URL: https://www.opennet.dev/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 133772
[ Назад ]

Исходное сообщение
"Уязвимость в Fluent Bit, затрагивающая многих облачных провайдеров"

Отправлено opennews , 22-Май-24 11:40 
В открытом проекте Fluent Bit выявлена уязвимость (CVE-2024-4323), позволяющая удалённо добиться повреждения памяти, что можно использовать для вызова отказа в обслуживании, утечки данных и потенциально выполнения своего кода на сервере. Проблема, которой присвоено кодовое имя "Linguistic Lumberjack", имеет критический уровень опасности (9.8 из 10). Уязвимость проявляется начиная с версии 2.0.7 и устранена в корректирующих обновлениях 2.2.3 и  3.0.4...

Подробнее: https://www.opennet.dev/opennews/art.shtml?num=61229


Содержание

Сообщения в этом обсуждении
"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Анониматор , 22-Май-24 11:43 
10 миллиардов внедрений. Столько даже людей нет

"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Аноним , 22-Май-24 11:53 
На каждого человека по 10 серверов работает для обработки метрик с него снятых.

"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Аноним , 22-Май-24 12:25 
Всё должно быть под контролем, иначе minority report не триггернёт.

"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено нах. , 22-Май-24 12:39 
контроля тоже никакого нет - никто эти логи НИКОГДА не будет читать.


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Аноним , 22-Май-24 12:47 
враньё, регулярно читаются при бэкапе

"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено нах. , 22-Май-24 15:41 
пишутся же ж!


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Ыыыыыы , 22-Май-24 13:34 
> контроля тоже никакого нет - никто эти логи НИКОГДА не будет читать.

А искусственный интеллект для чего создан? Он все прочитает и проконтролирует. Все метрики кожаных мешков проанализированы


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Аноним , 22-Май-24 15:58 
Не надо читать, нужно слать алерт

"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Banned , 22-Май-24 16:52 
Ты отрастил третью ногу? ИИ ошибется еще если не так и таргет вместо смузи сменится на мартини. Пиксар 14% художников выкидывает уже,а ты ты думал белоснежка реально так загорела? Ничего. Как только видяхи заменят,на норм процы для расчетов,все будет как при дедах.

"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено нах. , 22-Май-24 17:25 
>  Ты отрастил третью ногу? ИИ ошибется еще если не так и
> таргет вместо смузи сменится на мартини.

никто ж и не заметит даже? Налито, выпито, счет...какой еще счет, у нас безакцептное списание, перекошенная рожа клиента никого не интересует.
(а там, может, и привыкнет, и даже понравится)

> Пиксар 14% художников выкидывает уже,а ты ты думал белоснежка реально так загорела?

дык вот за это и выкидывает. Загорелых белоснежек с тремя ногами по шести пальцев на каждой ИИ и сам умеет шлепать. То есть это вообще пока единственное в чем он преуспел без всяких сомнений.


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено нах. , 22-Май-24 16:53 
> Не надо читать, нужно слать алерт

угу, миллионы алертов. ффсе крассное.

На которые все кладут х-й потому что уже никто не помнит что этот алерт означает и зачем он вылез. Да и бестолку.


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Ыыыыыы , 22-Май-24 17:16 
> миллионы алертов. ффсе крассное. На которые все кладут

Надо просто автоматизировать правоприменительную практику, чтобы искусственный интеллект не только алерты слал, но и все остальное делал: взятие на карандаш, возбуждение уголовного дела, отправку мобильного биореактора к подозрительному биологическому объекту.


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено нах. , 22-Май-24 17:22 
э... так уже... и доказывать камере что это ты не на встречку выехал, а просто блик от фары - занятие довольно унылое, "проще заплатить".

Ну это пока биореактор не интегрировали. А там - крышка хлоп, рассол хлюп, и в общем-то и некому уже возражать.


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Ыыыыыы , 22-Май-24 17:34 
> это ты не на встречку выехал, а просто блик от фары

Да, но искусственный интеллект ошибается реже, чем человек. Правовая культура вырастет.

> "проще заплатить". Ну это пока биореактор не интегрировали.

ИИ взяток не берет. А, после интеграции биореактора, настанет светлое будущее. Законность и порядок.


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Аноним , 22-Май-24 22:43 
Как же тогда люди будут жить-то, без лжи и вранья? Тяжело-о-о-о-о...

"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Аноним , 22-Май-24 19:08 
> Надо просто автоматизировать правоприменительную практику, чтобы искусственный интеллект
> не только алерты слал, но и все остальное делал: взятие на карандаш, возбуждение
> уголовного дела, отправку мобильного биореактора к подозрительному биологическому объекту.

Можно оптимизировать - серия фильмов Терминатор намекает!

На кой черт AI тратить ресурсы на правосудие, алерты, взятие на карандаш и проч? Раскидал ближайшим терминаторам описание цели - и готово.


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Ыыыыыы , 22-Май-24 19:29 
> Можно оптимизировать - серия фильмов Терминатор намекает!

Не торопите события. Для этого надо, чтобы AI вышел из под контроля. Пока до этого еще далеко.

> На кой черт AI тратить ресурсы на правосудие, алерты, взятие на карандаш и проч?

AI без разницы. Если заказчик захочет соблюдения процессуальных норм, то так тому и быть.


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Аноним , 22-Май-24 20:08 
> уже никто не помнит что этот алерт означает и зачем он вылез

Это просто потому что у вас мониторингом занимаются какие-то мудаки. Не надо так.

Алерт тебе скажет где конкретно, когда и какая у тебя случилась херня. А дальше, если надо, иди и читай логи.


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Ыыыыыы , 22-Май-24 20:34 
> Алерт тебе скажет где конкретно, когда и какая у тебя случилась херня. А дальше, если надо, иди и читай логи.

Там, в начале ветки, один чел сказал, что количество инстансов в облаках больше, чем людских задниц на земле.
А второй чел вбросил, что они нужны для сбора и обработки метаданных об этих задницах.

Интересно, какие логи вы собрались читать в ручную? Без аналитических инструментов в биг-дате ничего не разобрать.


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Аноним , 22-Май-24 20:39 
Действительно про задницы. Посыпаю голову пеплом.

"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено нах. , 22-Май-24 22:46 
>> уже никто не помнит что этот алерт означает и зачем он вылез
> Это просто потому что у вас мониторингом занимаются какие-то мудаки. Не надо
> так.

это происходит там где перейден уровень твоего подкроватного микрокластера. Исключения крайняя редкость (и живут недолго и помирают несчастливо).

> Алерт тебе скажет где конкретно, когда и какая у тебя случилась херня.

в огромных системах херня случается быстрее чем ты успеешь дочитать до середины строчки. Там в общем-то все время куча всякой херни происходит.
> А дальше, если надо, иди и читай логи.

экзабайты логов. Иди вот и читай.

На практике никто и никогда их не прочтет - физически невозможно. Настроят алерты на какие-то именно этим сеньорам-однодневкам понятные комбинации строчек в логах, добавив еще два десятка к тем предыдущим ста тыщам. Через неделю синьора-помидора отправляют в салат, или он переходит в другое подразделение, а бесполезный алерт остается. Помимо тех что уже были.

И возвращаются в режим "чо-та после деплоя подтормаживает? Давай перезапустим еще раз!"



"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено pofigist , 22-Май-24 20:33 
Это потому что zabbix. Современные системы зонтичного мониторинга таким не страдают.

"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено нах. , 22-Май-24 22:46 
> Это потому что zabbix. Современные системы зонтичного мониторинга таким не страдают.

главное веровать.


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено нах. , 22-Май-24 12:39 
так, этого уволить сегодняшним днем - не понимает в linear scaling!

