San DynoRoot, che prendeva ordini dal DHCP

Patrono dei client DHCP, degli script di sistema scritti in fretta e delle reti dove ci si fida del primo che risponde.

Vita

Nel maggio 2018 Felix Wilhelm del team di sicurezza di Google trovò DynoRoot (CVE-2018-1111): lo script che integrava il client DHCP con NetworkManager su Red Hat, Fedora e derivate passava alla shell i valori ricevuti dal server senza ripulirli. Un server DHCP malevolo, o un attaccante capace di rispondere per primo sulla rete, poteva così far eseguire comandi come root sul client, semplicemente assegnandogli un indirizzo.

Preghiera

O San DynoRoot, che prendi per buono ogni valore che arriva dalla rete, fa' che i nostri script mettano tra virgolette ciò di cui non si fidano. Amen.

Come si festeggia

Si festeggia installando gli aggiornamenti del maggio 2018 e ricordando che anche chi dà gli indirizzi va trattato come un estraneo.

Chi assegna gli indirizzi, non sempre è amico.