URL: https://www.opennet.dev/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 134985
[ Назад ]

Исходное сообщение
"Уязвимость в библиотеке libgsf, затрагивающая GNOME"

Отправлено opennews , 07-Окт-24 09:42 
В библиотеке libgsf, развиваемой проектом GNOME, выявлена уязвимость (CVE-2024-42415), которая может привести к выполнению кода при обработке специально оформленного файла. Уязвимость вызвана целочисленным переполнением, приводящим к записи данных за пределы выделенного буфера при обработке таблицы распределения секторов в процессе разбора параметров из заголовка файлов в формате CDF (Compound Document Format)...

Подробнее: https://www.opennet.dev/opennews/art.shtml?num=62006


Содержание

Сообщения в этом обсуждении
"Уязвимость в библиотеке libgsf, затрагивающая GNOME"
Отправлено Аноним , 07-Окт-24 09:50 
Круто!
Можно даже файл не открывать, достаточно просто скачать.
Вот она, надежность))

А про саму дырень даже писать ничего не хочу.
И так всё понятно...


"Уязвимость в библиотеке libgsf, затрагивающая GNOME"
Отправлено iPony129412 , 07-Окт-24 09:51 
Никогда такого не было, и вот опять.

"Уязвимость в библиотеке libgsf, затрагивающая GNOME"
Отправлено Аноним , 07-Окт-24 12:22 
И ведь хомусы продолжают настойчиво юзать гноме даже при том что этот гуй в принципе неюзабелен баз дизайн. Хомам главное гипножабу показать что вы будете совершенно счастливыми и всё они рады. Отроки во вселенной пророческий фильм.

"Уязвимость в библиотеке libgsf, затрагивающая GNOME"
Отправлено Аноним , 07-Окт-24 12:20 
Ну а ты думаешь почему гноме продвигают из всех доступных щелей? И со всеми кто против гноме потом приключаются разные проблемы?

"Уязвимость в библиотеке libgsf, затрагивающая GNOME"
Отправлено Nv , 07-Окт-24 12:46 
Alt+g и вперед

"Уязвимость в библиотеке libgsf, затрагивающая GNOME"
Отправлено какая разница , 07-Окт-24 14:56 
А где надёжность? В крысе, кедах, мяте?

"Уязвимость в библиотеке libgsf, затрагивающая GNOME"
Отправлено Аноним , 08-Окт-24 11:59 
> А где надёжность? В крысе, кедах, мяте?

Нигде. У них у всех один первородный дефект, так сказать.
Вся надежда на некоторые новые ДЕ. Где научатся не писать за пределы буфера.


"Уязвимость в библиотеке libgsf, затрагивающая GNOME"
Отправлено Аноним , 07-Окт-24 10:29 
А в LXQt и XFCE нет подобного шлака. Чем больше шлака - тем больше уязвимостей.

"Уязвимость в библиотеке libgsf, затрагивающая GNOME"
Отправлено iPony129412 , 07-Окт-24 10:38 
не, чем меньше популрность, тем меньше уязвимостей

приницп Джо работает


"Уязвимость в библиотеке libgsf, затрагивающая GNOME"
Отправлено Аноним , 07-Окт-24 11:07 
ну да, а кто будет тратить силы по пропихиванию бекдоров в системы которыми никто не пользуется?

"Уязвимость в библиотеке libgsf, затрагивающая GNOME"
Отправлено zalupa , 07-Окт-24 10:41 
Ага, конечно! Linux Mint 22 XFCE - библиотека присутствует!

"Уязвимость в библиотеке libgsf, затрагивающая GNOME"
Отправлено Аноним , 07-Окт-24 10:48 
То, что она присутствует, не значит что она используется. В дебиано-убунтах кое-какие пакеты тащутся по зависимостях и не используются.

"Уязвимость в библиотеке libgsf, затрагивающая GNOME"
Отправлено iPony129412 , 07-Окт-24 10:51 
Вот советуют, как отключить превьюшки для офисных документов

https://forum.xfce.org/viewtopic.php?id=15972

Правильно, удалив один пакет


"Уязвимость в библиотеке libgsf, затрагивающая GNOME"
Отправлено Аноним , 07-Окт-24 11:21 
Просто нужно отключать в ПМ установку рекомендованных пакетов, и тогда ничего не будет тащиться.