десять... я подозреваю что ДЕСЯТЬ - обрабатывают только вот этот твой чих в олдскульной веб-борде (которая конечно-конечно же сама за тобой не следит... но есть нюанс)


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено fyjy , 22-Май-24 11:53 
Ну так линуксовых ядер тоже больше чем людей.
Ты тоже можешь развернуть 100500 виртуалок, контейнеров и тд.

"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Аноним , 22-Май-24 11:55 
Учтены внедрения в т.ч. и на Нибиру.

"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Аноним , 22-Май-24 12:28 
Deploy with Docker - https://docs.fluentbit.io/manual/installation/docker

> docker run -ti cr.fluentbit.io/fluent/fluent-bit

Ура! Получили ещё одно внедрение fluentbit!


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено myster , 22-Май-24 12:36 
> Deploy with Docker

странные люди не через контейнер подобные сборщики логов настраивают


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено 12yoexpert , 22-Май-24 15:20 
без контейнера настроил и забыл, а с докером всегда работа есть. нужно как-то кормить жену-детей

"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено myster , 22-Май-24 17:04 
Например? Какую работу добавит нам Docker? Наоборот, поставил и забыл, образ и обновлять проще, чем через пакеты с их зависимостями и сторонними репами.

"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено scriptkiddis , 22-Май-24 17:34 
Насмешил, аж до слез

"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено 12yoexpert , 22-Май-24 17:41 
Ааа, интересно рассказываешь. А откуда берутся пакеты в образе? Или твой уровень - использовать готовые сторонние образы, ничего там не меняя и не доустанавливая? Типа сайтики на жс

"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено нах. , 22-Май-24 22:49 
> Ааа, интересно рассказываешь. А откуда берутся пакеты в образе?

А нахрен мне знать если можно не знать? Откуда -то берутся. (или не берутся - FROM: srach
ADD 8gb.tar /

> - использовать готовые сторонние образы, ничего там не меняя и не
> доустанавливая? Типа сайтики на жс

внезапно, именно для этого придуман доскер и oci. Типа вся ойтишечка сейчас на 99.99 и есть сайтик на жеес.

Проснись, нео, матрица тебя поимела. Уже вон Crew Dragon вместо управления снабжен планшетиком с ведроидом (и будь уверен - там webview, т.е. снова сайтик на жеес)


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено User , 23-Май-24 07:29 
>[оверквотинг удален]
> А нахрен мне знать если можно не знать? Откуда -то берутся. (или
> не берутся - FROM: srach
> ADD 8gb.tar /
>> - использовать готовые сторонние образы, ничего там не меняя и не
>> доустанавливая? Типа сайтики на жс
> внезапно, именно для этого придуман доскер и oci. Типа вся ойтишечка сейчас
> на 99.99 и есть сайтик на жеес.
> Проснись, нео, матрица тебя поимела. Уже вон Crew Dragon вместо управления снабжен
> планшетиком с ведроидом (и будь уверен - там webview, т.е. снова
> сайтик на жеес)

Ну что ты сразу, а? Хорошо ж сидели. Они все такие - а он нитакой! Он в перерыве от пИсанья комментов уже палку-копалку изобрел и глину на кирпичи месит, еще годик - и песочка для производства процессоров намоет. Сразу ж видно, не какой-то верхогляд, а эксперт СЕРЬЁЗНО РАЗБИРАЮЩИЙСЯ В ВОПРОСЕ ДО САМОГО КОНЦА пишет!


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено myster , 23-Май-24 10:30 
> А откуда берутся пакеты в образе?

Откуда хочешь, ты не привязан к репозиториям конкретного дистрибутива. У тебя полный контроль на тем что ты ставишь.
А вот если ты попытаешься впихнуть невпи#уемое в дистрибутив, то это черевано проблемами, можно сломать родные библиотеки данного дистибутива. Компиляция из исходников тоже не самая хорошая идея, т.к. после этото многие просто копируют бинарники вручную по системе, тем самым создавая хаос, а по хорошему нужно создавать дальше DEB, RPM пакеты, многие таким не заморачиваются.

> Или твой уровень - использовать готовые сторонние образы, ничего там не меняя и не доустанавливая? Типа сайтики на жс

Мой уровень использования это полная контейнеризация любого сервиса или программы, следуя лучшим практикам. Это упрощает администрирование в дальнейшем делает их портативными, можно в любой момент их перенести на любой другой Linux дистрибутив или на винду/FreeBSD/macOS будь на то странная воля.


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено 12yoexpert , 22-Май-24 15:18 
>  10 миллиардов внедрений. Столько даже людей нет

думаю, считалось количество деплоев в кубернетис, а это уже по миллиарду на каждого девопса в день


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено penetrator , 22-Май-24 16:28 
да перевод не очень удачный, обычный новояз, а речь про скаченный пакет или образ

даже если ты это сделал один раз на каждый свой билд 20 раз в день


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Аноним , 22-Май-24 11:43 
1. удалённо добиться повреждения памяти, что можно использовать для вызова отказа в обслуживании, утечки данных и потенциально выполнения своего кода на сервере
2. критический уровень опасности (9.8 из 10)
3. Fluent Bit насчитывает более 10 миллиардов внедрений

.... C 80.8% C++ 7.7%
5. Profit!

Ахахахаха! Я просто не могу!
Где тот анон, который мне заливал про "тепличные уязвимости" которые нигде не испоьзуются и ни на что не влияют?


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Аноним , 22-Май-24 11:52 
Расскажи при чём тут С++. Перечисли кого взломали и что украли. Тут то мы над тобой и поржём.

"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Аноним , 22-Май-24 12:03 
А ты думаешь они просто так наткнулись на уязвимость?
Почитай по ссылке из статьи
While investigating a security flaw in a cloud service (details of which are still pending public disclosure), Tenable researchers discovered that they were able to access a variety of metrics and logging endpoints internal to the cloud service itself.

Т.е они обнаружили это при расследовании уже случившегося факапа.
В общем через годик-два (надеюсь) мы сможем узнать, что и ломанули, и как.
Понятно, что тебе или мне такое сразу не скажут.


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Аноним , 22-Май-24 12:09 
> Расскажи при чём тут С++.

При том что его всего 7%
А вот если бы выкинули дыряшку и использовали современный с++, со всеми плюсами типа smart pointer'ов, то возможно такого бы обосрамса не случилось.
Но это не точно.

В любом случае мастера можно судить по инструментам, которые он использует.


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено 12yoexpert , 22-Май-24 15:17 
мастера у вас на заводе

"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено penetrator , 22-Май-24 16:31 
ну да раз депутатов не посадили, то никто в думе не ворует )))

я очень надеюсь, что я все сделал правильно и ни на одном моем сервере никогда не всплывет никакой руткит


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено нах. , 22-Май-24 16:54 
> я очень надеюсь, что я все сделал правильно и ни на одном
> моем сервере никогда не всплывет никакой руткит

да куда он из под твоей кровати всплывет-то, там же сетка.


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Аноним , 22-Май-24 11:54 
log4j

и что ты теперь скажешь в своё оправдание?


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено кент кента , 22-Май-24 18:03 
>log4j и что ты теперь скажешь в своё оправдание?

на момент обнаружения эта была люто устаревшая либа. пойдет за оправдание?
у меня в хозяйстве (в десятках микросервисов и прожек) ничего не пришлось обновлять/чинить
хотя мы не гонимся за распоследним.


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено User , 22-Май-24 12:23 
Впрочем, ничего нового(С)

"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено fyjy , 22-Май-24 11:50 
Даже стало интересно, а что там за ошибка и какие фиксы.
Спасибо автору новости за ссыль на гитхаб.

Картина, мягко говоря, удручающая.

