Предупреждение о безопасности Firebird для всех старых версий
Проект Firebird обнаружил критические проблемы безопасности в старых версиях всех поддерживаемых релизов. Если ваша версия равна или меньше указанных версий (с номерами сборки) 3.0.13.33809, 4.0.6.3203 или 5.0.3.1651, вам необходимо обновиться до последних релизов Firebird (3.0.13.33818, 4.0.6.3221, 5.0.3.1683, доступных на www.firebirdsql.org). Подчеркиваем: если у вас версии типа 3.0.10, 4.0.4, 2.5.8 или 5.0.2, вы находитесь в зоне опасности. Уязвимость нулевого дня была обнаружена во всех версиях Firebird с номерами версий менее 3.0.13.33809, 4.0.6.3203 и 5.0.3.1651 (это означает, что текущие релизы на www.firebirdsql.org имеют исправленную проблему). Злоумышленник может вызвать DoS-атаку на сервер Firebird, отправив определенную последовательность байтов — логин/пароль сервера не требуется. Для эксплуатации уязвимости достаточно отправить набор байтов на порт Firebird, поэтому мы рекомендуем обновиться как можно скорее. Специальное примечание для пользователей vanilla 2.5: версия 2.5 также страдает от этой проблемы, но поскольку она не поддерживается Проектом Firebird с 2019 года, исправления для vanilla Firebird 2.5 не будет, поэтому вам необходимо обновиться как можно скорее. Что делать 1. Проверьте версию вашего Firebird: для этого запустите в командной строке какой-либо инструмент с опцией -z (из вашей установки), например, gstat.exe -z и проверьте полную версию. В Windows вы также можете щелкнуть правой кнопкой мыши на firebird.exe и посмотреть вкладку "Подробно". 2. Если вы используете последнюю выпущенную версию — то есть равную или выше 3.0.13.33818, 4.0.6.3221, 5.0.3.1683, вы в безопасности. Если версия меньше — вы в опасности, поэтому планируйте обновление до последнего релиза Firebird как можно скорее. 3. Если вы используете небезопасную старую версию, убедитесь, что порт 3050 доступен только для подключений доверенных клиентов. Планируйте обновление как можно скорее. Нужна помощь? Обращайтесь по адресу ak@firebirdsql.org с любыми вопросами. Оригинальная новость - https://firebirdsql.org/en/news/firebird-securty-alert-for-a ll-old-versions
Re: Предупреждение о безопасности Firebird для всех старых версий
Для обновления Firebird до 3.0.13.33818 на Ubuntu достаточно ли запустить скрипт из коллекции одношаговой установки или нет? https://github.com/IBSurgeon/firebirdlinuxinstall/tree/main/ ubuntu24 Т.е. скрипт "знает" о последней версии? В скрипте fb_vanilla_ub24-30.sh вижу строки: FB_URL=" https://github.com/FirebirdSQL/firebird/releases/download/v3 .0.12/Firebird-3.0.12.33787-0.amd64.tar.gz" DBG_URL=" https://github.com/FirebirdSQL/firebird/releases/download/v3 .0.13/Firebird-debuginfo-3.0.13.33818-0.amd64.tar.gz" Здесь нет ошибки в значении переменной FB_URL ? Перед запуском скрипта службу Firebird останавливать вручную или скрипт ее сам остановит?
Здесь ошибка в скрипте, подставьте https://github.com/FirebirdSQL/firebird/releases/download/v3 .0.13/Firebird-3.0.13.33818-0.amd64.tar.gz Можете взять ссылку отсюда, можете из другого скрипта (в других всё нормально), можете из раздела Downloads сайта firebirdsql Ошибку сейчас исправлю.
Это такой тонкий британский юмор? Предположительно, код два-пять посмотрели просто потому, что эта версия всё ещё включена в дистрибутив HQbird. P.S. Если я всё путаю, то уязвимость позволяет уронить сервер специально сформированным (сетевым) пакетом. Если ваша двойка находится в среде, где это актуально, то у вас - много других проблем, кроме возможной уязвимости.
Это не юмор. Мы 2.0 по дефолоту ставим по сей день в продакшион. Хотелось бы знать размер дыр.