"Уязвимость в библиотеке libgsf, затрагивающая GNOME"
Отправлено Аноним , 07-Окт-24 11:04 
А вообще без гуя ещё меньше "шлака". Бросайте вы эти LXQt и XFCE.

"Уязвимость в библиотеке libgsf, затрагивающая GNOME"
Отправлено Аноним , 07-Окт-24 11:29 
Ну вообще, LXQt и LXDE самые минимальные DE с минимумом шлака. Особенно, если ставить с --no-install-recommends.

"Уязвимость в библиотеке libgsf, затрагивающая GNOME"
Отправлено Аноним , 07-Окт-24 12:56 
Не, идеологически-то аноним прав. WM лучше, чем DE, а лучше всего просто Emacs запустить на весь экран, уведомления получать в sauron, а окнами управлять через exwm.

Единственное, я только не знаю, как системный трей в exwm сделать.


"Уязвимость в библиотеке libgsf, затрагивающая GNOME"
Отправлено Аноним , 07-Окт-24 14:17 
Lubuntu 18.04 вот что пишет:

> # tracker reset --hard
> Command 'tracker' not found, but can be installed with:
> apt install tracker

Хорошо, что я не обновляюсь.


"Уязвимость в библиотеке libgsf, затрагивающая GNOME"
Отправлено oditynet , 07-Окт-24 10:48 
Странно,но почему у меня tracker выключен уже как год? Может потому что я изучаю систему, а не пишу **** вида "А про саму дырень даже писать ничего не хочу.
И так всё понятно... "
Сайт офигенный?но комментаторы как были дном в 2015 году? так и остались . Мало кто что-то свое создал, но написать ерунду может каждый

"Уязвимость в библиотеке libgsf, затрагивающая GNOME"
Отправлено Аноним , 07-Окт-24 10:57 
> Может потому что я изучаю систему

А потом у тебя абсолютно аналогичная дырень будет в другом компоненте.
Или софтине. Или вообще в ядре.
И это повторяется из года в год уже лет тридцать.
Поэтому и так всё понятно.

> Мало кто что-то свое создал

Разве нужно быть шеф-поваром чтобы понять что еда тухляк?

> но написать ерунду может каждый

Так и пишут. А потом там дырени находят.


"Уязвимость в библиотеке libgsf, затрагивающая GNOME"
Отправлено Аноним , 07-Окт-24 11:05 
> Странно,но почему у меня tracker выключен уже как год?

странно, что ты еще смог его выключить :)


"Уязвимость в библиотеке libgsf, затрагивающая GNOME"
Отправлено oditynet , 07-Окт-24 11:11 
arch - это правильный выбор. ))

"Уязвимость в библиотеке libgsf, затрагивающая GNOME"
Отправлено Black_Kot , 08-Окт-24 03:49 
Gentoo - это правильный выбор.
Вообще этот tracker и libgsf не установлены, потому что лишние зависимости отключены попросту.

"Уязвимость в библиотеке libgsf, затрагивающая GNOME"
Отправлено Аноним , 07-Окт-24 14:24 
Полагаю, те, кто так пишут, как раз и создали, поэтому прекрасно знают, о чём говорят.

"Уязвимость в библиотеке libgsf, затрагивающая GNOME"
Отправлено Аноним , 07-Окт-24 13:06 
Как понять, что "Код проекта написан на языке Си и поставляется ..." не открывая новость?

"Уязвимость в библиотеке libgsf, затрагивающая GNOME"
Отправлено Аноним , 07-Окт-24 13:52 
О! Как раз почти год с прошлой дырени в гномовом tracker CVE-2023-43641
https://www.opennet.dev/opennews/art.shtml?num=59896

P.S. В Debian имена сервис файлов для маскирования с суффиксом "-3".