-   if (strcmp(name, in->name) == 0) {
+   if (strlen(in->name) != nlen) {

-   return flb_sds_create_len(&request->real_path.data[strlen(base)],
                              request->real_path.len - strlen(base));
+   return flb_sds_create_len(&request->real_path.data[sizeof(base)-1],
                              request->real_path.len - sizeof(base)-1);

В общем самые качественные погромисты на си, запутались в длинне массива, опять, снова /_-


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Аноним , 22-Май-24 11:53 
у каждой ошибки есть имя и фамилия

"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Аноним , 22-Май-24 11:54 
Коленом под зад из профессии все равно не погонят.

"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено fyjy , 22-Май-24 14:10 
Ты думаешь это была не случайная ошибка, а намеренный бекдор. Типа как в XZ ?
Хотя судя по импакту и распространенности, надо бы этого кадра, который такой код коммитил, хорошо проверить.

ps буду смеяться если окажется что это аноним, которого вообще никто в глаза не видел.


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Аноним , 22-Май-24 11:53 
Сначала "прототипируют" на питонах, а потом на сях не могут.

"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Аноним , 22-Май-24 12:02 
Нейросеть может.

"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Аноним , 22-Май-24 13:39 
> Нейросеть может.

А на чем ее обучат? На таких же дырявых сишных кодах из интернетиков?
Ну так и получится "кал на входе" - "кал на выходе". И будет она тебе писать такие же дырявые программы.


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено penetrator , 22-Май-24 16:32 
такую же шляпу написать и даже хуже, в лучшем случае статический анализатор на базе нейронки построить, это еще может взлететь

"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Совершенно другой аноним , 22-Май-24 12:12 
есть подозрение, что Вы смотрите немного не туда. Судя по описанию ошибки, то больше похоже на другой код:

-        if (inputs->ptr[i].type != MSGPACK_OBJECT_STR) {
-            msgpack_pack_map(&mp_pck, 1);
-            msgpack_pack_str_with_body(&mp_pck, "status", strlen("status"));
-            msgpack_pack_str_with_body(&mp_pck, "error", strlen("error"));
+        if (inputs->ptr[i].type != MSGPACK_OBJECT_STR || inputs->ptr[i].via.str.ptr == NULL) {
+            response = 503;
+            error_msg = flb_sds_create("invalid input");
+            msgpack_sbuffer_clear(&mp_sbuf);
+            goto unpack_error;

т.е. запутались немного не в длинах, длины решили походу подкрутить.


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Аноним , 22-Май-24 16:11 
> В общем самые качественные погромисты на си, запутались в длинне массива, опять, снова /_-

кто сказал, что это фигню написали самые качественные программисты?


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Аноним , 22-Май-24 16:30 
> кто сказал, что это фигню написали самые качественные программисты?

Ну что за вопрос... Всем известно™, что си программисты это лучший программисты человечества!
Элита из элит! На их прекрасный и надежных кодах держится весь мир!


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Sw00p aka Jerom , 22-Май-24 19:02 
> Элита из элит!

эт вам Торвальдс сказал или дядя Билл?


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Аноним , 22-Май-24 19:39 
> эт вам Торвальдс сказал или дядя Билл?

Пфф... Какие там Биллы и Торвальдсы... Бери выше!
Так решили Анонимы Опеннета!


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Sw00p aka Jerom , 22-Май-24 22:58 
> Пфф...
> Так решили Анонимы Опеннета!

ну хорошо хоть не какие-то рептилоиды :)

пс: всё что решили "Анонимы Опеннета" имеет место быть, пока это не опровергнуто!!!


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Аноним , 22-Май-24 11:56 
Писали бы на Modula 2, не было бы проблем. Кстати, есть в GCC.

"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Аноним , 22-Май-24 14:39 
Лучше на D тогда

"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Аноним , 22-Май-24 15:11 
Чем же лучше? Modula - легенда.

"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Аноним , 22-Май-24 16:19 
Планирую писать свой новый проект на Modula 2. В чём я неправ?

"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Аноним , 22-Май-24 16:47 
>легенда

Вы сами ответили на свой вопрос.


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Аноним , 22-Май-24 16:01 
На ассемблере

"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено User , 23-Май-24 07:34 
> Писали бы на Modula 2, не было бы проблем. Кстати, есть в
> GCC.

Ну... они, если чо, на рубях писали - и таки да, _этих_ проблем у fluentd не было :)


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Аноним , 22-Май-24 12:06 
> Fluent Bit is a super fast, lightweight, and highly scalable logging and metrics processor and forwarder.

Не будет на Си, не будет “super fast, lightweight”.

Практика показывает что такие риски бизнес не страивают.

Пример из жизни. Хотите снизить смертность на автодорогах (в городе), снизьте допустимую скорость автомобилей до 40 км/ч и ниже. Но всех устраивает такое положение дел.


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Аноним , 22-Май-24 12:09 
> “бизнес не страивают” -> “бизнес устраивают”

чертов Т9


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Аноним , 22-Май-24 12:17 
>Не будет на Си, не будет “super fast, lightweight”.

Будет, если вместо cargo использовать самодельный тулчейн и держаться подальше от смузикрэйтов (которые в данеый момент - это вообще все креэйты). Но ты же понимашь, что делать за создателей раста их работу желающих нет совсем.


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено User , 22-Май-24 12:23 
Ну вот есть fluentd на рубях - но желающих его использовать нонеча вроде как не перебор.

"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Аноним , 22-Май-24 12:31 
vector на rust [тоже сыпется на каждый чих]

"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено User , 22-Май-24 12:37 
> vector на rust [тоже сыпется на каждый чих]

Эммм... персонально я пока значимых проблем не видел.


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Аноним , 22-Май-24 12:28 
Неправда.
Уже С++ может выдать сравнимые скорости.
А Раст будет, возможно, медленее на 1%, и то не факт.

> Практика показывает что такие риски бизнеc страивают.

Тоже не совсем правда, думаю бизнес не догадывается, насколько оно дырявое.
Зато когда все твои данные утекли на черный рынок, или ты попал на штраф за утечку, в виде процентов от годового оборота, они резко прозревают и начинают "бегать и суетиться".
А ведь тут могли ломать, например, гос. секреты или корпоративные.

> Пример из жизни. Хотите снизить смертность на автодорогах (в городе), снизьте допустимую скорость автомобилей до 40 км/ч и ниже. Но всех устраивает такое положение дел.

Тоже не совсем правда)
Есть и другие способы. Например разделять потоки, делать путепроводы (наземные/подземные).
Даже разделение дороги по типу бульвара с клумбой посредине, резко уменьшит вероятность лобового столкновения. Можно делать паралельные улицы односторонними.
Можно пойти еще дальше и внедрить что-то вида Vision Zero.

Но это про город. Надеюсь ты не против установки отбойников и разделителей на загородных трассах?

А еще можно выкинуть мясной мешок из-за руля и добавить автоматику. Автоматическое метро уже никого не смущает.
Что пытаются сделать со смартпойнтерами в С++ или c проверками владения в раст.

Те кто меняют безопасность на пару процентов скорости, обнаруживают себя по уши в неприятной субстанции.


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Аноним , 22-Май-24 12:33 
А ещё можно перед посадкой в самолёт делать досмотр на рентгене. Но от террористов это не спасает. Почитай что такое театр безопасности, может быть станешь умнее.

"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Аноним , 22-Май-24 12:40 
А где ты увидел во фразе "Хотите снизить смертность на автодорогах (в городе)" что-то про террористов?
Давай без глупых аналогий.
А то дойдем до того, что светофоры не нужны, тк от ядреной бомбы они не защещают.

>  Почитай что такое театр безопасности, может быть станешь умнее.

Ну ты то свою тупость уже предьявил.


