ช่องโหว่ glibc ของ GHOST (CVE-2015-0235): มันจำเป็นต้องรีสตาร์ทเซิร์ฟเวอร์หลังจากการอัพเกรด glibc หรือไม่?

ฉันต้องการอัปเดต glibc ตาม RedHat: https://rhn.redhat.com/errata/RHSA-2015-0090.html

จำเป็นต้องรีสตาร์ทเซิร์ฟเวอร์หลังจากการอัพเกรด glibc หรือไม่

vulnerabilities ghost glibc

คำตอบ:

ไม่จำเป็นต้องใช้เทคนิคในการ เริ่มต้นระบบใหม่เนื่องจากเฉพาะโปรแกรมที่ใช้ glibc จำเป็นต้องเริ่มต้นใหม่และเคอร์เนลไม่ได้ใช้ glibc

ที่ถูกกล่าวว่าการรีสตาร์ททุกสิ่งที่ใช้ glibc นั้นกว้างพอที่คุณอาจรีบูตได้

ตัวอย่างเช่น/sbin/initใช้ glibc อย่างไรก็ตามการรีสตาร์ทเป็นเรื่องเล็กน้อย (เรียกใช้init uในฐานะรูท)

— gowenfawr
แหล่งที่มา

OTOH ฉันสงสัยอย่างจริงจังว่าinitมีความเสี่ยงเนื่องจาก CVE :)

— Erbureth พูดว่า Reinstate Monica

@Ebureth ฉันเห็นด้วย แต่ฉันคิดว่า "ฉันคิดว่าโปรแกรมนี้มีความเสี่ยงฉันคิดว่าโปรแกรมไม่ใช่" เป็น "เกมที่แปลกการย้ายที่ชนะเพียงอย่างเดียวไม่ใช่การเล่น"

— gowenfawr

sysvinit มีความปลอดภัย (ไม่มีการโทร DNS และบ่อยครั้ง แต่ไม่ได้เชื่อมโยงกับแบบคงที่เสมอไป) systemdดูเหมือนจะมีตัวแก้ปัญหาทั้งหมดของตัวเอง ในประสบการณ์ของฉันแทนที่ห้องสมุดที่ใช้โดยกระบวนการที่ใช้เวลานานอาจทำให้เกิดความไม่แน่นอน รีบูทและมีความสุข

— mr.spuratic

sysvinit สามารถเริ่มต้นใหม่ได้ ออกคำสั่ง init u และจะดำเนินการ / sbin / init

— Joshua

FYI: การเริ่มต้นใหม่โดยไม่ต้องรีสตาร์ทระบบ

— Gilles 'หยุดความชั่วร้าย'

หากคุณพอใจกับการรีสตาร์ทแต่ละบริการที่ใช้ไลบรารี่ที่มีช่องโหว่ด้วยตนเองคุณสามารถเรียกใช้คำสั่งนี้และรีสตาร์ทกระบวนการตามรายการ:

# lsof | awk '/libc-/ {print $1}' | sort -u

คุณอาจจะพบว่าการรีสตาร์ทเครื่องทั้งหมดนั้นง่ายกว่า

— deed02392
แหล่งที่มา

lsof | awk '/DEL.*libc/{print $1}' | sort -uเพื่อจับคู่เฉพาะกับลิงก์ที่เชื่อมโยงไปยังlibc ที่ถูกลบตอนนี้(หลังจากอัพเดต)

— sch

ไม่มีใครตรวจสอบผลลัพธ์ของจริงlsof | grep libcหรือ มันจับคู่ไลบรารีจำนวนมากรวมถึง libcurl, libcups, libcairo และอื่น ๆ Grepping ที่libc-ดูเหมือนจะให้ผลลัพธ์ที่ถูกต้อง

นั่นเป็นวิธีวงเวียนและวิธีที่ไม่ถูกต้อง ฉันจะตรวจจับกระบวนการที่กำลังทำงานอยู่โดยใช้แพ็คเกจไลบรารีได้อย่างไร อย่างไรก็ตามสำหรับ glibc คำตอบนั้นสวยมากทุกขั้นตอน สิ่งที่มีประโยชน์คือการทราบว่ากระบวนการใดที่เหลืออยู่พร้อมกับสำเนาเก่าและคำสั่งนี้จะไม่บอกคุณ

— Gilles 'หยุดความชั่วร้าย'

ใช่ดังนั้นกระบวนการที่ขึ้นอยู่กับ glibc เวอร์ชันเก่าจะเริ่มต้นอีกครั้งด้วยเวอร์ชันใหม่ของไลบรารี โปรแกรมที่เชื่อมโยงแบบคงที่จะต้อง recompiled ด้วยเหตุผลนี้

— Ohnana
แหล่งที่มา

การเชื่อมโยงแบบคงที่อาจจะหายาก แต่ได้รับการโต้ตอบของฟังก์ชั่ DNS กับ NSS, glibc และที่อคติทางประวัติศาสตร์ของผู้ดูแล glibc อดีต

— mr.spuratic