Уразливість GHOST glibc (CVE-2015-0235): чи потрібно перезапустити сервер після оновлення glibc?

Я хочу оновити glibc відповідно до RedHat: https://rhn.redhat.com/errata/RHSA-2015-0090.html

Чи потрібно перезапустити сервер після оновлення glibc?

vulnerabilities ghost glibc

— Майкл
джерело

Відповіді:

Перезапуск технічно не вимагається , оскільки потрібно лише перезапустити лише програми, які використовують glibc, а ядро не використовує glibc.

Незважаючи на це, перезапуск всього, що використовує glibc, є достатньо широким, щоб ви могли просто перезавантажити .

Наприклад, /sbin/initвикористовує glibc. Однак перезапуск це тривіально (запустити init uяк root).

— gowenfawr
джерело

OTOH Я серйозно сумніваюся, що initвін вразливий через CVE :)

— Ербурет говорить, що повернеться Моніка

@Erbureth, я згоден, але я думаю, що "я думаю, що ця програма є вразливою, я думаю, що програма не є" це "дивна гра. Єдиний хід, який виграє, - це не грати".

— gowenfawr

sysvinit безпечний (без дзвінків DNS і часто, але не завжди також статично пов’язаний). systemdяк видається, має роздільну здатність все своє. На мій досвід, заміна бібліотек, використовуваних тривалими процесами, може спричинити нестабільність. Перезавантажтесь і будьте щасливі.

— mr.spuratic

sysvinit можна перезапустити. Видайте команду init u, і вона виконає / sbin / init.

— Джошуа

FYI: Перезапуск init без перезавантаження системи

— Жил "ТАК - перестань бути злим"

Якщо ви задоволені перезавантаженням вручну окремих служб, які використовують вразливу бібліотеку, ви можете запустити цю команду та перезапустити перелічені процеси:

# lsof | awk '/libc-/ {print $1}' | sort -u

Напевно, ви побачите, що буде легше повністю перезапустити машину.

— de020239
джерело

lsof | awk '/DEL.*libc/{print $1}' | sort -uвідповідати лише тим, що посилаються на видалений (після оновлення) libc.

— sch

Хтось насправді перевіряв вихід lsof | grep libc? Він відповідає тоні бібліотек, включаючи libcurl, libcups, libcairo і т. Д. Перехоплення, libc-здається, дає правильні результати.

Це досить крутий і неточний метод. Як виявити запущені процеси за допомогою бібліотечного пакета? У будь-якому випадку, для glibc відповідь - це майже кожен процес. Що було б корисно було б знати, які процеси залишилися зі старою копією, і ця команда не скаже вам.

— Жиль "ТАК - перестань бути злим"

Так, процеси, які залежать від старої версії glibc, починаються знову з нової версії бібліотеки. З цієї причини також потрібно перекомпілювати статично пов'язані програми.

— Онана
джерело

Статичне зв’язування, мабуть, є рідкісним, враховуючи взаємодію функцій DNS з NSS, glibc та історичні ухили колишнього сервісу glibc .

— mr.spuratic