https://www.opennet.ru/openforum/vsluhforumID3/139859.html В развиваемом проектом Sagredo форке почтового сервера qmail выявлена уязвимость (CVE-2026-41113), позволяющая добиться удалённого выполнения произвольных команд на сервере с правами пользователя qmailr. Уязвимость вызвана отсутствием экранирования спецсимволов в имени хоста, возвращаемого DNS-сервером при определении MX-шлюза, в сочетании с передачей полученного имени в команду popen без должного разделения и фильтрации аргументов при вызове shell. Уязвимость устранена в выпуске 2026.04.07. В открытом доступе опубликован инструментарий для эксплуатации уязвимости...<br><br>Подробнее: https://www.opennet.ru/opennews/art.shtml?num=65241<br> https://www.opennet.ru/openforum/vsluhforumID3/139859.html#48 Mon, 20 Apr 2026 12:33:24 GMT Там ниже я привёл код фактически выдранный из touch во фре, с уменьшиным до минимума функционалом.<br> https://www.opennet.ru/openforum/vsluhforumID3/139859.html#46 Mon, 20 Apr 2026 06:16:23 GMT Да даже если бы и с "должным". Есть одно правило - данные в дочерний процесс можно передавать исключительно через механизмы IPC. Ни в коем случае не командная строка, и не stdin, дочерний процесс должен иметь выделенный канал для данных. Если дочерний процесс в это не умеет, то значит его вообще никак использовать нельзя, нуждается в доработке.<br> https://www.opennet.ru/openforum/vsluhforumID3/139859.html#45 Mon, 20 Apr 2026 04:32:57 GMT Это не древность, это суровая современность. Их так учат (в Китае?): писать на C как на питоне/баше. Синтаксис же похож?!? Похож. Ну и хреначим говнокод быстро-быстро. Времени на изучение библиотек нету. Кушать хочется.<br> https://www.opennet.ru/openforum/vsluhforumID3/139859.html#44 Mon, 20 Apr 2026 04:32:06 GMT Это не древность, это суровая современность. Их так учат (в Китае?): писать на C как на питоне/баше. Синтаксис же похож?!? Похож. Ну и хреначим говнокод быстро-быстро. Времени на изучение библиотек нету. Кушать хочется.<br> https://www.opennet.ru/openforum/vsluhforumID3/139859.html#42 Mon, 20 Apr 2026 01:00:05 GMT Да, это хорошая гипотеза. Запускать сабшелл из C для того, чтобы сделать touch, это надо быть либо альтернативно одарённым программистом, либо сисадмином.<br><br><br>Это же делается примерно так:<br><br>int fd = open("file.txt", O_CREAT &#124; O_WRONLY, 0666); // NB. эта строчка демонстрирует экстремистскую символику, простите<br>if (fd &gt;= 0) close(fd);<br><br>Если нужно ещё и таймстапмы обновлять, то надо добавить ещё:<br><br>utime("file.txt", NULL);<br><br> https://www.opennet.ru/openforum/vsluhforumID3/139859.html#39 Sun, 19 Apr 2026 22:15:00 GMT Одно то, что тебя трясёт от C/C++ заставляет писать на нём<br> https://www.opennet.ru/openforum/vsluhforumID3/139859.html#36 Sun, 19 Apr 2026 18:52:02 GMT Вот вероятно друго одмин и накодил это :)<br> https://www.opennet.ru/openforum/vsluhforumID3/139859.html#35 Sun, 19 Apr 2026 18:43:35 GMT Потому что какакод. И пейсатель поди или древний или с другого языка свичнулся.<br>touch - чтобы своё такое реализовать кода надо всего строчек менее 20 строчек:<br><br>#include &lt;sys/stat.h&gt;<br>static inline int<br>touch_file(const char *filename) {<br>int fd, rc;<br>struct timespec ts[2];<br><br>ts[0].tv_sec = ts[1].tv_sec = 0;<br>ts[0].tv_nsec = ts[1].tv_nsec = UTIME_NOW;<br>if (0 == utimensat(AT_FDCWD, filename, ts, 0))<br>return (0);<br>fd = open(filename, (O_WRONLY &#124; O_CREAT), DEFFILEMODE);<br>if (-1 == fd)<br>return (errno);<br>rc = futimens(fd, ts);<br>close(fd);<br>if (0 == rc)<br>return (0);<br>return (errno);<br>}<br><br>А дёргать целый запуск процесса ради такой ерунды на 1 / 4 сискола это просто нечто.<br> https://www.opennet.ru/openforum/vsluhforumID3/139859.html#34 Sun, 19 Apr 2026 18:39:38 GMT Вот, ять, почему когла мне, ни разу не профессиональному программисту, а вовсе даже сисадмину, понадобилось написать небольшую программку, которая использовала функциональность некоей утилиты, я не поленился прочитать документацию на либу, на которой основана эта утилита, и изучить как подтягивать сишные либы в том языке, на котором надо было эту программу написать. И всё это - именно для того, чтобы избежать одного-единственного класса уязвимостей - того, который описан в новости.<br>А профессиональные программисты пошут вот так, как они пишут.<br>В этом же нет никакой принципиальной непреодолимой сложности - вместо вызова дочернего шелла подтянуть либу и дёргать её функции!<br>