$ apt-file search /usr/lib/systemd/user/tracker
tracker: /usr/lib/systemd/user/tracker-xdg-portal-3.service
tracker-extract: /usr/lib/systemd/user/tracker-writeback-3.service
tracker-miner-fs: /usr/lib/systemd/user/tracker-miner-fs-3.service
tracker-miner-fs: /usr/lib/systemd/user/tracker-miner-fs-control-3.service


"Уязвимость в библиотеке libgsf, затрагивающая GNOME"
Отправлено Аноним , 07-Окт-24 14:04 
> Опасность состоит в том, что использующий libgsf сервис GNOME автоматически индексирует и разбирает все файлы в домашнем каталоге без каких-либо действий со стороны пользователя.

Всегда интересовало: а что именно подразумевается под всем этим "индексирует"? И как можно воспользоваться результатами этой "индексации"? Никто не разбирался?


"Уязвимость в библиотеке libgsf, затрагивающая GNOME"
Отправлено какая разница , 07-Окт-24 14:55 
Ты что-то скачал, система "записала" его данные в конфиги и "написала" где этот файл в системе.
Так понятно?

"Уязвимость в библиотеке libgsf, затрагивающая GNOME"
Отправлено Аноним , 07-Окт-24 15:55 
>Так понятно?

Нет.
 
Какого рода данные по этим файлам "система записала в конфиги"? Какую-то метаинформацию по файлам известных форматов (например: картинка png, 640*480, 32 бита), вхождение слов/фраз в теле/заголовках? Как потом это пользователю использовать? Поиск: "квартальный отчёт 2023" - пойдёт, "картинка с вазой" - вряд ли найдёт.

Как-то не очень функционально всё выглядит: либо для забывчевых, либо у кого бардак в файлах. Зачем подобное включать всем - непонятно.


"Уязвимость в библиотеке libgsf, затрагивающая GNOME"
Отправлено Данные в поле Name , 07-Окт-24 16:58 
Даже банальный поиск по названию файла требует индексации, чтобы не читать весь диск на каждый поиск. В Nautilus ещё как минимум есть фильтрация по типу файла и поиск в поддиректориях, это тоже требует индексации.

"Уязвимость в библиотеке libgsf, затрагивающая GNOME"
Отправлено Аноним , 07-Окт-24 21:33 
> Даже банальный поиск по названию файла требует индексации, чтобы не читать весь
> диск на каждый поиск.

Для этого у нас уже 100 лет (смотрит в заголовок сорца: ладно, не 100 а лишь 35) как есть locate. Чего оно умеет "больше" и лучше?


"Уязвимость в библиотеке libgsf, затрагивающая GNOME"
Отправлено Аноним , 07-Окт-24 22:43 
Если делать поиск по всему диску, то такая индексация, действительно, может быть полезной. Но после пары подобных поисков уже начинаешь более точно указывать, где искать. И тогда всё не так страшно: файловые системы всё-таки оптимизированы под перебор содержимого каталогов + разного рода кэширование + ssd. А поиск/фильтрация по типу файла без привязки к файловым расширениям - это да, без какой-нибудь индексации будет тяжко. OK, принимается.

"Уязвимость в библиотеке libgsf, затрагивающая GNOME"
Отправлено Аноним , 07-Окт-24 14:21 
> использующий libgsf сервис GNOME автоматически индексирует и разбирает все файлы в домашнем каталоге без каких-либо действий со стороны пользователя

Вон куда метят! "Домашний каталог". "Без действий пользователя".
Spyware в чистом виде.


"Уязвимость в библиотеке libgsf, затрагивающая GNOME"
Отправлено какая разница , 07-Окт-24 14:52 
Я тебя огорчу, но это просто индексация файлов..

"Уязвимость в библиотеке libgsf, затрагивающая GNOME"
Отправлено Аноним , 07-Окт-24 16:15 
Огорошу вас. В Кедах тип файла идентифицируется не по расширению, а по заголовку. Отключить это никак нельзя. Так что даже если тебе кинут файл 0001.download.tmp, то кеды его всё равно откроют для создания миниатюр. И для индексации тоже.

"Уязвимость в библиотеке libgsf, затрагивающая GNOME"
Отправлено Аноним , 07-Окт-24 19:44 
Tracker - гадость
https://gist.github.com/vancluever/d34b41eb77e6d077887c