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Аноним , 22-Май-24 13:10 
Твой раст к светофорам имеет примерно никакое отношение.

"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Аноним , 22-Май-24 13:37 
Не, он скорее похож на штраф за нарушение скорости или парковки.
Чтобы всякое невоспитанное б-ло не нарушало.

Ты уже обосарлся с тупейшим примером про террористов и рентген.
Хватит себя закапывать дальше.


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Аноним , 22-Май-24 14:35 
Раст это в лучшем случае смирительная рубашка для таких как ты.

"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Аноним , 22-Май-24 13:59 
А давай вообще даже паспорт не спрашивать!
И багаж не проверять, мы ж верим любому пасажиру.
Зато будет "fast, lightweight, and highly scalable", очередей нет, можно лезть толпой.
От как заживем!

> Почитай что такое театр безопасности, может быть станешь умнее.

Почитал.
Судя по описанию, в этом театре ты 🤡


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено нах. , 22-Май-24 17:01 
> лобового столкновения. Можно делать паралельные улицы односторонними.

Вот это уже близко к тотальному ограничению 40 и ниже.
(в результате ты час тошнишь в пробке в одну сторону, чтобы еще час тошнить в противоположную, затобебебезопастно)

> Но это про город. Надеюсь ты не против установки отбойников и разделителей
> на загородных трассах?

а сколько трупов от того что влепились в отбойник?
А вот на скорости 40 (лучше - 20) - отделался бы поцарапанным бампером.

> А еще можно выкинуть мясной мешок из-за руля и добавить автоматику. Автоматическое

о, да, сколько там счет теслы - трое уже, вроде? И это без учета ручечек патентованных фо фри аз ин фри бир.

И да, я опять чудом затормозил перед безмозглым сбербомбилем. (впрочем, это наверное реалии стран восьмого и девятого мира - в какой-нибудь гермашке у такого банчка-переростка уже отобрали бы за такое лицензию и заодно права у дятла который там сидит для присмотра за роботами)

> Те кто меняют безопасность на пару процентов скорости, обнаруживают себя по уши
> в неприятной субстанции.

отец-основатель американской нации вообще-то говорил ровно об обратном.



"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Аноним , 22-Май-24 18:06 
> в результате ты час тошнишь в пробке в одну сторону, чтобы еще час тошнить в противоположную,

Просто не живи в зажопинске, делов-то.

> затобебебезопастно

Да, именно так. Потому что я не хочу, чтобы в меня влетел какой-то понаех, которому приходится в 5 утра вставать и 2 часа ехать на работку.

> а сколько трупов от того что влепились в отбойник?

Максимум "столько сколько сидело в машине". А если на встречку выехал - то легко в два раза больше.

> о, да, сколько там счет теслы - трое уже, вроде?

Ты наверное хотел написать "всего трое"

> И да, я опять чудом затормозил перед безмозглым сбербомбилем

А было бы и у тебя автоторможение - то затормозил бы не чудом))


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено нах. , 22-Май-24 23:24 
>> в результате ты час тошнишь в пробке в одну сторону, чтобы еще час тошнить в противоположную,
> Просто не живи в зажопинске, делов-то.

Угу, живи в доме образцового коммунистического быта - на первом этаже столовая-прачечная, на втором жилые квартиры, на третьем библиотека, а в подвале ты прикован и выходить никуда и не позволено.

>> а сколько трупов от того что влепились в отбойник?
> Максимум "столько сколько сидело в машине". А если на встречку выехал -

совершенно необязательно - его может бросить в соседние ряды или в него влетит едущий слишком близко в той же полосе. То вот что я наблюдал - было на двоих. А встречка - пустая скорее всего была.
Отбойник полезен только от любителей поездить по встречке - да и то плохо помогает, попадаются же ж профессионалы. Очередной "даихтамтыщи" вылетел мне ночью. Отбойник там как надо отбойник. Хз как он туда попал и почему такой т-пой (ну то есть я догадываюсь, как, и он т-п феноменально, потому что уже давно надо было сообразить).

>> о, да, сколько там счет теслы - трое уже, вроде?
> Ты наверное хотел написать "всего трое"

поискал инцидент - не нашел. Потому что следующими тремя все новости забиты.
Д-лы б-ть необучаемые. Всего их около 100 (тех кто именно по милости автопилота и только по USA)

>> И да, я опять чудом затормозил перед безмозглым сбербомбилем
> А было бы и у тебя автоторможение - то затормозил бы не
> чудом))

угу, автоторможение ж куда-то нечудесным образом уберет инерцию груженого автомобиля.

Попутно еще испарит едущих сзади, а то если б я и мог затормозить быстрее - ничем хорошим в плотном потоке это для меня бы не кончилось.


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено fyjy , 22-Май-24 18:36 
> Вот это уже близко к тотальному ограничению 40 и ниже (в результате ты час тошнишь в пробке в одну сторону, чтобы еще час тошнить в противоположную, затобебебезопастно)

Ну не тошни, сядь на автобус, он по выделенке ездит.

> а сколько трупов от того что влепились в отбойник?

Меньше, чем если бы вылетели на встречку.
Вспомни школьну физику и сложение векторов сил.

> о, да, сколько там счет теслы - трое уже, вроде? И это без учета ручечек патентованных фо фри аз ин фри бир.

А прикинь сколько народу померло, когда эл-во вводили. Хотя от ДТП наверное все равно больше.
Так, что надо было оставаться на лучине и лошадках?

> И да, я опять чудом затормозил перед безмозглым сбербомбилем. (впрочем, это наверное реалии стран восьмого и девятого мира - в какой-нибудь гермашке у такого банчка-переростка уже отобрали бы за такое лицензию и заодно права у дятла который там сидит для присмотра за роботами)

Как ты правильно заметил, проблема не в технологии, а в мясном мешке, который нифига не делает свою работу.
Кто-то овнячит код на сишке обмазываясь void*, кто-то клювом щелкает и ворон считает, вместо того чтобы смотреть на дорогу (это кстати не только пилотов сбермобилей касается))

> отец-основатель американской нации вообще-то говорил ровно об обратном.

Ты про Франклина или Джефферсона?
В те времена, как и сейчас, было модно толкать пафосные лозунги.
Одному кстати это не  мешало содержать загончик рабов)
На любителей щво6одки я уже насмотрелся, особенно на тех которые "я не подписывал договор c государством, ограничения скорости не для меня"


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено нах. , 22-Май-24 22:26 
> Ну не тошни, сядь на автобус, он по выделенке ездит.

а когда тебе нужно провезти с собой детскую коляску, пятнадцать кило инструмента, спортивный снаряж размером больше тебя - иди пешком.

>> а сколько трупов от того что влепились в отбойник?
> Меньше, чем если бы вылетели на встречку.

а на встречке в этот момент могло просто никого и не быть. Последний вон фаршмак виденый мной на ленинградке был именно такого рода. Ночью на пустой дороге.

> Как ты правильно заметил, проблема не в технологии, а в мясном мешке, который нифига не делает
> свою работу.

делает жеж - обучает ИИ вот такому вождению. Вот тогда и похохочем.

А жаловаться можете на деревню дедушке.

> На любителей щво6одки я уже насмотрелся, особенно на тех которые "я не подписывал договор c
> государством, ограничения скорости не для меня"

вон германия живет без идиотского лимита 90 - и ничего, живет. Но видео с дашкама с таким вот сберди6илем переданное прям в ближайшую полицарню - очень быстро привело бы к закрытию проекта или куче извинений, приседаний и большими проблемами потом продлить лицензию.

В принципе, так вот пару раз перестроившись - и мясной мешок может потом в польшу за новыми правами поехать.


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Электрон , 22-Май-24 19:42 
>> лобового столкновения. Можно делать паралельные улицы односторонними.
> Вот это уже близко к тотальному ограничению 40 и ниже.

