Linux Kernel CVE-2017-18017 の Poc を書いて検証した - hibomaの日記
表題の通り CVE-2017-18017 の PoC を書いてどのような影響があるのを検証・観察した ⚠️ 一年以上前に修正パッチが出ている CVE です CVE の Description The tcpmss_mangle_packet function in net/netfilter/xt_TCPMSS.c in the Linux kernel before 4.11, and 4.9.x before 4.9.36, allows remote attackers to cause a denial of service (use-after-free and memory corruption) or possibly have unspecified other impact by leveraging the presence of xt_TCPMSS in an ipt
CentOS7.5 の fsnotify がレースコンディションを起こすバグを nginx + td-agent + in_tail プラグインで踏む - hibomaの日記
2018/7/18 追記 3.10.0-862.9.1.el7 で fix されました hiboma.hatenadiary.jp 2018/7/4 追記 最新の情報はこちらにまとめています hiboma.hatenadiary.jp 2018/6/16 追記 CentOS Plus の kernel-plus では修正が入っています. 詳しくはこちらをご覧ください hiboma.hatenadiary.jp エントリの概要 CentOS7.5 の fsnotify() がレースコンディションを起こすバグを、 nginx + td-agent (fluentd) + in_tail プラグインで踏んだ際の調査内容を記していきます. イントロダクション このエントリを書いた時点では、CentOS 7.5.1804 以降でリリースされているカーネルは 3つありますが、カーネルの fsnotif
20分でわかるgVisor入門
2018年5月28日開催 『Container SIG 2018 Summer』のスライド資料です。Read less
Linux container update
2. Who am I • Linux メモリ管理コア開発者 • MM Summit(上位20人のコア開発者会議）５ 年連続招待 • Ruby core committer • コミット率TOP10コミッタのうちの一人 • ボストン在住、Red Hat常駐 • Herokuは使ったことがありません 4. What is Container • むつかしい言い方をすると Operating system– level virtualization • FreeBSD jail が嚆矢 • Containerという用語を最初に使い始めたの はSolaris • リソース(CPU, memory, IO, etc)の分離 + 名前 空間(pid, IP adress, chroot)の分離 + (SELinux) • ここ二年ぐらいで急速に注目度アップ 5. Linux v2.6.32 • 20
mruby を Linux カーネル内で動作させる（2017 ver） : DSAS開発者の部屋
このエントリは KLab Advent Calendar 2017（兼 mruby Advent Calendar 2017）の 12 日目の記事です。 今年は（前半は）Keepalived にフルタイムでコントリビュートしていたり（後半は）ひたすら mruby をいじっていたりと、実に OSS 充な一年だった @pandax381 です。 タイトルにある試みについては、2015 年の時点で東京大学の品川先生が「mruby を Linux カーネル内で動作させる」という素晴らしい記事を書かれていて、Kernel module に組み込んだ mruby が動作することを実証されています。 mruby をカーネル内で動作させるために大きく問題となるのが、浮動小数点演算です。mruby は Float を標準的なクラスとして提供していると共に VM 内部でも浮動小数点演算を行っている一方で、Ke
Debugging an evil Go runtime bug
Preface I’m a big fan of Prometheus and Grafana. As a former SRE at Google I’ve learned to appreciate good monitoring, and this combination has been a winner for me over the past year. I’m using them for monitoring my personal servers (both black-box and white-box monitoring), for the Euskal Encounter external and internal event infra, for work I do professionally for clients, and more. Prometheus
Out of memory and no killable processes... のカーネルパニックを起こしたい - hibomaの日記
イントロ dsas.blog.klab.org こちらのエントリを拝見したのだが Out of memory and no killable processes... というログを出してカーネルパニックするケースがあるのだなと初めて知った。 幸いにして、過去に同様のメッセージを出すカーネルパニックには遭遇したことがない。あるいはログが取れてなくて気がつかなかっただけかもね! モチベーション 故意に異常を起こして、このカーネルパニックを見てみたい 🔥💀 Out of memory and no killable processes ... のコード 該当のログを出してカーネルパニックするコードは out_of_memory に書かれている (ソースは CentOS7.4 1708 ) /** * out_of_memory - kill the "best" process when w
karky7のブログ: iotopが意外といいんじゃないか
IOのread、writeがプロセスごとに取れる ゴールデンウィーーークもそろそろ終了、アルチューハイマーになったこの体を元にもどすのに、リハビリが必要な時期に...どうでもいいですが... いきなり話、違う話 iostatとかでも取れるんだけど、デバイスごとのIOの統計が上がってくるので、もうちょい細かいレイヤーでそれが見たいときがある。なんか無いかとportageツリーをさまよっていたら、iotopなるものをを発見。 カーネルのオプションが多分必要なので、確認してね CONFIG_TASK_IO_ACCOUNTING CONFIG_TASK_DELAY_ACCT CONFIG_TASKSTATS CONFIG_VM_EVENT_COUNTERS で、iotopをインストール cuomo@ugui7 ~ $ emerge sys-process/iotop 暇なので、kernelの方も覗
The Linux Kernel API
This documentation is free software; you can redistribute it and/or modify it under the terms of the GNU General Public License as published by the Free Software Foundation; either version 2 of the License, or (at your option) any later version. This program is distributed in the hope that it will be useful, but WITHOUT ANY WARRANTY; without even the implied warranty of MERCHANTABILITY or FITNESS
カーネルモジュールで Hello World !
