紅帽反駁：「grinch（鬼精靈）」算不上Linux漏洞

圖片來源：Natalia Wilson，受Creative Commons許可

安全專家表示，Linux處理許可權的方式仍有可能導致潛在的誤操作。

但紅帽對此不以為然，稱 Alert Logic 於本周二（譯者註：12月16日）公布的 grinch (「鬼精靈」) Linux漏洞根本算不上是安全漏洞。

紅帽於周三發表簡報 回應Alert Logic 說法，表示：「（Alert Logic的）這份報告錯誤地將正常預期動作歸為安全問題。」

安全公司Alert Logic於本周二聲稱「鬼精靈」漏洞其嚴重性堪比 Heartbleed 臭蟲，並稱其是 Linux 系統處理用戶許可權時的重大設計缺陷，惡意攻擊者可藉此獲取機器的root許可權。

Alert Logic 稱攻擊者可以使用第三方Linux 軟體框架Policy Kit (Polkit)達到利用「鬼精靈」漏洞的目的。Polkit旨在幫助用戶安裝與運行軟體包，此開源程序由紅帽維護。Alert Logic 聲稱，允許用戶安裝軟體程序的過程中往往需要超級用戶許可權，如此一來，Polkit也在不經意間或通過其它形式為惡意程序的運行洞開方便之門。

紅帽對此不以為意，表示系統就是這麼設計的，換句話說，「鬼精靈」不是臭蟲而是一項特性。

安全監控公司Threat Stack聯合創造人 Jen Andre 就此在一篇博客中寫道：「如果你任由用戶通過使用那些利用了Policykit的軟體，無需密碼就可以在系統上安裝任何軟體，實際上也就繞過了Linux內在授權與訪問控制。」

Alert Logic 高級安全研究員 James Staten 在發給國際數據集團新聞社(IDG News Service)的電子郵件中寫道，雖然這種行為是設計使然，有意為之，但「鬼精靈」仍然可能被加以利用或修改來攻陷系統。

「現在的問題是表面存在一個薄弱環節，可以被用來攻擊系統，如果安裝軟體包象其它操作一樣，比如刪除軟體包或添加軟體源，沒有密碼不行，那麼就不會存在被惡意利用的可能性了。」

不過 Andre 在一次採訪中也表示，對那些躍躍欲試的攻擊者來說，想利用Polkit還是有一些苛刻限制的。

攻擊者需要能夠物理訪問機器，並且還須通過外設鍵鼠與機器互動。如果攻擊者能夠物理訪問機器，可以象重啟機器進入恢復模式訪問數據與程序一樣地輕而易舉的得手。

Andre表示，不是所有Linux機器都默認安裝Polkit -- 事實上，其主要用於擁有桌面圖形界面的工作站，在當今運行的Linux機器中佔有很小的份額。

換句話說，「鬼精靈」並不具有象Shellshock那樣廣泛的攻擊面， 後者存在於Bash shell中，幾乎所有發行版無一倖免。

其他安全專家對「鬼精靈」漏洞也不以為然。

系統網路安全協會（SANS Institute）互聯網風暴中心（Internet Storm Center）諮詢網站的 Johanners Ullrich 在一篇博文中寫道：「某種程度上，與很多Linux系統過分隨意的設置相比，這個並算不上多大的漏洞。」

Ullrich 同時還指出，「鬼精靈」漏洞也並非完全「良性」，「可以很容易地加以利用，獲得超出Polkit設置預期的許可權。」

Andre指出，負責管理運行Polkit桌面Linux機器的管理員要做到心中有數，了解潛在的危險，檢查那些程序是靠Polkit來管理的，確保系統無虞。

他還表示，應用開發者與Linux 發行者也應確保正確使用Polkit框架。

原始報告的另一位作者Even Tyler似乎也承認「鬼精靈」並非十分嚴重。

在開源安全郵件列表的一封郵件中，Bourland 提到攻擊者需要藉助其它漏洞，連同「鬼精靈」才能發起攻擊時，他寫道，「鬼精靈」就象個「開啟界面的熟練工，但是本身並不能翻多高的浪。」

（Lucian Constantin 對本文也有貢獻。）

via:http://www.computerworld.com/article/2861392/security0/the-grinch-isnt-a-linux-vulnerability-red-hat-says.html

作者：Joab Jackson 譯者：yupmoon 校對：wxy

本文由 LCTT 原創翻譯，Linux中國 榮譽推出

本文轉載來自 Linux 中國: https://github.com/Linux-CN/archive