(в результате ты час тошнишь в пробке

Вообще разные вещи. Не только что разномеренная и высокая скорость содействуют созданию пробки (даже сказать провоцируют), но и то что постоянные 40 км/ч будут выше средней скорости в пробке. Try again.

И процитированный фрагмент как раз предупреждает пробки, так как способствует прогнозируемому движению и разгрузке перекрестков. Не панацея, но все же.


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено нах. , 22-Май-24 22:28 
>>> лобового столкновения. Можно делать паралельные улицы односторонними.
>> Вот это уже близко к тотальному ограничению 40 и ниже.
> (в результате ты час тошнишь в пробке
> Вообще разные вещи. Не только что разномеренная и высокая скорость содействуют созданию

вообще - разные. на 40 ты бы может за час доехал, а по односторонней будешь тошнить два.
Потому что тебе надо - в другую сторону (и всем, что характерно - тоже)

> И процитированный фрагмент как раз предупреждает пробки, так как способствует прогнозируемому
> движению и разгрузке перекрестков. Не панацея, но все же.

угу. прогнозируемо тошнишь не в ту сторону. предупреждая пробки, ага. Правда будь улица двусторонней - ты бы давно приехал и убрался с дороги вообще.


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Электрон , 23-Май-24 15:42 
> вообще - разные. на 40 ты бы может за час доехал, а по односторонней будешь тошнить два.

Извинияюсь, неправильно прочел тот комментарий.


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Аноним , 22-Май-24 13:14 
Ну так написано же про "fast, lightweight, and highly scalable"
А про надежность и безопасность ничего не написано.

> снизьте допустимую скорость автомобилей до 40 км/ч и ниже.

Ты не поверишь, но уже снижают)) И в том числе из-за водятлов для которых "+19 км" это еще не нарушение "патамушта не штрафуют"

Но кроме этого есть еще и другие решения. Напр. системы автоторможения, системы распознания пешеходов и тд.
Всё, у чего реакция быстрее, чем у среднестатистического водителя.


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Аноним , 22-Май-24 14:48 
Ну вот когда везде по городу будет максимальная скорость 40 км/ч с ограничениями до 20 км/ч, вот к тому времени откажутся от C++ и перепишут всё на Rust. То есть никогда.

Мы живем в реальном мире, ты пишешь про идеальный. В реальном мире дешевле жить с проблемами нежели решать их.


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено fyjy , 22-Май-24 15:22 
> Мы живем в реальном мире, ты пишешь про идеальный. В реальном мире дешевле жить с проблемами нежели решать их.

Не, если бы проблемы не решались, то мы бы еще жили в пещерах и одевались в шкуры мамонтов.
Более того, системы автономного экстренного торможения обязательны для грузовиков в еврпах с 2015 года.
А с 2022 такое требование есть для всех новых машин и в европе, и в сша.
Думаю через 15-20 лет, для "вождения" автономной машины, не придется получать вообще никаких разрешений.
И возможно, для управление раритетным ведром без всех этих систем, придется проходить доп. обучение или просто платить дороже за страховку.

Но это случится только, если авто не будут шеретом на колесах, которое любой какир может угнать, ускорить или резко затормозить.

> вот к тому времени откажутся от C++ и перепишут всё на Rust. То есть никогда.

Поживем-увидим, если доживаем, конечно)
Уже крупные компании типа гугла новый код стараются писать на нем, а не на с/с++


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Аноним , 22-Май-24 17:35 
честное слово, "за деревьями леса не видишь"..

не в машинных кодах пишем жеж, никто прогресс не отменял! новые языки появляются и через какое-то время отмирают. придет время и закопают Си и С++, но среди современных ЯП могильщиков С++ не видать. а что будет в будущем, вообще никто не знает! все что вы делаете, экстраполируете будущее из прошлого, а оно так не работает!

не открою тайны, новые ЯП появляются не потому что старые небезопасны, а потому что программисты ТУПЫЕ! Да, умных и талантливых мало, очень мало, ну а программы нужно кому-то писать! Раньше безопасность тоже важна, но не настолько, насколько об этом говорят!


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено fyjy , 22-Май-24 17:53 
> не в машинных кодах пишем жеж, никто прогресс не отменял! новые языки появляются и через какое-то время отмирают.

Согласен, причем некоторые языки не заменяют другие полностью, а занимают какую-то нишу.
Например как вышло с java. А некоторые вообще создают свою, типа JS.

> придет время и закопают Си и С++, но среди современных ЯП могильщиков С++ не видать.

Ок, твое право на собственное мнение.
Мне лично Раст кажется отличным кандидатом.
Доля сишки и так уже снизилась до, наверное минимального. Остались только проекты, типа ядра, которые ну никак переписать даже за пару лет не получится. Новых на нем пракутически не создается.
У с++ ситуация получше, там и винда, и куча прикладного софта, и геймдев.
Но гугл почему-то новые кода для андроида старается писать не на с/с++, наверное о чем-то догадывается.

> а что будет в будущем, вообще никто не знает! все что вы делаете, экстраполируете будущее из прошлого, а оно так не работает!

Тогда буду писать "исходя из текущей ситуации..."

> не открою тайны, новые ЯП появляются не потому что старые небезопасны, а потому что программисты ТУПЫЕ!

Неа, они появляются потому что позволяют сделать то же самое с меньшими затратами.
Например фишка СИ была переносимость.
И его писали не глупые люди, а те кто ценит свое время.

> Да, умных и талантливых мало, очень мало, ну а программы нужно кому-то писать!

Раньше программинг был сродни искусству (хотя я уверен что посредственностей было очень много, просто мы о них ничего не знаем), а сейчас это ремесло, как например строитель или рабочий на заводе.  

> Раньше безопасность тоже важна, но не настолько, насколько об этом говорят!

Раньше не было многих вещей, типа интернета. Чтобы взомать комп, нужно было залезть ко мне домой.
А сейчас могут украсть все что угодно, начиная от фоток из облака или прямо с девайса, заканчивая банковскими картами.
Думаю через 20 лет, пользователь не обрадуется, если его нейролинк взломают и он вместо лиц будет видеть голые попы)
Появляются автономные машины, никто не захочет чтобы ее ломанули и направили в стену.

ИМХО раньше на безопасность забивали, в угоду скорости. Все спекулятивные ошибки типа meltdown, хорошо это показывают.
А сейчас народ начал думать и про безопасность. Если это подкрепить законодательно (например запретом AS IS), то можно будет построить общество, которое не "разрушит пролетавший мимо дятел".


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено тыквенное латте , 24-Май-24 11:28 
>Мне лично Раст кажется отличным кандидатом.

если на нём даже не переписывать что-то средненькое, а вообще не писать - то он не просто отличный, он офигенный.

>А сейчас народ начал думать и про безопасность.

жаль тебя разочаровывать в твои 14 лет, но всем этим тредам про небезопасность С/C++ туева хуча лет. Но как и всё в этой жизни, качество ойти деградирует, и инжинерное дело соответственно. Раньше джависты хотя бы впаривали наряду с безопасностью виртуальную машину и переносимость. Нынешние раствейбины предлагают только безопастность через смирительную рубашку, и то, конкурирующую с анализаторами и фаззерами на любой вкус и цвет. Ну, такое себе. Джависты нашли рынок для трендов безопасность+легкость написания кода+переносимость+энтерпрайз, посмотрим получится ли это у раста. хех.


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Аноним , 22-Май-24 18:11 
> а потому что программисты ТУПЫЕ!

