firejail (0.9.58.2-2) unstable; urgency=high
* Cherry-pick security fix for seccomp bypass issue. (Closes: #929732)
Seccomp filters were writable inside the jail, so they could be
overwritten/truncated. Another jail that was then joined with the first
one, had no seccomp filters applied.
* Cherry-pick security fix for binary truncation issue. (Closes: #929733)
When the jailed program was running as root, and firejail was killed
from the outside (as root), the jailed program had the possibility to
truncate the firejail binary outside the jail.
Quelle
Somit kann jedes Bild verseucht sein?OrangeJuice hat geschrieben:10.07.2019 14:39:08Es ist ja anscheinend nicht nur Javascript an sich, sondern auch Bilddateien die Schadcode enthalten können, hatte das oben ja schon verlinkt.
Nun. Wenn man noch mehr will, dann kann man sich eine user.js anlegen. Hier gibt es dazu vorlagen oder die hier ghacks-user.js. Dazu uBlock Origin, eine mit uMatrix angelegte whitelist, sodass alles erstmal geblockt wird. Dazu NoScript um XSS Angriffe zu unterbinden, NoScript hat aber ein paar freigegeben Seiten, die muss man auch noch entfernen. Man sieht, kann ganz schön viel werden.
Oder direkt Lynx oder Links verwenden.
Theoretisch ja, aber das ist ein Spiel über Bande.
Zumindest bei jpg und svg ist es nicht vorgesehen, HTML einzubetten und auszuführen. Natürlich kann man in jpg oder anderen Bildformaten in der Regel Kommentare als ASCII-Text speichern, so daß man dort auch HTML unterbringen könnte. Die lesenden Programme sind darauf aber nicht vorbereitet und zeigen schlimmstenfalls den Text an, führen ihn jedoch nicht aus. Folglich würde auch der Indexer diesen Text ignorieren.OrangeJuice hat geschrieben:11.07.2019 14:08:03Wie sieht es denn aus, wenn man so eine manipulierte Bilddatei, jpg, svg durch den Browser Cache auf die SSD landet und der Gnome Tracker daherkommt und das indiziert. Ist es denkbar, dass der Tracker darin enthaltenen Code(Javascript) ausführt und dann auch versucht durch eine Internetseite Schadcode nachzuladen?
Nein, nicht wirklich. Beim Trackingpixel wird im HTML-Code eine Bilddatei eingebettet, die einen einmaligen Dateinamen hat und nur ein Pixel groß ist. Durch die Größe fällt das Bild nicht auf und durch den einmaligen Namen kann das Bild eindeutig indentifiziert werden. Spezielle Webserver mit Datenbanken können dann beim Laden dieser Bilder den Benutzer wiedererkennen.Ist das dann eine Methode ähnliche wie bei den Tracking Pixel(https://de.wikipedia.org/wiki/Z%C3%A4hlpixel)?
tracker gibt, dann liegt es an Tracker, der natürlich anstatt ein Bild zu indexieren auch die Festplatte löschen könnte 
Dieser stegosploit erfordert aber einige Hilfsmittel, damit er funktioneirt. Einerseits braucht man einen Webbrowser, der HTML5 versteht, dann lädt man ein HTML5-Dokument, das im Javaskript einen eigenen Steganographiedekoder für manipulierte JPGs mitbringt, und dann wird das im HTML5 referenzierte JPG nachgeladen, das von Javascript auseinander genommen wird und Schadcode zu Ausführung bringt.OrangeJuice hat geschrieben:11.07.2019 15:08:34Doch, du liegst schon richtig damit. Ich habe stegosploit damit in Verbindung gebracht. Hatte das auf Seite 2 schonmal angesprochen.
... und auch kein Spielverderber... 
... aber im Moment habe ich das Gefühl, dass das Thema hier eine Eigendynamik entwickelt, die mir so ein bisschen Mint-mäßig vorkommt ... je mehr Aspekte über potentielle Attacken reinkommen, umso größer wird die Hysterie und umso verzweifelter die Suche nach Schutzmaßnahmen dagegen. 
Deine Einwände sind durchaus gerechtfertigt. Mein Interesse geht schon in die Richtung, mehr über mögliche Angriffsvektoren kennenzulernen. Je mehr man weiss womit man zu rechnen hat, desto mehr erhält man ein Gefühl der Sicherheit, wobei natürlich auch dieses Gefühl wiederum trügerisch istTomL hat geschrieben:11.07.2019 16:25:31Moin
Ich will ja jetzt keinesfalls ein Nörgler sein.. ehrlich nicht ...
