The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

форумы
правила/FAQ
поиск
регистрация
вход
слежка
RSS


Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы [ Отслеживать ]

Оглавление

Переполнение буфера в OpenSSL, эксплуатируемое при проверке сертификатов X.509 , opennews (??), 01-Ноя-22, (0) [смотреть все]

Сообщения [Сортировка по времени | RSS]


1. "Переполнение буфера в OpenSSL, эксплуатируемое при проверке ..."  +16 +/–
Сообщение от Аноним (1), 01-Ноя-22, 20:00 
Опять ненастоящие Сишники, да что ж такое!
Ответить | Правка | Наверх | Cообщить модератору

4. "Переполнение буфера в OpenSSL, эксплуатируемое при проверке ..."  +2 +/–
Сообщение от Аноним (1), 01-Ноя-22, 20:02 
Это, конечно, не вебмакаки. Вебмакакам до такого уровня ещё деградировать и деградировать.

Уже массив создать и заполнить не могут.

Ответить | Правка | Наверх | Cообщить модератору

53. "Переполнение буфера в OpenSSL, эксплуатируемое при проверке ..."  +/–
Сообщение от Аноним (53), 02-Ноя-22, 02:19 
Ubuntu packages are built with stack protector, reducing the
impact of this CVE from remote code execution to a denial of
service.

Если кратко, максимум что грозить кулхацкеру - падение сервиса (билд с защитой стека как в убунте применяется практически во всех дистрах).

Ответить | Правка | Наверх | Cообщить модератору

70. "Переполнение буфера в OpenSSL, эксплуатируемое при проверке ..."  –1 +/–
Сообщение от ВлезВТопик (?), 02-Ноя-22, 07:38 
Сишники настолько умные, относительно растоманов, что зачастую брезгуют любыми проверками кода.
Вот вам и результат студенческого уровня..
Ответить | Правка | Наверх | Cообщить модератору

116. "Переполнение буфера в OpenSSL, эксплуатируемое при проверке ..."  +1 +/–
Сообщение от Аноним (116), 02-Ноя-22, 13:58 
Смени топик на майку.
Ответить | Правка | Наверх | Cообщить модератору

147. "Переполнение буфера в OpenSSL, эксплуатируемое при проверке ..."  +/–
Сообщение от Аноним (147), 03-Ноя-22, 14:55 
Лучше на зайку
Ответить | Правка | Наверх | Cообщить модератору

9. "Переполнение буфера в OpenSSL, эксплуатируемое при проверке ..."  +4 +/–
Сообщение от Аноним (9), 01-Ноя-22, 20:16 
> Уязвимости проявляются только в ветке OpenSSL 3.0.x

Что-то последнее время часто появляются "уязвимости" в НОВОМ коде, а в старых версиях всё чисто.

Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

18. "Переполнение буфера в OpenSSL, эксплуатируемое при проверке ..."  +/–
Сообщение от Аноним (18), 01-Ноя-22, 20:40 
Деградация, жертвы питона освоили C.
Ответить | Правка | Наверх | Cообщить модератору

20. "Переполнение буфера в OpenSSL, эксплуатируемое при проверке ..."  +1 +/–
Сообщение от Аноним (20), 01-Ноя-22, 20:42 
у дидов обычно уязвимости на уровне спецификации протокола
Ответить | Правка | К родителю #9 | Наверх | Cообщить модератору

31. "Переполнение буфера в OpenSSL, эксплуатируемое при проверке ..."  +4 +/–
Сообщение от Аноним (9), 01-Ноя-22, 21:08 
то не уязвимость, а закладка от АНБ была.
Ответить | Правка | Наверх | Cообщить модератору

25. "Переполнение буфера в OpenSSL, эксплуатируемое при проверке ..."  +/–
Сообщение от another_one (ok), 01-Ноя-22, 20:49 
> а в старых версиях всё чисто

Heartbleed такой - ну да, ну да...