Проблема не в тупизне. Точнее не только в ней.
Посмотри кто добавляет CVE в ядро. Их вряд этих людей можно назвать тупыми. Они пишут очень сложные системы.
Но раз за разом им не хватает внимания, чтобы удержать в голове всё множество связей и зависимостей в коде.
Просто это такое ограничение у человека. У кого-то хуже, у кого-то лучше. Но на любом большом проекте настает момент, когда мясной мешок просто физически не может за всем уследить.


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено нах. , 22-Май-24 22:38 
> Всё, у чего реакция быстрее, чем у среднестатистического водителя.

у среднестатического водителя время реакции - пол-секунды. Как там у среднестатического исскуственного и.ота - не знаю.

А время начала торможения автопоезда с пневматической тормозной системой - ПЯТЬ с-ка секунд!
Пять секунд он ВООБЩЕ нихрена не тормозит. Из них те пол-секунды на принятие решения и нажатие педали, остальное - на срабатывание тормозного тракта и пока колодки пройдут пустое расстояние и начнут прижиматься. Поможет тебе искуственная ид..отия если ты перед таким выскочишь, как ты думаешь?

А на практике все еще хуже - тесла вон снесла человека, стоявшего сзади своей машины. Ну перепутала, бывает. Кожанные мешки хотя бы ТАК - не ошибаются (ты можешь даже человека не заметить, но в любом случае "заметишь" громадный трак за ним и вряд ли захочешь в него въехать).



"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Аноним , 22-Май-24 22:45 
лол, помню был случай, когда мадам на парковке кафе перепутала педали и тупо вьехала в витрину.
12 человек пострадало.

А знакомый знакомого тупо сьехал с дороги в кювет. В итоге перевертыш и пара трупаков.

Тесла хотя бы не говорит "заряд почти на нуле... но х-ли, доеду"))


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено нах. , 22-Май-24 23:02 
> лол, помню был случай, когда мадам на парковке кафе перепутала педали и тупо вьехала в витрину.

это частая беда, возникает у... праааавильно, машин с автоматической коробкой.
Я тоже путаю. Многие переучиваются топтать тормоз левой, именно во избежание.
Ты _думаешь_ что у тебя нога на тормозе, ан нет - ты там переползал через ямку и вынужден был газануть и уже об этом забыл, потому что маневр в узком пространстве и голова занята другим.

А теперь повтори-ка этот фокус на машине с ручкой. Не, педали-то перепутать можно - улететь не получится.

> Тесла хотя бы не говорит "заряд почти на нуле... но х-ли, доеду"))

просто спокойно горит себе. И да, ручечки при этом - не работают. Помочь тебе снаружи - не сможет никто.


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено User , 23-Май-24 08:14 
> А на практике все еще хуже - тесла вон снесла человека, стоявшего
> сзади своей машины. Ну перепутала, бывает. Кожанные мешки хотя бы ТАК
> - не ошибаются (ты можешь даже человека не заметить, но в
> любом случае "заметишь" громадный трак за ним и вряд ли захочешь
> в него въехать).

Оу. В этой олимпиаде тесле ловить нечего, можешь мне поверить. Переплюнуть, скажем, газелиста который вот решил дружбана напугать путем подъезжания к нему вплотную - и вот чуть-чуть, самую капельку, малость - шваркнул его об погрузчик на 96 переломов - ей не удастся ни-ког-да. И выкинуть велосипедиста с дороги - "а чо он?!" - ей тоже слабо. И... в общем, предполагаю, что даже в текущем виде автопилот _кратно_ если не _порядково_ безопасней специально обученных (У них даже свидетельства о том обучении есть, прикинь? "Права" называются) человеков.


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено нах. , 23-Май-24 10:10 
Естественно - дружбан-то выжил, а тот неудачник - нет. Причем его никто не собирался пугать. Кожанный мешок за рулем вообще не принимал участия в управлении (и его реакции все равно недостаточно чтобы перехватить инициативу у терминатора)

> И выкинуть велосипедиста с дороги - "а чо он?!" - ей тоже слабо.

и учти что за этот фокус ты рискуешь поехать удобрять черноземы одной соседней страны.

А гений Маск - не рискует ничем (и еще и труп соседа как ловко выкинул!)


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено User , 23-Май-24 11:33 
> Естественно - дружбан-то выжил, а тот неудачник - нет. Причем его никто
> не собирался пугать. Кожанный мешок за рулем вообще не принимал участия
> в управлении (и его реакции все равно недостаточно чтобы перехватить инициативу
> у терминатора)

Этот конкретный - выжил, да. Тот конкретный - нет. Предлагаешь посчитать, кого больше?

> и учти что за этот фокус ты рискуешь поехать удобрять черноземы одной
> соседней страны.

Ну, мне чуть не отправившемуся удобрять нечернозем своей страны от этого офигительно легче, да.

> А гений Маск - не рискует ничем (и еще и труп соседа
> как ловко выкинул!)

Кто сел за электронную педаль газа toyota, например? Ну, вообще - много ли примеров юридической ответственности за ошибки в ПО ты знаешь?


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено нах. , 23-Май-24 11:40 
> Кто сел за электронную педаль газа toyota, например?

В одной очень окруженной врагами стране - ты и сядешь, если сам выжил. И в целом правильно - потому что педаль может заесть даже и чисто механически, валенок там под нее закатился, или кошка принесла котят, но если ты со всей дури нажмешь тормоз - даже при нажатом в пол газе машина в конце-концов заглохнет и остановится.

А вот догадается ли это сделать исскуственный ид..т ?


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено User , 23-Май-24 11:50 
>> Кто сел за электронную педаль газа toyota, например?
> В одной очень окруженной врагами стране - ты и сядешь, если сам
> выжил. И в целом правильно - потому что педаль может заесть
> даже и чисто механически, валенок там под нее закатился, или кошка
> принесла котят, но если ты со всей дури нажмешь тормоз -
> даже при нажатом в пол газе машина в конце-концов заглохнет и
> остановится.
> А вот догадается ли это сделать исскуственный ид..т ?

Ну, т.е. даже в очень окруженной врагами стране инженерам тойоты или даже жигулей - ничего не грозит, да? А вот Илону, мать его, Муску - почему-то должно...



"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено нах. , 23-Май-24 14:07 
потому что именно он придумал что водитель может не участвовать в управлении (да, я знаю про мелкий шрифтик, но ты вот попробуй сидеть ничего не делая но при этом держать руль и  ногу на педали. ТАК ушлепски - даже автопилоты в самолетах не делают.
Т.е. этот мелкошрифтик изначально и намеренно задуман невыполнимым.


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено User , 23-Май-24 15:14 
> потому что именно он придумал что водитель может не участвовать в управлении
> (да, я знаю про мелкий шрифтик, но ты вот попробуй сидеть
> ничего не делая но при этом держать руль и  ногу
> на педали. ТАК ушлепски - даже автопилоты в самолетах не делают.
> Т.е. этот мелкошрифтик изначально и намеренно задуман невыполнимым.

Так что не так-то? IRL у этой теслы количество аварий на тыс.км по сравнению с человеками, если я ничего не путаю - меньше.

Ещё раз - кого сажать за проблемы в софте, вызвавшие человеческие жертвы? Диспетчера на пульте, даже если режим в этот момент суутп вёл, или программиста Сашу, который эту суутп конфигурял? У диспетчера в ди Да-да, есть пунктик со шрифтиком, мол "обязан контролировать состояние..." - только в перечне оснований взятия на ручку вот того вот роста давления не было. А может надо бизнесмена Константина Николаевича, который эту суутп (правда ведущую режим до 15% по месяцу лучше человека) внедрил и уволившего нахер трех диспетчером, так что смотреть за всем хозяйством стало решительно невозможно?
Хинт - Сашу никто не посадил.


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено нах. , 23-Май-24 15:26 
> Так что не так-то? IRL у этой теслы количество аварий на тыс.км
> по сравнению с человеками, если я ничего не путаю - меньше.