Und irgendwie hab ich das Gefühl, dass die Wirklichkeit dabei nicht so eine große Rolle spielt. Also jetzt mal ehrlich, ich betreibe hier einige Debian-Maschinen und aktiv genutzte VMs, und ich bin wohl hier bei mir zuhause der einzige, dessen Linux-Kenntnisse über die Bedienung des Einschaltknopfes hinausgeht ... aber Fakt ist, auf keiner einzigen Maschine hat es seit 2015 jemals solche Probleme unter Debian gegeben. Davor wars hier Windows... und selbst da hats keine solcher Vorfälle gegeben. Da frage ich mich doch verwundert, leb ich hier auf 'ner Insel der virusfreien Glückseligkeit? Oder woran liegt das, dass andere Debian-User anscheinend unter ständigen Angriffen von bösen Buben leiden und wir hier zuhause davon vollständig verschont bleiben? Wer hat denn eigentlich schon mal ganz konkreten Schaden durch Angriffe aus dem Internet erlitten und kann ausschließen, dass er selber dafür verantwortlich war? Gibt es hier in diesem Forum wirklich eine relevante Anzahl von Betroffenen, so das wirklich Anlass zur allgemeinen Sorge besteht?
Ganz nüchtern betrachtet, nur von denen, die mich (bzw. uns hier im Heimnetz) ganz real betreffen. Von Deiner Liste ist jedenfalls definitiv nix dabei, was hier eine Bedeutung hat oder irgendeine Beachtung bekommt. Und wer Mint, fremde PPA's, Docker-Images oder Snap oder Flatpaks aus irgendwelchen (möglicherweise sogar anonymen Bastlerquellen) nutzt, ist selber schuld... wie ich schon sagte, der berechtigte Anwender ist immer das Problem ... aber imho ziemlich sicher nicht ein sauberes Debian aus dem Debian-Repository. Btw, für jeden theoretischen (was nämlich die meisten Exploits in unserem privaten Umfeld tatsächlich nur sind) Exploit, egal obs der mit apt war, oder Spectre oder was auch immer, muss immer lokal ein Prozess laufen, der diesen Exploit auch tatsächlich ausnutzen könnte. Nur das reine Vorhandensein eines Exploits hat doch erstmal überhaupt keine Bewandtnis für uns. Und nun verrat mir, wo dieser Prozess herkommen soll, wenn ich den nicht selber installiere?
Hallo Tom,TomL hat geschrieben:11.07.2019 19:42:02Ganz nüchtern betrachtet, nur von denen, die mich (bzw. uns hier im Heimnetz) ganz real betreffen. Von Deiner Liste ist jedenfalls definitiv nix dabei, was hier eine Bedeutung hat oder irgendeine Beachtung bekommt. Und wer Mint, fremde PPA's, Docker-Images oder Snap oder Flatpaks aus irgendwelchen (möglicherweise sogar anonymen Bastlerquellen) nutzt, ist selber schuld... wie ich schon sagte, der berechtigte Anwender ist immer das Problem ... aber imho ziemlich sicher nicht ein sauberes Debian aus dem Debian-Repository. Btw, für jeden theoretischen (was nämlich die meisten Exploits in unserem privaten Umfeld tatsächlich nur sind) Exploit, egal obs der mit apt war, oder Spectre oder was auch immer, muss immer lokal ein Prozess laufen, der diesen Exploit auch tatsächlich ausnutzen könnte. Nur das reine Vorhandensein eines Exploits hat doch erstmal überhaupt keine Bewandtnis für uns. Und nun verrat mir, wo dieser Prozess herkommen soll, wenn ich den nicht selber installiere?