Ответить | Правка | К родителю #9 | Наверх | Cообщить модератору

44. "Переполнение буфера в OpenSSL, эксплуатируемое при проверке ..."  +/–
Сообщение от Аноним (44), 01-Ноя-22, 23:08 
Кстати, его всегда можно было отключать, или это потом уже придумали? Там вообще много чего отключается. Так что страдают в основном хомяки, юзающие предкомпилированные пакеты. Ну ещё хомяки-корпоративные тестеры, как мы видим.
Ответить | Правка | Наверх | Cообщить модератору

59. "Переполнение буфера в OpenSSL, эксплуатируемое при проверке ..."  +/–
Сообщение от Аноним (59), 02-Ноя-22, 05:23 
MS'овская многоходовка?
Ответить | Правка | К родителю #9 | Наверх | Cообщить модератору

89. "Переполнение буфера в OpenSSL, эксплуатируемое при проверке ..."  +1 +/–
Сообщение от Аноним (9), 02-Ноя-22, 09:54 
Как только Лёня всплыл в проруби микрософта - уже ничему не удивляешься.
Ответить | Правка | Наверх | Cообщить модератору

19. "Переполнение буфера в OpenSSL, эксплуатируемое при проверке ..."  +3 +/–
Сообщение от Аноним (19), 01-Ноя-22, 20:41 
Не веб-макаки говоришь... Ты фиксы смотрел? Это хуже чем любой вебмакакинг!
- if (written_out > max_out)
+ if (written_out >= max_out)
https://github.com/openssl/openssl/commit/fe3b639dc19b325846...
Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

32. "Переполнение буфера в OpenSSL, эксплуатируемое при проверке ..."  +/–
Сообщение от Аноним (9), 01-Ноя-22, 21:10 
растаманы бы написали

if (written_out < max_out)

Ответить | Правка | Наверх | Cообщить модератору

107. "Переполнение буфера в OpenSSL, эксплуатируемое при проверке ..."  +2 +/–
Сообщение от Аноним (107), 02-Ноя-22, 13:30 
Что бы сделали растаманы - твои маняфантазии.
А что сделали сишники - мы все уже увидели.
Ответить | Правка | Наверх | Cообщить модератору

140. "Переполнение буфера в OpenSSL, эксплуатируемое при проверке ..."  +/–
Сообщение от microsoft (?), 02-Ноя-22, 22:00 
Но и кода ты растик не показал
Ответить | Правка | Наверх | Cообщить модератору

61. "Переполнение буфера в OpenSSL, эксплуатируемое при проверке ..."  +/–
Сообщение от Аноним (61), 02-Ноя-22, 06:36 
И что здесь такого? Чел забыл, что чек происходит уже после того, как данные пишутся в буффер, а не перед. По вашему было бы лучше обернуть код в кучу for циклов до такой степени, что он перестанет быть читаемым, потому что вам придётся следить за десятками проверок каждого цикла внутри цикла? Или лучше потратить рантайма на бесконечные проверки того, что нам как программисту и так уже известно, но пускай теперь эта проверка будет исполнятся каждую миллисекунду на миллиардах машин по всему миру?
Ответить | Правка | К родителю #19 | Наверх | Cообщить модератору

63. "Переполнение буфера в OpenSSL, эксплуатируемое при проверке ..."  +/–
Сообщение от Аноним (63), 02-Ноя-22, 06:57 
Точно известно? А через неделю не забудешь? Через месяц? А коллегам не забудешь рассказывать?

А для простых переборов всех элементов массива через foreach проверку во время выполнения можно не проводить

Ответить | Правка | Наверх | Cообщить модератору

82. "Переполнение буфера в OpenSSL, эксплуатируемое при проверке ..."  –2 +/–
Сообщение от n00by (ok), 02-Ноя-22, 09:33 
Если ограничиться фрагментом из патча и не вникать в остальной код, то written_out инкрементируется на 1. Не понятно, зачем там вообще >. Достаточно было бы ==. В смысле, вместо > < <= >= == != выбор сужается до 2-х вариантов сравнения == или !=, и некорректный сразу не проходит тесты. Такому подходу учит концепция итераторов в плюсах, где operator>() может быть не определён.
Ответить | Правка | К родителю #61 | Наверх | Cообщить модератору

126. "Переполнение буфера в OpenSSL, эксплуатируемое при проверке ..."  +1 +/–
Сообщение от Аноним (126), 02-Ноя-22, 17:10 
> Не понятно, зачем там вообще >. Достаточно было бы ==.

Ты про defensive programming слышал? Опыт программирования, особенно на языках типа C, приучает к такому стилю. Сейчас там может и достаточно было бы ==, а завтра придёт следующий, и за итерацию сделает ++ дважды, а проверку забудет поправить. Поэтому >=.

> Такому подходу учит концепция итераторов в плюсах, где operator>() может быть не определён.

Итератор и int -- это разные вещи, и обращаться с ними надо по-разному.

Ответить | Правка | Наверх | Cообщить модератору

141. "Переполнение буфера в OpenSSL, эксплуатируемое при проверке ..."  –1 +/–
Сообщение от Аноним (141), 03-Ноя-22, 04:08 
> Ты про defensive programming слышал?

