Včera byla objevena kritická chyba CVE-2017–9445 v systemd-resolved. Škodlivý DNS server může speciálně upravenou odpovědí systemd-reslolved shodit nebo eventuálně spustit škodlivý kód. Chyba je ve všech systemd od verze 223. Patch je součástí oznámení a v současnosti se testuje.
(zdroj: phoronix)
Co bys navrhoval použít místo systemd-resolved, třeba bind?
https://cve.mitre.org/cgi-bin/cvekey.cgi?keyword=isc%20bind
https://cve.mitre.org/cgi-bin/cvekey.cgi?keyword=unbound
I když si odmyslíš ty bugy na kernel, tak se toho v Unbound zatím našlo víc než v systemd-resolved.
systemd za 6 let 19 záznamů https://cve.mitre.org/cgi-bin/cvekey.cgi?keyword=systemd
unbound za 7 let 11 záznamů https://cve.mitre.org/cgi-bin/cvekey.cgi?keyword=unbound
ano, systemd neni jen DNS, přesto to o něčem vypovídá
Teď už zbývá jenom vyřešit, jak vám SysVinit bude překládat DNS názvy, nebo jak pomocí Unbound nastartujete službu.
Ale tady jde o neco jineho ... kdyz je chyba v resolvovani, tak mohu aktualizovat konkretni balik a hotovo - je uplne jedno jestli bind nebo cokoliv jineho. Se systemd ale nikoliv ... to aktualizuju moloch co dela uplne vsechno a rozhoduje o tom, jestli mi po pristim rebootu system nabehne nebo ne. Krom toho me zaplata moze donutit restartovat system, aby se aplikovana oprava.
Nevim co je vetsina. Ale jedna z nejpozivanejsich distribuci pouzivanych na serverech je debian ... rozbalim si 2,5MB velky balicek systemd_232_5.amd64.deb a co nachazim v CONTENT/lib/systemd/ ? Ano spravne ... systemd-resolved ... heureka !
Ale podle Vas je urcite uplne v poradku, vzit kus v podstate monolitickeho systemd a cast nahradit novejsi verzi ... tohle chce hodne odvahy. Mozna si zkuste zamyslet nad tim, jestli tohle neni ten duvod, proc konzervativni debian to ma v jednom balicku.
Ani odvahu napsat svuj prispevek pod vlastnim jmenem nemate ....
Vazne? On restart jedny tisiciny toho vseho neco oaktualizuje? Tak to je novinka ...
Vskutku ses imbecil jako spousta dalsich, protoze jestli se ti neco patchne, tak celej systemd, a pak to musis cely ... vypnout a zapnout, protoze to jinak vubec udelat nejde. Viz zminovanej debian.
Ta monokultura je třeba i v případě glibc (dokonce taky RCE v resolvingu) a dalších knihovnách.
Mimochodem systemd-resolved podle mě používá dost málo lidí, takže žádná monokultura se nekoná.