Wenn du übertriebenermaßen Software zu Verbesserung Deiner Sicherheit installierst, installierst Du faktisch auch deutlich mehr potentielle Exploits. Sicherheit bekommst Du nicht durch mehr Software, sondern primar durch bewussten Verzicht... auf unnötige Software, auf bestimmtes eigenes Verhalten, auf unnütze Komforttools. Wenn ich hier lese Ublock plus nocript plus plus httpseverywhere plus cookie-cleaner... da wird doch der Verstand komplett auf überflüssige Software delegiert. Wieso braucht man überhaupt nen Cookie-Cleaner, wenn man bei Sitzungsende einfach Cache, History und Cookies komplett löschten kann...?... der Private-Mode ist doch FF-Basic-Funktionalität. Wieso braucht man https-everywhere, wenn man doch auf normalen http-seiten gar keine sensiblen Daten austauscht oder nur dort liest? Wieso braucht man 2 Script-Blocker? Man kann doch mit Ublock generell alles blocken, Ad's, Scripte, Site-Elemente usw. ... wenn der eine schon vollständig blockt, was tut dann der andere? Und wenn der zweite wirklich noch was zu blocken hätte, ist der erste einfach nur schlampig konfiguriert. Warum muss ich überhaupt meinen persönlichen Linux-User-Homedir-Profil-Browser dazu verwenden, wenn ich irgendwelche unseriösen Dinge im Web ansehen will... das geht doch bestens in einer Quarantäne-VM. Auf all unseren Systemen läuft als einziges Addon nur der unterschiedlich scharf eingestellte ublock origin. Zum Beispiel ist damit mit meinem eigenen Homedir-Profil überhaupt kein Surfen möglich... da ist rigoros alles geblockt.... das verwende ich nur für meine eigene HP und lokale Web-Interfaces. Alles andere passiert über einen virtuellen unberechtigten User oder eben über die VM.
Ich bleibe bei meiner Meinung, die Security-Aspekte, die ich nicht allein durch mein eigenes Verhalten nachhaltig positiv beinflussen kann, kann ich auch nicht mit irgendwelcher dubioser Software beeinflussen, deren Wirken ich meistens sowieso gar nicht verstanden habe und die möglicherweise deswegen auch noch schlecht konfiguriert ist... oder weil ich die Wirkung dieser Software durch mein fahrlässiges Verhalten wieder neutralisiert habe. Und ich bin nicht so vermessen zu glauben, dass ich mit meinen stümperhaften Kenntnissen und eben jener vermutlich schlechtkonfigurierten Security-Software überhaupt echte Profis aufhalten kann. Und alle anderen (sowas wie Script-Kiddies) kommen sowieso nicht rein, weil da mein Router schon Firmwareseitig blockiert. Und in diesem verzichte ich natürlich eben auch auf zum Internet geöffnete Ports und Weiterleitungen ins LAN. Solche Ports öffnen schließlich immer nur die Profis für ihre FHEM-Konfiguration, die sie mehr oder weniger gedankenlos irgendwo abgeschrieben haben, damit sie mit dem IPhone von irgendwo auf der Welt die Rolladen hoch- und runterfahren können ...
Vor 15 oder mehr Jahren galt schon die Erkenntnis "Brain.exe ist das allerbeste Security-Programm gegen Schadsoftware".... und heute ergänze ich das für mich mit "...und in Verbindung mit Debian ist das geradezu unschlagbar." Aber egal , jeder soll tun, wie es ihm beliebt...
jm2c
Das sind sie nicht und das habe ich auch nicht gesagt. Ich habe -auf downloadbare fertige Images bezogen- geschrieben "aus irgendwelchen (möglicherweise sogar anonymen Bastlerquellen)..." Wenn Du selber ein Docker-Image unter Deiner Aufsicht und eigener Regie erstellen kannst, finde ich das völlig ok. Aus gleichem Grund würde ich auch niemals qcow2-Files importieren, die ich nicht selber mit dem Debian-Installer eingerichtet habe.Trollkirsche hat geschrieben:11.07.2019 23:09:15Ich wusste nicht das Docker Images als risikobehaftet gelten,
... nur um mich dann auf einen einzigen kurzen Satz zu beziehen, der zudem auch noch gleich am Anfang des Pakets steht?Ich verzichte auf Software, die auf mir nicht nachvollziehbare Bedingungen oder besondere Rechte besteht oder aus anonymen Quellen kommen würde. Niemals würde ich dafür einen Port öffnen. Ich würde z.B. auch niemals für den JDL2 einen Port öffnen, um den übers Netz zu bedienen, oder Teamviewer einsetzen, oder sowas wie Sophos-VPN oder Fritzbox-VPN, oder RemoteDesktop übers Internet, natürlich auch kein Port für Peer-Netze, usw. Hier gibt es nur einen einzigen offenen Port, und das ist der für OpenVPN. Damit habe ich alle Möglichkeiten offen.Verzichtest du lieber auf die Software damit du keinen Port öffnen musst oder würdest du das Risiko eingehen?