ты на ник его посмотри и не задавай глупых вопросов

Ответить | Правка | Наверх | Cообщить модератору

145. "Переполнение буфера в OpenSSL, эксплуатируемое при проверке ..."  +1 +/–
Сообщение от n00by (ok), 03-Ноя-22, 09:47 
Работает ведь. Особенно зачётно, когда персонаж без имени такое пишет. ;)
Ответить | Правка | Наверх | Cообщить модератору

144. "Переполнение буфера в OpenSSL, эксплуатируемое при проверке ..."  +/–
Сообщение от n00by (ok), 03-Ноя-22, 09:29 
>> Не понятно, зачем там вообще >. Достаточно было бы ==.
> Ты про defensive programming слышал?

Я слышал, что господа теоретики очень любят грузить оппонента заумными buzzwords и обсуждать сферических коней в ваккуме. И видел вот прям сейчас, что на практике > привел к ошибке, которой бы не было при указанном мной подходе. И висела эта ошибка джва года.

> Сейчас там может и достаточно было бы
> ==, а завтра придёт следующий, и за итерацию сделает ++ дважды,
> а проверку забудет поправить. Поэтому >=.

Очевидно из кода, что не сделает.

> Итератор и int -- это разные вещи, и обращаться с ними надо по-разному.

Если я написал про отсуствие operator>(), наверное, я немного понимаю, что такое итератор. А если не понятно, что итератор приучает машинально писать везде ++i вместо i++, а в сложных случаях, когда это действительно надо, приходится задумываться и избегать вот таких ошибок, так пишите про это прямо.

Ответить | Правка | К родителю #126 | Наверх | Cообщить модератору

62. "Переполнение буфера в OpenSSL, эксплуатируемое при проверке ..."  +2 +/–
Сообщение от Аноним (63), 02-Ноя-22, 06:53 
Ошибиться на 1 символ это самая частая ошибка, у людей нервная система так работает.
Ответить | Правка | К родителю #19 | Наверх | Cообщить модератору

35. "Переполнение буфера в OpenSSL, эксплуатируемое при проверке ..."  –1 +/–
Сообщение от Аноним (35), 01-Ноя-22, 21:13 
> ненастоящие Сишники

Что-то всё чаще и чаще мелькает бубнеж этой мантры. Не надоело?

Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

87. "Переполнение буфера в OpenSSL, эксплуатируемое при проверке ..."  –1 +/–
Сообщение от n00by (ok), 02-Ноя-22, 09:47 
>> ненастоящие Сишники
> Что-то всё чаще и чаще мелькает бубнеж этой мантры. Не надоело?

Смотрите комментарий над проблемной функцией:


/*-
 * Pseudocode:
 *
 * function ossl_punycode_decode
 *  let n = initial_n
 *  let i = 0
 *  let bias = initial_bias
 *  let output = an empty string indexed from 0
 *  consume all code points before the last delimiter (if there is one)
 *    and copy them to output, fail on any non-basic code point
 *  if more than zero code points were consumed then consume one more
 *    (which will be the last delimiter)
 *  while the input is not exhausted do begin
 *    let oldi = i
 *    let w = 1
 *    for k = base to infinity in steps of base do begin
 *      consume a code point, or fail if there was none to consume
 *      let digit = the code point's digit-value, fail if it has none
 *      let i = i + digit * w, fail on overflow
 *      let t = tmin if k <= bias {+ tmin}, or
 *              tmax if k >= bias + tmax, or k - bias otherwise
 *      if digit < t then break
 *      let w = w * (base - t), fail on overflow
 *    end
 *    let bias = adapt(i - oldi, length(output) + 1, test oldi is 0?)
 *    let n = n + i div (length(output) + 1), fail on overflow
 *    let i = i mod (length(output) + 1)
 *    {if n is a basic code point then fail}
 *    insert n into output at position i
 *    increment i
 *  end
 */

Ответить | Правка | Наверх | Cообщить модератору

41. "Переполнение буфера в OpenSSL, эксплуатируемое при проверке ..."  –1 +/–
Сообщение от Без аргументов (?), 01-Ноя-22, 22:49 
npm audit fix
https://vuldb.com/?recent.202211
Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

42. "Переполнение буфера в OpenSSL, эксплуатируемое при проверке ..."  +2 +/–
Сообщение от Без аргументов (?), 01-Ноя-22, 22:50 
https://vuldb.com/?recent.202210
Ответить | Правка | Наверх | Cообщить модератору