этой статистики - НЕТ.
Во всяком случае - доступной.

А вот совершенно безумные единичные случаи - стоит принимать во внимание - с учетом того что теслу на дороге ты видишь раз в году.

> Ещё раз - кого сажать за проблемы в софте, вызвавшие человеческие жертвы?

еще раз: если софт не собирался заменять человека - значит, человека. Который и должен был принять меры.
Если софт - именно для замены потому что он лучшее, безопастннее и смузи пахнет - то человеку тут места нет, не смотря на мелкий шрифт. Угадай кого сажать на самом деле надо, а не как всегда?

> Хинт - Сашу никто не посадил.

повезло, в следующий раз точно сядет. Не константинниколаичу же ж сидеть, в самом деле. Он и так на бабки попал. Надоть ему зельоную субсидию дать, на поправку бузинеса, ведь снизил же ж углеродный след!


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено User , 23-Май-24 16:42 
> А вот совершенно безумные единичные случаи - стоит принимать во внимание -
> с учетом того что теслу на дороге ты видишь раз в
> году.

Ну вот этих совершенно безумных единичных случаев с человеками - я лично видел. В количестве существенно большем, чем мне бы хотелось. Персонально я верю детищу Маска существенно больше, чем Имаджону с полным салоном пустых банок из-под энергетика

> еще раз: если софт не собирался заменять человека - значит, человека. Который
> и должен был принять меры.
> Если софт - именно для замены потому что он лучшее, безопастннее и
> смузи пахнет - то человеку тут места нет, не смотря на
> мелкий шрифт. Угадай кого сажать на самом деле надо, а не
> как всегда?

Электронная педаль газа, делавшая тапку-в-пол - она планировала человеков заменять - или не очень? Система Улучшенного Управления Технологическим Процессом - кагбэ да, но на полшишечки.

>> Хинт - Сашу никто не посадил.
> повезло, в следующий раз точно сядет.

О подобных прецедентах мне лично не известно.
> Не константинниколаичу же ж сидеть, в
> самом деле. Он и так на бабки попал. Надоть ему зельоную
> субсидию дать, на поправку бузинеса, ведь снизил же ж углеродный след!

Определенно. Условку получил диспетчер - которой на самом деле в том числе и вот за это платят больше, чем программисту-Саше.



"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено нах. , 23-Май-24 16:52 
> Ну вот этих совершенно безумных единичных случаев с человеками - я лично видел.

выглянь в окошко - сколько тесл ты видишь? Вот именно.

А когда их там станет видно - случаев ты тоже увидишь. Хорошо если с безопасной дистанции.

> Электронная педаль газа, делавшая тапку-в-пол - она планировала человеков заменять - или не
> очень?

нет. Просто деталь. Была бы железная на проволочке - могла заесть а пружинка лопнуть. Или калоша с валенка под нее сползла.
Человек вполне оборудован разумом и навыками среагировать правильно (потому что если ты хотел помедленнее и отпустил педаль, а оно все еще слишком быстро - что происходит сплошь и рядом при вполне исправном автомобиле - ты тут же жмешь тормоз)


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено User , 23-Май-24 18:57 
>> Электронная педаль газа, делавшая тапку-в-пол - она планировала человеков заменять - или не
>> очень?
> нет. Просто деталь. Была бы железная на проволочке - могла заесть а
> пружинка лопнуть. Или калоша с валенка под нее сползла.
> Человек вполне оборудован разумом и навыками среагировать правильно (потому что если ты
> хотел помедленнее и отпустил педаль, а оно все еще слишком быстро
> - что происходит сплошь и рядом при вполне исправном автомобиле -
> ты тут же жмешь тормоз)

Ну вот как показали соответствующие кейсы - человки _потенциально_ оборудованы разумом и навыками (И - потенциально - автопилот теслы остановить тоже в состоянии, чому ни?). А реально в соответствующих условиях они этими качествами воспользоваться en masse - ну вот нимогут.


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено User , 23-Май-24 07:43 
> Ты не поверишь, но уже снижают)) И в том числе из-за водятлов
> для которых "+19 км" это еще не нарушение "патамушта не штрафуют"

Ооооо, даааа! Более вредной идеи, чем "нештрафуемый интервал" - прям еще поискать. Такой... чистейшей прелессти чистейший образец - "вообще нельзя, но вот тут чуть-чуть можно, но только если осторожно - а когда ты вдрук! того-этого, то мы тебе еще и превышение скорости впаяем! И да, это только ТУТ так, а во всех остальных случаях "нельзя" - значит "нельзя", запомни это!"


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено нах. , 23-Май-24 10:16 
>> Ты не поверишь, но уже снижают)) И в том числе из-за водятлов
>> для которых "+19 км" это еще не нарушение "патамушта не штрафуют"
> Ооооо, даааа! Более вредной идеи, чем "нештрафуемый интервал" - прям еще поискать.

ноль промилле. Ты выпил кефира - но ты уголовник и мы у тебя права отберем. Так, чисто на всякий случай. Не доходит что нештрафуемый интервал сведеный к нулю - ровно то же самое?

Нет, можно конечно сделать по людски - выбросить все знаки ниже 30 (НЕТ, не может современное авто ехать меньше 30 сколько-нибудь продолжительное время) заодно с выкапыванием лежачих полицейских и деланием вместо них нормального асфальта - чтоб водитель не был занят тем чтоб подвеску не убить и ни в кого не приехать, а спокойно смотрел нет ли пешехода. И вот потом уже штрафовать за 41 под знаком 40 (ИИ это не помешает тебя размазать в лепеху, но вот человек скорее всего успеет затормозить до нуля).

Но так разумеется сделано не будет - потомучто.

> это только ТУТ так, а во всех остальных случаях "нельзя" -
> значит "нельзя", запомни это!"

еще бывает non-zero tolerance на светофорах. Но точно так же - с неиллюзорными п-дюлями тронувшимися на свой зеленый без проверки что действительно можно. А у вас грозят мигающий зеленый запретить потомучто.


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено User , 23-Май-24 11:25 
> ноль промилле. Ты выпил кефира - но ты уголовник и мы у
> тебя права отберем. Так, чисто на всякий случай. Не доходит что
> нештрафуемый интервал сведеный к нулю - ровно то же самое?

Как будто в этом есть что-то плохое, да? Вот в рассказах про "мамой клянус! квасокефир позавчера корвалолом закусывал!" - определенно, наличествует не нулевое количество трупов.

> Нет, можно конечно сделать по людски - выбросить все знаки ниже 30
> (НЕТ, не может современное авто ехать меньше 30 сколько-нибудь продолжительное время)
> заодно с выкапыванием лежачих полицейских и деланием вместо них нормального асфальта
> - чтоб водитель не был занят тем чтоб подвеску не убить
> и ни в кого не приехать, а спокойно смотрел нет ли
> пешехода. И вот потом уже штрафовать за 41 под знаком 40
> (ИИ это не помешает тебя размазать в лепеху, но вот человек
> скорее всего успеет затормозить до нуля).

Ну вот тут не спорю.
> Но так разумеется сделано не будет - потомучто.

И тут тоже.

> еще бывает non-zero tolerance на светофорах. Но точно так же - с
> неиллюзорными п-дюлями тронувшимися на свой зеленый без проверки что действительно можно.
> А у вас грозят мигающий зеленый запретить потомучто.

Ну, что тут поделать? По хорошему - запрещать надо (ч|м)удаков, но поскольку а) запрещают все больше эти самые б) технической возможности не то, чтобы "есть" - то выходит вот то, что выходит.
В текущих реалиях от четких, однозначно понимаемых правил и одинаковой ответственности за их нарушения вреда однозначно меньше, чем от альтернатив, требующих "использования головы по назначению". Конечно, есть еще фактор контролирующих выполнение этих самые "четких-понимаемых правил"... Но о нем мы не будем, ибо вообще грустно.


