🟡 Коротко про две уязвимости в OpenSSH, которые нашли в июле.
На прошлой неделе команда Qualys выявила критическую уязвимость regreSSHion под номером CVE-2024-6387. Она позволяла добиться удалённого выполнения кода с правами root без прохождения аутентификации в Linux-системах, использующих библиотеку Gnu C (glibc).
Причиной её появления стало изменение, вошедшее в состав выпуска OpenSSH 8.5. В итоге 1 июля выпустили патч и проблему устранили. regreSSHion просуществовала почти 4 года.
Любопытно, что эту ошибку команда OpenSSH уже устраняла в 2006 году (тогда она получила номер CVE-2006-5051). Поэтому новая-старая уязвимость и получила такое кодовое имя.
Во время изучения regreSSHion выявили ещё одну уязвимость. Она позволяет добиться удалённого выполнения кода без прохождения аутентификации. Ей присвоили номер CVE-2024-6409.
Уязвимость есть в пакетах openssh:.
• дистрибутива Red Hat Enterprise Linux 9 (на основе OpenSSH 8.7)
• Fedora Linux 36 и 37 (на основе OpenSSH 8.7 и 8.8).
Она оказалась менее опасной, но всё равно неприятной. Чтобы её заблокировать, нужно в
sshd_config выставить параметр "LoginGraceTime=0".⚫️ На InfoQ вышла статья о том, как сделать разработку вашего ПО более экологичной. Автор публикации Сара Бергман предлагает оставить за рамками статьи рассуждения об изменении климата и показывает уже готовые решения проблемы. По её словам:
Софт только выиграет от действий по сокращению выбросов CO2. А экологичная разработка является более дешёвой, производительной, надёжной и устойчивой.
Чтобы прочитать её статью — кликните сюда.
🟡 CNCF создала новую рабочую группу для разработки cloud native приложений. Она нужна для того, чтобы сократить дистанцию между разработчиками и проектами CNCF.
Группа создана в рамках отдела TAG App Delivery. Он собирает отзывы о функционале инструментов и приложений, передаёт их командам проектов и разрабатывает итоговую документацию.
Сопредседателями рабочей группы стали Дэниел Ох из Red Hat, Томас Витале из Systematic и Маурисио Салатино из Diagrid. Узнать больше о том, как функционирует новая группа, можно здесь.
#DevOps #OpenSSH #CNCF