Linux のカーネルモジュールで Hello World してみる。insmod、rmmod した時に dmesg にログを吐くだけの単純なもの。試した環境は、CentOS7 (3.10.0-123.4.4.el7.x86_64)。 カーネルモジュールの作成 適当なディレクトリを作成 #include <linux/module.h> #include <linux/init.h> static int __init helloworld_init(void) { pr_info("Hello World!\n"); return 0; } static void __exit helloworld_exit(void) { pr_info("Goodby World.\n"); } module_init(helloworld_init); module_exit(helloworld
Kernel/BuildYourOwnKernel - Ubuntu Wiki
This page describes how to build the kernel. The majority of users that are interested in building their own kernel are doing so because they have installed Ubuntu on their system and they wish to make a small change to the kernel for that system. In many cases the user just wants to make a kernel configuration change. The purpose of this page is to give that user a minimum amount of information f
カーネルモジュール作成によるlinuxカーネル開発入門 - 第一回 hello world - Qiita
はじめに 本記事の内容はUbuntu16.04でのみ確認しています。同名の電子書籍においてはUbuntu 18.04に対応しています。 本記事の目的は、linuxのカーネルモジュール(以下カーネルモジュール)というものの作成を通じてlinuxカーネル(以下カーネル)の開発に最低限必要な知識をつけることです。C言語のポインタがわかる程度の開発スキルがあれば多分読めると思います。 本記事は、過去にセキュリティ&プログラミングキャンプ2010というイベントの中のLinux開発者育成コースにおいて使用した資料を加筆、修正したものです。１つの記事に納めるのは無理がある分量なので、(不定期)連載という形式をとることにしました。 本記事に記載されているコードを実際に試すためには、仮想化機能を持つCPUを搭載したPCにインストールされたUbuntu16.04が必要です。CPUの仮想化機能を持っているどうか
kpatchはhot patchをどうやって作っているのか調べてみる - φ(・・*)ゞ ｳｰﾝ カーネルとか弄ったりのメモ
Red HatがLinuxカーネルにライブパッチするツールとしてkpatchを公開したのでそれはどうやってhot patchを作るのかを調べてみる。 kpatchのソースコードはgithubに置かれている。 kpatchはパッチの作成を行うモジュール群、パッチを当てるモジュール、両者を行うためのkpatchというbashスクリプトの３種類で構成されているけど、そのうちkpatchコマンドはラッパーみたいなものなので特に気にしない。kpatchの場合、patchを当てるモジュールはカーネルモジュール（kpatch.ko）、パッチの形式もカーネルモジュール（kpatch-$PATCHNAME.ko）となっている。 あ、hot patch作成の流れではソースコードレベルのpatchと、バイナリパッチの2種類があるので前者はpatch、後者はhot patchと呼ぶことにする。 基本的な流れは以下
第443回 再起動なしにカーネルを更新する「Canonical Livepatch Service」 | gihyo.jp
Ubuntu Weekly Topicsの2016年10月21日号でも伝えているように、再起動をすることなくカーネルを更新できる「Canonical Livepatch Service」が発表されました。今回はこのサービスの使い方と仕組みについて紹介します。 「Canonical Livepatch Service」とは 「Canonical Livepatch Service」は、カーネルを再起動することなくセキュリティフィックスを適用するサービスです。サービスそのものの概要はTopicsを参照してください。仕組みとしてはKernel 4.0で実装され、Ubuntu 16.04 LTSから有効化されたCONFIG_LIVEPATCHを使っています。 カーネルのLivepatch機能とサービス側の都合により、このサービスを利用するにはいくつかの制約が存在します。 Intel/AMDの64ビ
TIME_WAITに関する話