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Аноним , 23-Май-24 12:04 
> Не доходит что нештрафуемый интервал сведеный к нулю - ровно то же самое?

Ты сейчас пишешь совсем про другое.
Одно дело ехать примерно 40, а реальная скорость будет 42, потому что точность спидометра и измерений.
А другое - при ограничении 40 специально ехать 59, патамучто этом м#диле так хочется.


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено нах. , 23-Май-24 14:04 
> Одно дело ехать примерно 40, а реальная скорость будет 42, потому что точность спидометра и
> измерений.
> А другое - при ограничении 40 специально ехать 59, патамучто этом м#диле так хочется.

а штраф при zero tolerance тебе выпишут - одинаковый.

Потому что полоумная камера не умеет сканировать намерения.

Поэтому либо менять все 40 на 60 а 20 убирать нахрен (и тогда все будут ехать 55, чтоб ненароком, подпрыгнув на кочке, не получилось 60.01 ) либо выйдет как обычно.


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Аноним , 22-Май-24 14:00 
И здесь тоже раст пригоден: устанавливаете на машины раст и всё, на этапе сборки скорость ограничивается до 40 км/ч.

"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено нах. , 22-Май-24 23:05 
> И здесь тоже раст пригоден: устанавливаете на машины раст и всё, на
> этапе сборки скорость ограничивается до 40 км/ч.

да просто до этапа сборки не доходит - как его собирать, когда там пока только CoC.md и ридми со списком Оно/Это ?



"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Аноним , 22-Май-24 12:17 
> облачных провайдеров

Раковая опухоль интернетов.


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено User , 22-Май-24 12:25 
>> облачных провайдеров
> Раковая опухоль интернетов.

Ну, это вы зря - сишечка сильно не только в интернетах используется...


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено myster , 22-Май-24 12:39 
> Раковая опухоль интернетов.

раковая опухоль это облачные провайдеры, которые не поддерживают CLI или Terraform, в которых всё через веб интерфейс настраивается.


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено 12yoexpert , 22-Май-24 15:09 
вроде как замаячила надежда, что всё это схлопнется: крупные компании начали понимать, что их поимели, и возвращаться на адекватные сервера

"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Аноним , 22-Май-24 12:56 
C in CVE is for C language (c)
В общем ничего нового, годы идут, сишники факапят и продолжают огрызаться.

Что интересно, у них там в тестах заявлены internal: fuzzers, только ЧСХ они им нифига не помогло.


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Аноним , 22-Май-24 13:11 
Люди в принципе факапят прими это. Волшебная палочка в виде раста им никак не поможет.  

"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Аноним , 22-Май-24 13:27 
> Волшебная палочка в виде раста им никак не поможет.  

А причем ту раст вообще? Почему ты на него сразу набрасываешь?

Есть прекрасная надежная Ада и еще более надежный Spark.
Но на них писать сложнее и дольше, и б#длокодеры их осились не могут.
Поэтому лабают на сишечке. Там же думать не нужно.


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено 12yoexpert , 22-Май-24 15:08 
что-то на девопсятском

"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено User , 22-Май-24 15:35 
Да нет, на программиздском как раз - на девопсятском было бы, если бы в процессе "ехал ямль через ямль - видит, томль лежит, сконвертну-ка я его в ямль, чтоб потом жысоном в апи засунуть!" allow all from any to any и монгу без аунтентификации на все интерфейсы получилось.

"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено 12yoexpert , 22-Май-24 16:06 
так это оно и есть, эта штука настраивается через ямл, деплоится в кубернетис и срёт в какой-нибудь эластик, а написаны они на голанг

куда уж девопсятистей?


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Аноним , 22-Май-24 19:56 
> а написаны они на голанг

Совсем мимо. Fluent Bit написан на самой что ни на есть сишечке, а ямл туда завезли совсем недавно, по многочисленным просьбам трудящихся. До этого там была пачка ини-файлов непотребного вида. И сейчас есть для совместимости.

Но срать умеет почти куда угодно и чем угодно, за это мы его и любим.


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено 12yoexpert , 22-Май-24 21:18 
читай внимательнее, я не говорил, что fluent bit написан на голанге

и в любом случае деплой этой фигни в кластер настраивается через yaml


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено User , 23-Май-24 07:20 
> так это оно и есть, эта штука настраивается через ямл, деплоится в
> кубернетис и срёт в какой-нибудь эластик, а написаны они на голанг
> куда уж девопсятистей?

А ошибка, о которой идет речь - типично сишечная, прям из палаты-мер-и-весов - такие вот дела.


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Пряник , 24-Май-24 10:40 
Уж лучше yaml, чем построчный греп и надежда, что автор не поменяет ключевое слово.

"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено User , 24-Май-24 11:15 
> Уж лучше yaml, чем построчный греп и надежда, что автор не поменяет
> ключевое слово.

Кто бы спорил-то, а? Я вот - не буду, ибо знаю, что ВСЕГДА МОЖЕТЬ БЫТЬ ХУЖЕ!
Yaml не нравится? Ну вот-те жысон без комментов и об куче скобков - жри!
Шо, накушался? А вот хымыеля кому, кому хымыеля, свеженького 2005-го года выпуска - с просранствами имен, спецификацией и вот этим вот всем?
Опять нитак?! Дашожзвамиделать-то? Ннна тебе плоский ini, ах, предметная область подразумевает иерархию? Ну давай мы её тебе в имя параметра фентезийненько так зашьём...
А будешь возникать - про макросы m4 вспомним, а то и до sendmail.cf дойдем!


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено тыквенное латте , 24-Май-24 11:44 
> Уж лучше yaml, чем построчный греп и надежда, что автор не поменяет
> ключевое слово.

хорошо, что ямл спасает как-то от изменений ключевых слов. весь продакшен перевёл, не нарадуюсь. греп выкинул за ненадобностью, теперь так читаем, глозами.


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено cheburnator9000 , 22-Май-24 17:41 
Такое бывает когда вместо IDE, которая подскажет ошибки, у вас vim и программирование копированием.

"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Электрон , 22-Май-24 19:45 
Навесить статический анализатор на/после neovim что мешает? Вместо чтения доков и рассмотра расширений комментирование здесь?

"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено User , 23-Май-24 07:23 
> Навесить статический анализатор на/после neovim что мешает? Вместо чтения доков и рассмотра
> расширений комментирование здесь?

Да-да-да, и прочий восход солнца вручную. В то время, как в Вилларибо конфиг vim полируют - в Виллабаджо уже работают...


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Пряник , 24-Май-24 10:36 
Ошибки подсказывает статическая типизация с применением Language Server Protocol. От редактора это не зависит. Уже все крупные редакторы поддерживают LSP.

"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено Tron is Whistling , 22-Май-24 22:13 
Так и не догнал напуркуа оно вообще и кто те 10 миллиардов загрузок (99.99% на посмотреть и выкинуть?)

"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено нах. , 22-Май-24 23:07 
> Так и не догнал напуркуа оно вообще и кто те 10 миллиардов
> загрузок (99.99% на посмотреть и выкинуть?)

тут кто-то уже предположил что это конь-тиниус дизинтегрейшн в действии и "посмотреть" даже и не происходит - скачивается-запускается-сразувыкидывается.


"Уязвимость в Fluent Bit, затрагивающая многих облачных прова..."
Отправлено InuYasha , 24-Май-24 14:42 
М-да... в 2010ом прогнозировали повышенную облачность на 2020ые. С возможными осадками. Сбывается.