90. "Переполнение буфера в OpenSSL, эксплуатируемое при проверке ..."  –1 +/–
Сообщение от Аноним (63), 02-Ноя-22, 10:06 
Но вы же не веб-макака и знаете что такое шина адреса (она вообще есть у современных SoC?) и чем отличается гарвардская архитектура от фон Неймановской.
Перепишите со смузихлебного языка js-ts на несмузихлебный... не знаю что Си-GO допустим
Или хотя бы уменьшите количество зависимостей, ведь многих фронтэнд библиотек таких как typescript, react, dart sass, corejs и т.д. нет или почти нет не dev зависимостей.
Ответить | Правка | К родителю #41 | Наверх | Cообщить модератору

108. "Переполнение буфера в OpenSSL, эксплуатируемое при проверке ..."  +/–
Сообщение от Без аргументов (?), 02-Ноя-22, 13:46 
Я просто возьму Qt/WxWidgets, Pure JS (как макаки называют "отдельную технологию" чистого JS без фреймворков), и это не будет велосипед, т.к. добавлять пады слева и проверять тип объекта я умею руками.
Ответить | Правка | Наверх | Cообщить модератору

113. "Переполнение буфера в OpenSSL, эксплуатируемое при проверке ..."  +/–
Сообщение от Без аргументов (?), 02-Ноя-22, 13:55 
не Pure, Vanilla JS точнее. каких только не развели
Ответить | Правка | Наверх | Cообщить модератору

109. "Переполнение буфера в OpenSSL, эксплуатируемое при проверке ..."  +/–
Сообщение от Без аргументов (?), 02-Ноя-22, 13:47 
Java Spring, наконец. Это касательно с фронтендом, кроме Go.
Ответить | Правка | К родителю #90 | Наверх | Cообщить модератору

123. "Переполнение буфера в OpenSSL, эксплуатируемое при проверке ..."  +/–
Сообщение от Аноним (123), 02-Ноя-22, 16:28 
Я правильно понимаю вы пишете одновременно на:
1) go
2) qt/c++
3) WxWidgets/c++
4) java/spring
5) Pure C для микроконтроллеров
6) фронтэнд на html/css/javascript без "доширак классов MMMMVVVVCCCC SPA"

это в дополнение знаниям архитектур и шин.
Если это не просто перечисление всех известных вам технологий, а действительно хорошо знаете каждую из них это очень здорово. Но не очень правдоподобно.

Например у моей знакомой которая 15 лет программирует с трудом и не до конца удается совмещать 1 бэкэнд на C# и 1 фронтэнд на 1 библиотеке пользовательских интерфейсов Ext JS
Она там один и самых лучших разработчиков.

Ответить | Правка | Наверх | Cообщить модератору

124. "Переполнение буфера в OpenSSL, эксплуатируемое при проверке ..."  –1 +/–
Сообщение от Аноним (-), 02-Ноя-22, 16:42 
Женщина-программист? Чего только не выдумывают на опеннете.
Ответить | Правка | Наверх | Cообщить модератору

136. "Переполнение буфера в OpenSSL, эксплуатируемое при проверке ..."  +/–
Сообщение от Без аргументов (?), 02-Ноя-22, 18:55 
У меня была сеньёрша по шарпам. Реально. Просто место работы надо менять, и выбирать жесть жестяную, где уже в 1 месяц от старшИх нахватаешься.
Ответить | Правка | Наверх | Cообщить модератору

129. "Переполнение буфера в OpenSSL, эксплуатируемое при проверке ..."  +/–
Сообщение от Аноним (123), 02-Ноя-22, 17:48 
*Если это не просто перечисление всех известных вам названий технологий
Ответить | Правка | К родителю #123 | Наверх | Cообщить модератору

139. "Переполнение буфера в OpenSSL, эксплуатируемое при проверке ..."  +/–
Сообщение от Без аргументов (?), 02-Ноя-22, 19:05 
На Java меньше всего, даже забыл. 9 лет назад. Я просто знаю, что жили нормально, всё работало.
А щаз с фаерфокса аликспрэсс глючит, авито глючит, ВК грузит 25МБ шлака, сообщение не отправляется через 2G.
Ответить | Правка | Наверх | Cообщить модератору