In Docker bezieht man sich immer auf fertige Images, auch das Debian Light Docker Image musst du dir per Konsole erst holen, bevor du damit eigene Container oder eigene Images erstellen kannst. Jedenfalls nach meinem Wissensstand, ich wäre nicht imstande aus einem Debian Buster ein Docker Image Light zu erstellen.TomL hat geschrieben:11.07.2019 23:13:24Das sind sie nicht und das habe ich auch nicht gesagt. Ich habe -auf downloadbare fertige Images bezogen- geschrieben "aus irgendwelchen (möglicherweise sogar anonymen Bastlerquellen)..." Wenn Du selber ein Docker-Image unter Deiner Aufsicht und eigener Regie erstellen kannst, finde ich das völlig ok. Aus gleichem Grund würde ich auch niemals qcow2-Files importieren, die ich nicht selber mit dem Debian-Installer eingerichtet habe.Trollkirsche hat geschrieben:11.07.2019 23:09:15Ich wusste nicht das Docker Images als risikobehaftet gelten,
Ich habe etwas Mühe mit dem zitieren, das stetige manuelle einfügen deines namens als quote tag ist mühsam. Tut mir leid, war keine Absicht.TomL hat geschrieben:BTW, darf ich mal ganz freundlich fragen, warum Du völlig unnötig ein Vollzitat machst? Stell Dir mal vor, wie dieses Posting aussehen würde, wenn ich das jetzt auch gemacht hätte....
Interessant. Du würdest also auf das Gnunet verzichten oder es nur im Client Mode einsetzen, weil du dich vor Gnunet Exploits schützen möchtest? Es müsste ja dann Schwachstellen im Code befinden, die man ausnutzen könnte. Doch auch hier : Wenn du das sudo package löschst, welche Möglichkeiten bleiben noch, um sich über den offenen Gnunet Port am Router Kontrolle über den Host zu verschaffen? Du könntest ja dann nicht den OpenVPN Port nutzen, da dieser schon für diesen Dienst vorgesehen wäre.TomL hat geschrieben:Ich verzichte auf Software, die auf mir nicht nachvollziehbare Bedingungen oder besondere Rechte besteht oder aus anonymen Quellen kommen würde. Niemals würde ich dafür einen Port öffnen. Ich würde z.B. auch niemals für den JDL2 einen Port öffnen, um den übers Netz zu bedienen, oder Teamviewer einsetzen, oder sowas wie Sophos-VPN oder Fritzbox-VPN, oder RemoteDesktop übers Internet, natürlich auch kein Port für Peer-Netze, usw. Hier gibt es nur einen einzigen offenen Port, und das ist der für OpenVPN. Damit habe ich alle Möglichkeiten offen.
Trollkirsche hat geschrieben:11.07.2019 23:44:03nteressant. Du würdest also auf das Gnunet verzichten oder es nur im Client Mode einsetzen, weil du dich vor Gnunet Exploits schützen möchtest? Es müsste ja dann Schwachstellen im Code befinden, die man ausnutzen könnte. Doch auch hier : Wenn du das sudo package löschst, welche Möglichkeiten bleiben noch, um sich über den offenen Gnunet Port am Router Kontrolle über den Host zu verschaffen? Du könntest ja dann nicht den OpenVPN Port nutzen, da dieser schon für diesen Dienst vorgesehen wäre.
Was ist das hier für ein Geschwätz? Hast du überhaupt verstanden worum es dabei geht?GNUnet ist ein freies Framework für sicheres und anonymes Peer-to-Peer-Networking, das keine zentralisierten oder anderweitig vertraute Dienste verwendet.
) davor.Nein, falsch... ich würde es überhaupt nicht nutzen, weil es ein Peer-Netzwerk ist.Trollkirsche hat geschrieben:11.07.2019 23:44:03Interessant. Du würdest also auf das Gnunet verzichten oder es nur im Client Mode einsetzen, weil du dich vor Gnunet Exploits schützen möchtest?
Hallo Willy,willy4711 hat geschrieben:12.07.2019 00:49:59Trollkirsche hat geschrieben:11.07.2019 23:44:03nteressant. Du würdest also auf das Gnunet verzichten oder es nur im Client Mode einsetzen, weil du dich vor Gnunet Exploits schützen möchtest? Es müsste ja dann Schwachstellen im Code befinden, die man ausnutzen könnte. Doch auch hier : Wenn du das sudo package löschst, welche Möglichkeiten bleiben noch, um sich über den offenen Gnunet Port am Router Kontrolle über den Host zu verschaffen? Du könntest ja dann nicht den OpenVPN Port nutzen, da dieser schon für diesen Dienst vorgesehen wäre.Was ist das hier für ein Geschwätz? Hast du überhaupt verstanden worum es dabei geht?GNUnet ist ein freies Framework für sicheres und anonymes Peer-to-Peer-Networking, das keine zentralisierten oder anderweitig vertraute Dienste verwendet.
Wer sind denn die Peers, mit denen du kommunizieren willst ?