3. 自己紹介 - まぁまぁ MySQL でご飯食べてます - 一時期は Resource Monitoring や KVS にも 力入れてました - ネットワーク的には素人です - Linuxとハードウェアは嗜む程度 - disk I/O にはむかしから興味あります - その他 slideshare はこちら - http://www.slideshare.net/takanorisejima/ 4. 本日のお題 - kernel 新しくしたりすると、TCP的に意識したほ うが良い変化が見つかるので - 今日は、Webアプリケーションサーバの観点か ら、 connect(2) する際に気になる TIME_WAIT について、書いてみようかと思います - 有識者からのマサカリを、強く歓迎いたします 5. 最初に参考資料 - この二つの記事を読んでいただけば、それで概 ね良いと思うんですが
Linuxのschedのpriorityとリアルタイムシステムについて - Qiita
はじめに Linuxでいわゆるリアルタイムシステムを指向するときはsched(7)のpriority値を意識することになるが、個人的にいつもpriorityの値を相対的にしか見られず、絶対的にかつどっちが上・下かについてわからなくなってしまうので、そんな自分のためにメモ書きしておくことにした・・・つもりが、なにか途中から趣旨を間違えた記事になってしまった。本当は「priority一覧表」がほしかっただけだったのに... なお、Linux-4.10くらい、procps-ng-3.3.12くらい、util-linux-2.29.2くらいを見ています。 schedのpolicyとpriority値 Linuxでは、ユーザプログラム・kernelスレッド問わず、タスクにsched policyを設定できる。下記の上3つがいわゆるリアルタイムスケジューリング、下3つがいわゆるタイムシェアスケジューリ
カーネルの観点から見たLinuxKit - Qiita
はじめに Docker社はDockerCon2017において、Dockerコンテナの実行にフォーカスした軽量Linuxである、LinuxKitをリリースしました。 以下関連URLです。 Docker、「LinuxKit」を発表。コンテナランタイムのためだけにゼロから開発されたセキュアなLinux Subsystem。DockerCon 2017 ANNOUNCING LINUXKIT: A TOOLKIT FOR BUILDING SECURE, LEAN AND PORTABLE LINUX SUBSYSTEMS 本記事はLinuxKitについて網羅的な説明をすることではなくて、LinuxKitに同梱されているカーネルがどのようなものかをざっと眺めることです。なぜカーネルだけなのかというと、単に私がカーネル屋さんなのでカーネルに興味があっただけです。 本記事のLinuxKitの対象バージ
[Debug] ptrace によるデバッグ - th0x4c 備忘録
#include <sys/ptrace.h> long ptrace(enum __ptrace_request request, pid_t pid, void *addr, void *data); request にアタッチしたプロセスに何を行うかを指定する。 例えば、以下が指定できる。(参考: man ptrace) PTRACE_ATTACH pid で指定したプロセスにアタッチする。アタッチしたプロセスは子プロセスとしてトレースできるようにする。(引数 addr と data は無視される。) PTRACE_PEEKTEXT, PTRACE_PEEKDATA メモリの addr の位置を参照する。(引数 data は無視される。) PTRACE_PEEKUSR USER 領域のオフセット addr の位置を参照する。(引数 data は無視される。) PTRACE_POKET
Cレベルのライブラリコールを“Hijack”してみる その2 - libmruby.aを組み込む - ローファイ日記
少し間が空いたんですが udzura.hatenablog.jp こちらの続きです。 今回は LD_PRELOAD するshared objectにlibmruby.aを組み込み、mrubyで置き換え対象の処理を記述できるようにする。 組み込み用の libmruby.a を作成する git clone --depth=1 https://github.com/mruby/mruby vim mruby/build_config.rb # 後述する通り、共有ライブラリにするため -fPIC オプションを渡すよう書き換え # libmruby.a を単体で作る場合は、生成ファイルのフルパスを指定すると良い bash -c 'cd mruby && rake `pwd`/build/host/lib/libmruby.a' -fPIC はこの場所に書く。 MRuby::Build.new do
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
How To Write a Linux Security Module That Makes Sense For You