คำถามติดแท็ก vulnerabilities

เช่นเดียวกับคนเราเมื่อวานนี้ผมใช้เวลาปรับปรุงมากทั้งระบบเพื่อลดความล่มสลายและอสุรกายโจมตี ตามที่ฉันเข้าใจมีความจำเป็นต้องติดตั้งสองแพ็กเกจและรีบูต: kernel-3.10.0-693.11.6.el7.x86_64 microcode_ctl-2.1-22.2.el7.x86_64 ฉันมีระบบ CentOS 7 สองระบบซึ่งฉันได้ติดตั้งแพ็คเกจเหล่านี้แล้วรีบูตเครื่อง ตาม Red Hat ฉันสามารถตรวจสอบสถานะของการบรรเทาโดยการตรวจสอบ sysctls เหล่านี้และตรวจสอบให้แน่ใจว่าพวกเขาทั้งหมด 1 อย่างไรก็ตามในระบบเหล่านี้พวกเขาไม่ได้ทั้งหมด 1: # cat /sys/kernel/debug/x86/pti_enabled 1 # cat /sys/kernel/debug/x86/ibpb_enabled 0 # cat /sys/kernel/debug/x86/ibrs_enabled 0 และฉันไม่สามารถตั้งค่าเป็น 1 เช่นกัน: # echo 1 > /sys/kernel/debug/x86/ibpb_enabled -bash: echo: write error: No such device # echo 1 > /sys/kernel/debug/x86/ibrs_enabled -bash: …

42 security  centos7  rhel7  vulnerabilities 

ฉันวางแผนที่จะลงนามโซน DNS ของฉันกับ DNSSEC โซนของฉันผู้รับจดทะเบียนและเซิร์ฟเวอร์ DNS ของฉัน (BIND9) สนับสนุน DNSSEC ทั้งหมด ผู้เดียวที่ไม่สนับสนุน DNSSEC คือผู้ให้บริการ nameserver สำรองของฉัน (คือbuddyns.com ) บนเว็บไซต์ของพวกเขาพวกเขาระบุเรื่องนี้เกี่ยวกับ DNSSEC: BuddyNS ไม่รองรับ DNSSEC เพราะจะทำให้เกิดช่องโหว่บางอย่างที่ไม่เหมาะสมกับบริการ DNS ระดับสูง ฉันคิดว่าการใช้ DNSSEC นั้นเป็นปัญหาอย่างหนึ่งเนื่องจากผู้แก้ไขส่วนใหญ่ไม่ตรวจสอบว่ามีการลงชื่อบันทึกอย่างถูกต้องหรือไม่ สิ่งที่ฉันไม่ทราบก็คือ - ตามคำแถลงของพวกเขา - ดูเหมือนว่าการให้มันจะทำให้เกิดช่องโหว่ด้านความปลอดภัยบางประเภท ช่องโหว่เหล่านั้นคืออะไร?

28 domain-name-system  security  dnssec  vulnerabilities 

แอพพลิเคชั่น เรามีแอปพลิเคชั่น Java ขนาดเล็กซึ่งใช้เส้นทาง Camel บางเส้นทางเพื่อรับไฟล์ที่อัปโหลดจากเว็บเซิร์ฟเวอร์ประมวลผลและส่งอีเมลพร้อมผลลัพธ์ เซิร์ฟเวอร์ที่แอปพลิเคชันนี้ทำงานได้รับการแยกส่วน ตอนนี้เราต้องเรียกใช้บนฮาร์ดแวร์ที่ใช้กำลังต่ำเนื่องจากฉันไม่สามารถโน้มน้าวผู้ดูแลระบบให้ติดตั้ง JRE บนเว็บเซิร์ฟเวอร์ (ซึ่งจริงๆแล้วเป็นเซิร์ฟเวอร์เอนกประสงค์) ความกลัว ฉันเป็นวิศวกรแอปพลิเคชัน Java ด้วยตัวเองฉันเขียนรหัส JEE เพื่อหาเลี้ยงชีพจัดการธุรกรรม B2B ที่มีมูลค่านับหมื่นยูโรต่อสัปดาห์ แต่ฉันมีปัญหาในการค้นหาแหล่งข้อมูลที่น่าเชื่อถือซึ่งหักล้างตำนานที่ java ไม่ปลอดภัยต่อ se อาร์กิวเมนต์หลักสองข้อของผู้ดูแลระบบในการติดตั้ง JRE: แอปพลิเคชัน Java กิน RAM ของฉันหมด Java เต็มไปด้วยช่องโหว่ ความจริง? เมื่อพูดถึงจาวาแอพพลิเคชั่นที่กิน RAM ดี ... ฉันว่าเราต้องตั้งค่าที่เหมาะสมสำหรับ Xmx เสร็จสิ้น ขณะนี้มีแหล่งข้อมูลจำนวนมากพูดถึงช่องโหว่จำนวนมากของ Java แหล่งข้อมูลเหล่านี้ส่วนใหญ่มุ่งที่ผู้ใช้ปลายทางที่ใช้ระบบปฏิบัติการบางอย่างจาก บริษัท ใน Redmond / USA AFAIK อาจเป็นจริงสำหรับ …

13 security  java  web  headless  vulnerabilities 

24 ชั่วโมงหลังจากที่ปล่อยช่องโหว่ในวงกว้าง Rackspace เงียบเกี่ยวกับ Specter และ Meltdown พวกเขาไม่มีแผนที่จะปะแก้ hypervisors ทั้งหมดของ Xen เซิร์ฟเวอร์แพลตฟอร์มใหม่ทั้งหมดของพวกเขาคือเซิร์ฟเวอร์ HVM ซึ่งมีช่องโหว่ เซิร์ฟเวอร์ PV ที่เก่ากว่านั้นไม่มีช่องโหว่ ฉันได้อัปเดตเคอร์เนล Linux ของผู้เยี่ยมชม HVM ของฉันแล้ว แต่ Rackspace ไม่ได้อัพเดต hypervisors ใด ๆ ของพวกเขา การอัปเดตเคอร์เนลของผู้เยี่ยมชมบนไฮเปอร์ไวเซอร์ที่ไม่ตรงกันจะป้องกันไม่ให้ "คนเลว" VMs เข้าถึงหน่วยความจำที่รั่วไหลออกมาจากโฮสต์ที่ถูกปะแก้ของฉันหรือไม่

12 linux  xen  cloud-computing  rackspace  vulnerabilities 

จาก: http://seclists.org/fulldisclosure/2009/Jul/0388.html ถ้าฉันเข้าใจดีที่สุดจากโพสต์จาก: http://news.ycombinator.com/item?id=723798พวก Matasano ออกจากการเข้าถึงอินเทอร์เน็ต sshd - วิธีแก้ไขปัญหาใด ๆ ที่นำเสนอ (จากมุมมองการเขียนโปรแกรม)?

10 security  vulnerabilities  hacking