Wenn dein Kumpel dir über das Gnunet was unter jubelt, oder du von anderen infizierte Daten beziehst, schützt dich kein noch so tolles Netzwerk
(wichtig: Open Source
Wie auch immer: Surfen kannst du damit nicht.
Was ist an einem Peer2Peer Netzwerk schlecht? Ist ein Netz, welches auf zentrale Dienste beruht und dessen Infrastruktur von Kräften, die die Server unter Kontrolle halten, denn von Vorteil? Selbst wenn die Server von Menschen betrieben wird, die guter Absicht sind, so kann eine von aussen gelagerte Kraft immer diese zentralen Server angreifen und die Infrastruktur als ganzes gefährden.TomL hat geschrieben:12.07.2019 09:37:04Nein, falsch... ich würde es überhaupt nicht nutzen, weil es ein Peer-Netzwerk ist.Trollkirsche hat geschrieben:11.07.2019 23:44:03Interessant. Du würdest also auf das Gnunet verzichten oder es nur im Client Mode einsetzen, weil du dich vor Gnunet Exploits schützen möchtest?
Ich bin jetzt ein wenig unsicher, ob Du uns hier alle vorführen willst oder ob das wirklich Dein Ernst ist. In einem Peer2Peer-Netzwerk *) gibt es keine zentralen Server, jeder einzelne in diesem Netzwerk beteiligte Host ist immer gleichzeitig Server und Client. Und die Kontrolle eines bestimmten Hosts, der da also auch als Server werkelt, also auch Dein eigener PC, ist dann von der jeweiligen Qualifikation desjenigen abhängig, der an der Tastatur sitzt und sich selber Admin nennt. Nun ja, als Server-Admin mit einem solcherart im WWW exponierten System kannst nur Du selber Deine Qualifikation einschätzen ... meine wäre für solche Fälle jedenfalls nicht ausreichend.Trollkirsche hat geschrieben:12.07.2019 14:23:47Was ist an einem Peer2Peer Netzwerk schlecht? Ist ein Netz, welches auf zentrale Dienste beruht und dessen Infrastruktur von Kräften, die die Server unter Kontrolle halten, denn von Vorteil? Selbst wenn die Server von Menschen betrieben wird, die guter Absicht sind, so kann eine von aussen gelagerte Kraft immer diese zentralen Server angreifen und die Infrastruktur als ganzes gefährden.
Je nach Konzeption eines Peer2Peer Netzwerkes hast du noch lange nicht Zugriff auf andere Hosts, sondern es wird lediglich der verschlüsselte Traffic durchgeleitet. Auch zwingt dich keiner irgendwelche Dienste bereit zu stellen. Eine Direktverbindung kannst du nur eingehen indem du bewusst einwilligst, dies zu tun. Und da ihr dann die Public Keys voneinander habt, habt ihr auch die Kontrolle im Gegensatz zu einem Netzwerk, bei dem sich alle auf deinen PC verbinden können.TomL hat geschrieben:12.07.2019 15:15:13Ich bin jetzt ein wenig unsicher, ob Du uns hier alle vorführen willst oder ob das wirklich Dein Ernst ist. In einem Peer2Peer-Netzwerk *) gibt es keine zentralen Server, jeder einzelne in diesem Netzwerk beteiligte Host ist immer gleichzeitig Server und Client. Und die Kontrolle eines bestimmten Hosts, der da also auch als Server werkelt, also auch Dein eigener PC, ist dann von der jeweiligen Qualifikation desjenigen abhängig, der an der Tastatur sitzt und sich selber Admin nennt. Nun ja, als Server-Admin mit einem solcherart im WWW exponierten System kannst nur Du selber Deine Qualifikation einschätzen ... meine wäre für solche Fälle jedenfalls nicht ausreichend.Trollkirsche hat geschrieben:12.07.2019 14:23:47Was ist an einem Peer2Peer Netzwerk schlecht? Ist ein Netz, welches auf zentrale Dienste beruht und dessen Infrastruktur von Kräften, die die Server unter Kontrolle halten, denn von Vorteil? Selbst wenn die Server von Menschen betrieben wird, die guter Absicht sind, so kann eine von aussen gelagerte Kraft immer diese zentralen Server angreifen und die Infrastruktur als ganzes gefährden.
Ich verabschiede mich damit dann mal bis auf weiteres....
*)
https://de.wikipedia.org/wiki/Peer-to-Peer (siehe 2. Absatz)
https://de.wikipedia.org/wiki/GNUnet (gleich der erste Satz)
