Linuxプロセスアクセス制御の概要 - えんでぃの技術ブログ
SELinuxシリーズ 本記事は、SELinuxシリーズの1記事目です。 Linuxプロセスアクセス制御の概要 ←今ココ SELinuxの概要 SELinux Type Enforcement SELinuxの実践 (参考) SELinuxのRBAC、UBAC、MLS、MCS (参考) SELinux Module Policyのソースコード読解、ビルド 参考URL 1〜3記事目は、4記事目を理解するための前提知識をカバーしています。 4記事目が最も重要で、SELinuxの具体的な操作方法やコマンド、トラブルシューティング手順を紹介しています。 5記事目以降は参考情報です。 SELinuxの関連記事は、SELinuxタグから探せます。 一連の記事はFedora環境を前提として書いています。 FedoraやRHELに類するディストリビューションであればほぼ同等の挙動になると思いますが、他のデ
sudoの脆弱性情報(Important: CVE-2021-3156 : Baron Samedit) - SIOS SECURITY BLOG
OSSに関するセキュリティ・ツールの使い方・脆弱性等を紹介しています。 SELinux/Capability/AntiVirus/SCAP/SIEM/Threat Intelligence等。 OSS脆弱性ブログ01/27/2021にsudoの脆弱性情報(Important: CVE-2021-3156 : Baron Samedit)が公開されています。どのローカルユーザでもパスワード認証を経ずに特権昇格が出来るため、一度ローカルユーザのターミナルを開くことが出来れば権限昇格できてしまうという強烈なものです。今回はこちらの脆弱性の概要と、各ディストリビューションの対応について簡単にまとめてみます。 【01/27/2021 10:30更新】Amazon Linuxのリンク（ALSA-2021-1478)も加えました。また、詳細情報を追記しました。 【01/27/2021 14:30更新】O
Linuxカーネルに10年以上前から脆弱性が存在することが発覚
Seclistsに2月22日(協定世界時)に掲載されたメール「oss-sec: Linux kernel: CVE-2017-6074: DCCP double-free vulnerability (local root)」が、10年以上にわたってLinuxカーネルに存在していたとされるダブルフリー脆弱性(CVE-2017-6074)について伝えた。この脆弱性に関する修正パッチは2016年2月17日(協定世界時)の段階で公開されており、今後、順次Linuxディストリビューションで修正されたカーネルが提供されていくものと見られる。 投函されたメールによると、この脆弱性は2006年9月のLinuxカーネルバージョン2.6.18にすでに存在しているという。脆弱性が発生したのはさらに前の段階で、DCCPサポートが追加された2005年10月のLinuxカーネル2.6.14の段階にさかのぼると見られ
Linux 脆弱性の検証 Dirty COW (CVE-2016-5195) - Qiita
Linuxの勉強中にCOWを調べていたら、こんな脆弱性の情報を見つけたので、AWSのゲストOSで試してみました。 結論から言うと、脆弱性が再現されました。（一般ユーザーがrootユーザーのファイルを書き換えてしまうことを確認） 【情報元】 ①脆弱性の内容 https://dirtycow.ninja/ "A race condition was found in the way the Linux kernel's memory subsystem handled the copy-on-write (COW) breakage of private read-only memory mappings. An unprivileged local user could use this flaw to gain write access to otherwise read-only mem
SIOS Tech. Lab - エンジニアのためになる技術トピックス
2024-07-02 OpenShift Virtualization – OpenShift でのVM管理についてご紹介
glibcのgethostbyname関数に存在するCVE-2015-0235(GHOST)脆弱性について - ブログ - ワルブリックス株式会社
glibcのgethostbyname系関数に脆弱性の原因となるバグが発見されCVE-2015-0235(GHOST)と命名されたようです。放置した場合は相当多くのアプリケーションがこの脆弱性の影響を受けることが予想されます。 glibcは libcのGNUバージョンです。libcはアプリケーションではなく、事実上全てのアプリケーションが利用しているライブラリです。OSの中ではカーネルに次いで重要な部分と言えます。Linuxシステムでは(ことサーバー用途においては)例外なく glibcが使われています。 この glibcに含まれる gethostbyname系関数の実装に 2000年頃から存在したバグが今になって発見され、CVE-2015-0235 通称 GHOSTと命名されました。ネットワークで何らかの通信を行うアプリケーションは必ず※この関数を使用します。 ※追記: 名前解決をサポート
yebo blog: 64ビットモードのLinuxカーネルにroot権限奪取の脆弱性
2010/09/21 64ビットモードのLinuxカーネルにroot権限奪取の脆弱性 ほとんどの64ビットモードで動作しているLinuxカーネルにローカルでroot権限奪取の脆弱性 (CVE-2010-3081) があることが分かったそうだ。arch/x86/include/asm/compat.h の中の関数 compat_alloc_user_space() の sanity checkが誤っているために引き起こされる (http://sota.gen.nz/compat1/) 。既にエクスプロイトコード (Ac1db1tch3z) が公表されており、多数のユーザがログインするシステムでは悪用されるとバックドアを作られる可能性がある。既にソースコードレベルのパッチはリリースされており、自身のシステムに脆弱性があるかどうかは、Kspliceがチェック用のツールをリリースしている。 $ .
Linux/UNIX 上でコマンドの実行履歴を残す方法
最近、セキュリティ関連の話が多いが身の回りで多いのですが、今回は、Linux / UNIX 系で誰がいつどのコマンドを実行したかってのをログにとる方法のお話しです。 「＠IT：止められないUNIXサーバの管理対策 第6回 - Page2」にも参考になるロギングの話が掲載されていますが、実行コマンドのログをとる方法は以下の５つが考えられます。 sudo を使って実行ログをとる .bash_history を定期的にバックアップして実行ログとして保存する script コマンドを使うことで実行ログ（画面出力のコピー）をとる システムアカウンティング機能（psacct）を有効にして実行ログをとる 実行シェルを改造し、ログを保存するようにする 僕が考えつくところで、セキュリティ的に最も強固であるのはシェルの改造と思います。但し、その OS 上で使える Shell をその改造 Shell のみに限定
» セキュアなサーバを作るために最低限やっておくこと: エスキュービズム ラボ Blog
Recent Entries セキュアなサーバを作るために最低限やっておくこと Yahooキーワード抽出APIライブラリ テスト駆動開発 （test driven development: TDD） のすすめ GoogleAnalyticsAPI on EC-CUBE 土日で作るコンパイラ OPEN ERPに挑戦３ OPEN ERPに挑戦２ OPEN ERPに挑戦 ERPはたくさんあれど・・・ OpenGLで3D、やってみよう Recent Comments No Responses. Recent Trackbacks テスト駆動開発 （test driven development: TDD） のすすめ 06/11 » Yahooキーワード抽出... みなさんはサーバを管理するときに、何を一番気にしますか？ 人によって程度の差はあるのでしょうが、誰もが気になるのが「セキュリティ」でしょ
環境変数にIDやPASSWORDを設定しなければならない状況で、ID/PASSWORDをファイルに平文で保存したりシェルの履歴に残したくない (Kanasansoft Web Lab.)
zshを前提にしているが、問題の解決方法が重要なので、ちょっと記述を変更すれば他のシェルでもできるようになるはず。また、暗号化には「gpg」の共通鍵暗号化方式(対象鍵)を使用している。
あなたのLinuxマシンをセキュアにするために知っておくべきiptablesのルール10選
文：Jack Wallen（Special to TechRepublic） 翻訳校正：村上雅章・野崎裕子 2009-03-03 08:00 iptablesをマスターするには時間がかかるものの、セキュリティに関する基本的なニーズを満たすことのできるいくつかのルールを知っておくだけで、あなたのLinuxシステムのセキュリティを向上させることができる。本記事では、その手始めとなる重要なルールを解説する。 iptablesは、Linuxマシンをセキュアにするための強力なツールだ。とは言うものの、その機能の多さには圧倒されてしまいがちである。そして、コマンドの構造をしっかりと理解し、マシンのどの部分をどのようにセキュアにすべきかを把握した後であっても、ややこしいことに変わりはない。しかし、iptablesの良いところは、極めて広いその適用範囲にある。このため、iptablesのルールのいくつかを
Stray Penguin - Linux Memo (iptables)
非常に役に立つ HOWTO に、 Oskar Andreasson の Iptables tutorial がある。日本語訳が存在しなかったので翻訳した (2006/01 本家にも掲載されました - Thank you, Oskar !)。 iptables は、カーネルが利用するIPパケットフィルタのルールを、操作するためのユーティリティ。カーネルそのものと密接に関係しており、kernel-2.2 では ipchains が使われていた。kernel-2.4 以降、 iptables が標準となる。ipchains とは比べものにならないほど、膨大な種類の操作オプションが用意されている。ipchains との最も大きな違いは、パケットを既存のコネクションとの関係性によって識別できる「コネクショントラッキング (接続追跡)」 というメカニズムを実装していること。この conntrack 機
Windows のパスワードを解読する方法 - pyopyopyo - Linuxとかプログラミングの覚え書き -
LinuxとWindowsのdual boot環境で、Linux側からwindows側のパスワードを解読する方法についてメモ ツールのインストール 作業は全て Linux 側で行います。 windowsのパスワードの解析を行うツールとしては、 ophcrack を用意します。 まず、 http://ophcrack.sourceforge.net/からソースコード ophcrack-3.0.1.tar.bz2 を入手。続けて、作業を簡略化するために、GUI無しで、コンパイルします。インストールはしません $ cd /tmp $ tar xvfj ophcrack-3.0.1.tar.bz2 $ cd ophcrack-3.0.1 $ ./configure --disable-gui $ make 起動方法は ophcrack-3.0.1/src 以下に移動して ./ophcrack を起
パッケージに学ぶ，OS要塞化のヒント
筆者は職業柄，コンピュータをセキュアに保つためのヒントを覚書として残している。読者の中にも同様のことをしている方が多いかもしれない。自分自身の備忘録として役立つことはもちろん，他人にノウハウを伝えるためにも役に立つ。例えば，筆者が不慮の事故に遭遇した場合，覚書などが残っていれば筆者が担当していた作業を他の者が続行できる可能性がある。しかし，そういったものが存在せず，ノウハウが筆者の頭の中にしか存在しなければ作業は間違いなく止まってしまうだろう。 このように考えると，覚書は必須であろう。では，その覚書はどのように作成するべきか。自分が試行錯誤した結果から得たノウハウだけではなく，書籍や雑誌などから得たノウハウも盛り込んでいくべきだろう。今回筆者が紹介したいのは，OS の要塞化 *1 用パッケージ（ソフトウエア）から得られる情報である。OSの要塞化のために，パッケージがどのような処理をするのか
Linuxサーバーを要塞化する（今週のSecurity Check）
最近はイントラネットだけでなく，インターネットから直接アクセス可能なセグメントに置くサーバーとして Linuxを採用するケースが増えている。そこで問題になるのが，やはり“セキュリティ”である。ディストリビューションによっては，デフォルト・インストールしたままの状態では，ぜい弱性が未解決になっているものもあり，このままでインターネット上に置くのは大変危険である。 セキュアなサーバーにするには，（1）セキュリティ・ホールをふさぐ，（2）不要なサービスを停止する，（3）適切に設定（アクセス・コントロールなど）を行う ---などの対策が不可欠である。このコラムでは，これらを総称して「要塞（ようさい）化」と呼んでいる。そこで今回は，Linuxの要塞化について取り上げる。要塞化については，このコラムでも何度か取り上げているが，今回はLinuxサーバーの要塞化に焦点を当てる。実際にLinuxサーバーの管
Iptablesチュートリアル 1.2.2
Japanese translation v.1.0.1 Copyright © 2001-2006 Oskar Andreasson Copyright © 2005-2008 Tatsuya Nonogaki この文書を、フリーソフトウェア財団発行の GNU フリー文書利用許諾契約書バージョン1.1 が定める条件の下で複製、頒布、あるいは改変することを許可する。序文とその副章は変更不可部分であり、「Original Author: Oskar Andreasson」は表カバーテキスト、裏カバーテキストは指定しない。この利用許諾契約書の複製物は「GNU フリー文書利用許諾契約書」という章に含まれている。 このチュートリアルに含まれるすべてのスクリプトはフリーソフトウェアです。あなたはこれを、フリーソフトウェア財団によって発行された GNU 一般公衆利用許諾契約書バージョン2の定める条件の
ウノウラボ Unoh Labs: 専用サーバを構築するときにまず行う４つの設定
こんばんは、最近寒い夜が続いていて自転車通勤がつらくなってきた naoya です。 ウノウでは、フォト蔵や社内システムなどは、すべて専用サーバを構築して運用をしています。 今日は、専用サーバを構築するときに、僕がウノウで学んだ専用サーバでまず行う４つの設定を紹介します。 なお、今回の設定はすべて Fedora Core 5 をもとにしています。 (1) sudo を使えるようにする sudo コマンドを使えるようにします。sudo コマンドは、別のユーザとしてコマンドを実行できるコマンドです。 sudo コマンドを使えるようにするには、/etc/sudoers に sudo を許可するグループを追加します。次の例は、unoh グループを追加する例です。 %unoh ALL = (ALL) ALL, !/bin/su, /bin/su postgres, /bin/su * postgres
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
ほぼすべてのLinuxのブートローダーに脆弱性
sudoの脆弱性情報(Important: CVE-2019-14287)と新バージョン(1.8.28) - SIOS SECURITY BLOG
mputの日記。 - , rootのパスワードは潰さないほうがいいと思う件