>> 3) Note the date of the commit, 2008/06/24. Interestingly, this commit
>>>>> was done 1 month before Linus posted this:
>>>>>
>>>>>
http://article.gmane.org/gmane.linux.kernel/706950>>>>>
>>>>> I'm glad we care about security and trying to make things better, and
>>>>> I am glad that Linus prefers to write articles about monkey
>>>>> masturbation. In life, everyone should stick to what they know the
>>>>> most about. Because Linus knows dick all about security research.
>>>>>
>>>>>
>>>>>
>>>>>
>>>>> --
>>>>> --------------
>>>>>
>>>>> Fernando Quintero
>>>>>
http://nonroot.blogspot.com/>>>>> *Just a nonroot User*
>>>>> _______________________________________________
>>>>> Lista de correo de Colibri
>>>>>
Colibri@...
>>>>>
http://listas.el-directorio.org/cgi-bin/mailman/listinfo/colibri>>>>>
http://slcolombia.org/Colibri/UsoLista>>>>>
http://slcolombia.org/Colibri/ContratoSocial>>>>>
>>>>> El Directorio, el sitio del Software Libre en Colombia:
>>>>>
http://www.el-directorio.org>>>>>
>>>>
>>>>
>>>>
>>>> --
>>>> Eventos tecnología, un solo portal con todos los eventos
>>>>
http://www.eventostecnologia.com>>>> _______________________________________________
>>>> Lista de correo de Colibri
>>>>
Colibri@...
>>>>
http://listas.el-directorio.org/cgi-bin/mailman/listinfo/colibri>>>>
http://slcolombia.org/Colibri/UsoLista>>>>
http://slcolombia.org/Colibri/ContratoSocial>>>>
>>>> El Directorio, el sitio del Software Libre en Colombia:
>>>>
http://www.el-directorio.org>>>>
>>>
>>>
>>>
>>> --
>>> --------------
>>>
>>> Fernando Quintero
>>>
http://nonroot.blogspot.com/>>> *Just a nonroot User*
>>> _______________________________________________
>>> Lista de correo de Colibri
>>>
Colibri@...
>>>
http://listas.el-directorio.org/cgi-bin/mailman/listinfo/colibri>>>
http://slcolombia.org/Colibri/UsoLista>>>
http://slcolombia.org/Colibri/ContratoSocial>>>
>>> El Directorio, el sitio del Software Libre en Colombia:
>>>
http://www.el-directorio.org>>>
>>
>>
>>
>> --
>> Eventos tecnología, un solo portal con todos los eventos
>>
http://www.eventostecnologia.com>> _______________________________________________
>> Lista de correo de Colibri
>>
Colibri@...
>>
http://listas.el-directorio.org/cgi-bin/mailman/listinfo/colibri>>
http://slcolombia.org/Colibri/UsoLista>>
http://slcolombia.org/Colibri/ContratoSocial>>
>> El Directorio, el sitio del Software Libre en Colombia:
>>
http://www.el-directorio.org>>
> _______________________________________________
> Lista de correo de Colibri
>
Colibri@...
>
http://listas.el-directorio.org/cgi-bin/mailman/listinfo/colibri>
http://slcolombia.org/Colibri/UsoLista>
http://slcolombia.org/Colibri/ContratoSocial>
> El Directorio, el sitio del Software Libre en Colombia:
>
http://www.el-directorio.org>
