Телеграмм чат группы sds

Если стор отдаётся по LAN, например iSCSI и тот же цепх, любая дырка в реализации аутентфикации, -> получаем шелл от юзера, эскалируем служебного юзера до root любыми доступными методами (у нас же нет изоляции AppArmor), и бонжур

источник

16:57пожаловаться #11

i

ivdok in SDS и Кластерные FS

Звучит проще, чем на самом деле, и нужна подготовка, но атака вполне реальна, при разведке и раскрутке цепочки эксплоитов

источник

16:57пожаловаться #12

i

ivdok in SDS и Кластерные FS

Тогда надо делать чисто локальный менеджмент, и из сети оставлять только кластерную, в которую никто кроме сторадж нод не воткнут

источник

16:59пожаловаться #13

i

ivdok in SDS и Кластерные FS

Тогда да, хоть рута делай 123qwerty456

источник

16:59пожаловаться #14

i

ivdok in SDS и Кластерные FS

ivdok

Тогда надо делать чисто локальный менеджмент, и из сети оставлять только кластерную, в которую никто кроме сторадж нод не воткнут

А стор тогда отдавать по FC, SAS, и что там ещё у nvme придумали

источник

17:00пожаловаться #15

AT

Alex Tkachuk in SDS и Кластерные FS

>эскалируем служебного юзера до root любыми доступными методами (у нас же нет изоляции AppArmor)
Я, на всякий случай замечу, что эти все уязвимости (Которые появляются после mitigations=off) позволяют не корректировать память, а только потенциально читать её, в свете чего нахождения уязвимостей такого рода выглядит малореально данными средствами

источник

17:04пожаловаться #16

ВН

Виталий На Заборе... in SDS и Кластерные FS

ivdok

> Внимание: в Ubuntu на сетевую задержку негативно влияет AppArmor, его лучше отключить.

Ну как бы знаете, на каком то сраном аппарморе терять 100 мкс задержки в сети не тема

источник

17:05пожаловаться #17

ВН

Виталий На Заборе... in SDS и Кластерные FS

ivdok

Вот этот пассаж триггернул. Да, давайте ещё mitigations=off, нам же нужна МОЩЩЩ, а про безопасность кто-то другой подумает

А что безопасность, если у тебя там только цеф на нодах и нет виртуалок

источник

17:05пожаловаться #18

ВН

Виталий На Заборе... in SDS и Кластерные FS

ivdok

Если стор отдаётся по LAN, например iSCSI и тот же цепх, любая дырка в реализации аутентфикации, -> получаем шелл от юзера, эскалируем служебного юзера до root любыми доступными методами (у нас же нет изоляции AppArmor), и бонжур

Ну, как бы, это и при включенных mitigations можно сделать))

источник

17:06пожаловаться #19

ВН

Виталий На Заборе... in SDS и Кластерные FS

Если там такого рода дыры есть

источник

17:06пожаловаться #20