132. "Переполнение буфера в OpenSSL, эксплуатируемое при проверке ..."  +/–
Сообщение от Без аргументов (?), 02-Ноя-22, 18:50 
Мне 32. За компом с 9 (игрушки мои компы не тянули). На всём этом приходилось. Начиная с ассемблера 486. Плюс тесно в команде коллеги были на всём этом в разное время. Больше всего работал и поныне с Си и Го. JS только для сборки фронта после мерджа.
Ответить | Правка | К родителю #123 | Наверх | Cообщить модератору

142. "Переполнение буфера в OpenSSL, эксплуатируемое при проверке ..."  +/–
Сообщение от Аноним (63), 03-Ноя-22, 06:14 
Как здорово что на опеннет есть настоящие программисты способные писать сразу на 6-7 и более языках.
Воистину талантливый человек талантлив во всем
Ответить | Правка | Наверх | Cообщить модератору

134. "Переполнение буфера в OpenSSL, эксплуатируемое при проверке ..."  +/–
Сообщение от Без аргументов (?), 02-Ноя-22, 18:52 
Про схемотехнику, органицию ЭВМ, ПЛИС, ассемблер -- я это всё универ с магистратурой.
Ответить | Правка | К родителю #123 | Наверх | Cообщить модератору

135. "Переполнение буфера в OpenSSL, эксплуатируемое при проверке ..."  +1 +/–
Сообщение от Без аргументов (?), 02-Ноя-22, 18:53 
Не кикбрейнс же проходил.
И да, PL/SQL Oracle я тоже очень хорошо знал 3 года назад, и даже может быть по-сеньерному.
Ответить | Правка | К родителю #123 | Наверх | Cообщить модератору

137. "Переполнение буфера в OpenSSL, эксплуатируемое при проверке ..."  +/–
Сообщение от Без аргументов (?), 02-Ноя-22, 18:58 
вот с JS я не осилил, признаюсь. т.к. фрейморки это уже каждый из них космос, который сегодня есть, завтра дырявый и просит обновить с нарушением совместимости. только на чистом для эмбеда.
Ответить | Правка | К родителю #123 | Наверх | Cообщить модератору

138. "Переполнение буфера в OpenSSL, эксплуатируемое при проверке ..."  +/–
Сообщение от Без аргументов (?), 02-Ноя-22, 18:59 
Еще сайт делал полностью под ключ на PHP + JQuery. 5 лет пашет, никакого вебмакакинга. Загружается весь контент через 2G без gzip на стороне NGINX. Макаки так не могут.
Ответить | Правка | К родителю #123 | Наверх | Cообщить модератору

110. "Переполнение буфера в OpenSSL, эксплуатируемое при проверке ..."  +/–
Сообщение от Без аргументов (?), 02-Ноя-22, 13:51 
Память у вас хорошая. Касательно эмбеда верно: Си на бэке (Cortex M) или Go (Cortex A) + веб-морда с простейшим JS (НЕ доширак классов MMMMVVVVCCCC SPA). Несколько десятков килобайт даже без вебпаков, упакованных gzip nginx.
Ответить | Правка | К родителю #90 | Наверх | Cообщить модератору

114. "Переполнение буфера в OpenSSL, эксплуатируемое при проверке ..."  +/–
Сообщение от Без аргументов (?), 02-Ноя-22, 13:56 
кто делает сервер на cortex m, тот конечно тоже не совсем адекват
Ответить | Правка | Наверх | Cообщить модератору

111. "Переполнение буфера в OpenSSL, эксплуатируемое при проверке ..."  +/–
Сообщение от Без аргументов (?), 02-Ноя-22, 13:51 
Про Раст не скажу, пока наблюдаю
Ответить | Правка | К родителю #90 | Наверх | Cообщить модератору

112. "Переполнение буфера в OpenSSL, эксплуатируемое при проверке ..."  +/–
Сообщение от Без аргументов (?), 02-Ноя-22, 13:53 
> typescript, react, dart sass, corejs

это всё нужно для SPA-PWA и прочий клей момент с жирным клиентом.

Ответить | Правка | К родителю #90 | Наверх | Cообщить модератору

115. "Переполнение буфера в OpenSSL, эксплуатируемое при проверке ..."  +/–
Сообщение от Без аргументов (?), 02-Ноя-22, 13:57 
и кстати удачи в SEO со своими SPA
Ответить | Правка | Наверх | Cообщить модератору

152. "Переполнение буфера в OpenSSL, эксплуатируемое при проверке ..."  +/–
Сообщение от истина в последней инстанции (?), 03-Ноя-22, 20:40 
> Опять ненастоящие Сишники, да что ж такое!

Опять где же настоящие растоманщики?

Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей 		Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру