Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Files и librsvg, opennews (??), 13-Авг-23, (0) [смотреть все] Вот переписали бы на Ой, это ведь была libsvg когда-то , Аноним (1), 09:50 , 13-Авг-23, (1) +14   // В расте не может быть уязвимости , Sergey (??), 10:10 , 13-Авг-23, (2) +1   // Раст и есть уязвимость , Аноним (78), 07:36 , 14-Авг-23, (78) –1   Ну так именно поэтому тут проблема с путями, а не с переполнением буфера или ove, Анонимусс (?), 10:29 , 13-Авг-23, (3) +9   // А где по вашему больше виноват человек кодер где пути или где память , Sergey (??), 10:34 , 13-Авг-23, (4)   // И там и там виноват Но с памятью ошибки опаснее, пути не дадут выполнить произ, Анонимусс (?), 10:41 , 13-Авг-23, (5) +6   Скрыто модератором, Аноним (-), 16:14 , 13-Авг-23, (49) +3   Ну, это как установить мину, а потом сказать - виноват тот, кто наступил, не над, Аноним (99), 03:01 , 16-Авг-23, (99)   Скрыто модератором, Аноним (78), 14:20 , 13-Авг-23, (33) +2   Там логическая ошибка, а не типичный сишный обсёр с указателями , Шарп (ok), 12:37 , 13-Авг-23, (22) +2   // Нет, это типичная логическая ошибка на Расте, каких в будущем будет много И так, Аноним (-), 13:14 , 13-Авг-23, (24)   // Они время жизни указателя отследить не могут не то что пути , Аноним (78), 14:22 , 13-Авг-23, (35)   Это типичная ошибка на чем угодно, и это отдельный класс уязвимостей с тех пор, , Аноним (97), 03:51 , 15-Авг-23, (97)   Ну так и об указателях можно сказать, что это логическая ошибка работы с указате, Anon3 (?), 17:35 , 13-Авг-23, (55)   // Это не получится Надо создать новый язык, заточеный на безопасную работу с файл, ИмяХ (?), 18:54 , 13-Авг-23, (61) +1   Ну, не то, чтобы не получится Но, наверно, вы правы Во первых семантика работы с, Anon3 (?), 20:38 , 13-Авг-23, (68) +1   Вот именно, это лишний раз доказывает, что сознательные программисты компании не, Аноним (30), 14:12 , 13-Авг-23, (30)   // Компании в твоём сказочном мире , Аноним (78), 14:22 , 13-Авг-23, (36)   А, ну да, точно И поэтому гугловцы решили переписать сетевой стек фуксии с го н, Аноним (45), 15:43 , 13-Авг-23, (45)   // Пока что только отзывы от фанатов в духе выбрать ржавчину было самой большой ош, Аноним (67), 20:27 , 13-Авг-23, (67) +1   Какой современный социолог Расплывчатый сомнительный опрос и твердый вывод э, Аноним (93), 22:37 , 14-Авг-23, (93)   На HN пару раз видел, там любят ржавчину , Аноним (67), 22:46 , 14-Авг-23, (95)   Она и была librsvg Библиотека для РАСТЕРИЗАЦИИ svg , Аноним (76), 06:09 , 14-Авг-23, (76) +1   1 phar_dir_read ошибка в файле dirstream c немного ошиблись с вычислением разме, Аноним (-), 10:45 , 13-Авг-23, (6) –1 // Я про то что как бы оказалась что Раст будет способствовать понижению уровня про, Sergey (??), 10:49 , 13-Авг-23, (9) +2 // ты делаешь такой вывод из одной cve шки было бы интересно глянуть, что там было, Аноним (11), 10:54 , 13-Авг-23, (11) // История помнит Delphi Раст, конечно, не столь удобный и продуманный, но все воз, tty0 (?), 00:43 , 14-Авг-23, (73) Ахаха, а у сишных бракоделов, которые даже размер буфера вычислить не могут, сил, Анонин (?), 11:08 , 13-Авг-23, (13) –1 // Откуда инфа что не могут , Ефрщ (?), 12:08 , 13-Авг-23, (19) Посмотри на число уязвимостей и сложи 2 2 про переполнение не забудь , Аноним (26), 13:38 , 13-Авг-23, (26) Посмотри на чём пишут софт и на чём только переписывают привет миры и сложи 1 и , Аноним (67), 14:07 , 13-Авг-23, (28) Посмотрел В андроиде в последнийх версиях _новую_ нативную системщину старают, Аноним (30), 14:20 , 13-Авг-23, (32) –1 Как я понимаю, ты радуешься за успехи корп в эмбеддовке, но это не серьёзно Как, Аноним (67), 14:26 , 13-Авг-23, (39) –1 Похоже, не читал ссылку Свободен, пионер Скоро в школу ага, попробуй найди сто, Аноним (30), 14:41 , 13-Авг-23, (41) –2 Твои аргументы не звучат сколько-нибудь убедительно , Аноним (67), 14:58 , 13-Авг-23, (42) Если бы умели считать, то и уязвимостей не было glibc https www opennet ru op, Анонин (?), 18:22 , 13-Авг-23, (59) 5 Оно и видно что не силён, ведь все 7 из 7 уязвимостей в ноде ни как не связан, Аноним (21), 12:19 , 13-Авг-23, (21) +1 // О, у нас спец по ноде Неужели все 7 тоже сишные дырени , Анонин (?), 14:13 , 13-Авг-23, (31) –1 // И 1108 того я тоже не говорила, виноваты разрабы ноды , Аноним (101), 00:24 , 18-Авг-23, (101) Да ладно, нормально все тут с путями, они вообще с Unix пришли , Sergey (??), 10:45 , 13-Авг-23, (7) –1 // смотрю в Windows проблем вообще нет , Аноним (8), 10:49 , 13-Авг-23, (8) // Скрыто модератором, Аноним (-), 10:50 , 13-Авг-23, (10) –2 Просто про проблемы никто не знает кроме правильных людей , Аноним (78), 16:33 , 13-Авг-23, (51) Проблема не с путями, а с тем, куда ось дает доступ То что кто угодно может чита, Анонин (?), 11:10 , 13-Авг-23, (14) –2 // Selinux может ограничивать доступ не только к файлам и сетке но и к памяти , Sergey (??), 11:55 , 13-Авг-23, (17) // Может, это круто Ну и где ваш Selinux Его нужно установить и настроить, причем, Анонин (?), 14:10 , 13-Авг-23, (29) В первом абзаце жалуется на то, что ему SELinux папа не настроил, и тут же во вт, Аноним (46), 15:47 , 13-Авг-23, (46) Еще раз для таких отбитых как ты SELinux - это просто костыль для ядра, потому , Анонин (?), 18:16 , 13-Авг-23, (58) И как же должно быть нормально, о великий кексперт , uis (??), 19:21 , 13-Авг-23, (64) Что бы сделать что-то подобное мандатному доступу - надо договориться Кому надо, Аноним (93), 22:30 , 14-Авг-23, (92) В смысле установить и намтроить В Федоре все по дефаульту пашет В 2005 году т, Sergey (??), 19:11 , 13-Авг-23, (62) –1 Только 2 из уязвимостей связаны с повреждением памяти , Аноним (12), 11:07 , 13-Авг-23, (12) Специальные элементы директорий и были большой ошибкой и костылём для т, Аноним (12), 11:12 , 13-Авг-23, (15) –2 // Вот это очень правильно Тем более, что в хорошей фс может быть не единственный , Аноним (75), 05:40 , 14-Авг-23, (75) Видите ли - так еще много контента ресурсы референсит Кроме того - а как вы нав, Аноним (-), 18:23 , 14-Авг-23, (83) Уязвимость в librsvg Не может быть Эта библиотека написана на безопасном язык, Аноним (18), 11:59 , 13-Авг-23, (18) // Дык и уязвимость безопасная Просто фича такая, не дырень же , Аноним (20), 12:14 , 13-Авг-23, (20) +1 // Ещё какая дырень , Аноним (78), 14:25 , 13-Авг-23, (38) Все верно Там ведь наверное выход за пределы массива Или обращение к невыделен, Аноним (30), 14:30 , 13-Авг-23, (40) +1 // Так растовики и считать не умеют выдумывают проценты и сами в них верят , Аноним (78), 16:32 , 13-Авг-23, (50) +1 Не-а Это наглядная иллюстрация к утверждению, что Раст затрудняет процесс напис, gleb (?), 16:40 , 13-Авг-23, (52) // https www opennet ru opennews art shtml num 48680 CVE-2018-11235 в гит - возмо, Анонин (?), 18:13 , 13-Авг-23, (57) а время покажет пока утверждение косвенно подтверждает тот факт, что ВСЕ прое, glebiao (ok), 15:30 , 16-Авг-23, (100) Нет, Rust тут не поможет ни один баг не про double-free и не про use-after-free, Аноним (23), 12:39 , 13-Авг-23, (23) +1 Интересно, как поможет Rust, если он тихо проглатывает численные переполнения в , Витюшка (?), 13:46 , 13-Авг-23, (27) // Переполнения не выходят за границы отведенной памяти Значение становится невали, Аноним (56), 18:09 , 13-Авг-23, (56) +1 // В смысле не выходят А это тогда что https stackoverflow com questions 24898, Витюшка (?), 23:42 , 13-Авг-23, (71) // Там же по ссылке написаноПроверка не дала выйти за границу , Анонимусс (?), 02:22 , 14-Авг-23, (74) доступ по индексу проверяется в рантайме Программа аварийно завершилась - досту, Аноним (93), 22:08 , 14-Авг-23, (90) В Rust индекс имеет тип usize А значит при overflow вновь попадёт в валидный ин, Витюшка (?), 00:17 , 15-Авг-23, (96) при обработке файлов в формате RealMedia Ну вряд ли много кто сейчас помнит-то , Kuromi (ok), 15:27 , 13-Авг-23, (43) –1 // Тем не менее, этот формат должен поддерживаться, иначе пользователи будут ныть , Аноним (67), 15:37 , 13-Авг-23, (44) // Утрутся и сконвертируют Распространители контента, не пользователи У пользоват, Аноним (69), 20:59 , 13-Авг-23, (69) –1 // Но ведь у пользователей всё работает Это очень популярный формат на самом деле,, Аноним (67), 21:40 , 13-Авг-23, (70) +1 Debian 10 Gnome Распакован через Gnome Files tmp ls -alитого 12drwx, Аноним (56), 16:41 , 13-Авг-23, (53) Это все от использования всяких ИИ-копилотов Деградация налицо, обленились , Минона (ok), 00:38 , 14-Авг-23, (72) больше уязвимостей нет, тащ майор, just yet it (?), 14:04 , 14-Авг-23, (79) С каких пор это уязимость Если хомяк не монитруется с noexec, то ЭТО уязвимость, Аноним (80), 16:16 , 14-Авг-23, (80) // noexec - nosuid nodev noexec, Аноним (80), 16:16 , 14-Авг-23, (81) Попробуй tmp монтировать с noexec, потом поделишься впечатлениями Сам ты уязви, Аноним (67), 18:15 , 14-Авг-23, (82) // А чо такого mount -v tmptmpfs on tmp tmpfs, local, noexec, nosuid stattim, другой Аноним (?), 19:11 , 14-Авг-23, (84) // Маловероятно, что это рабочая станция -- куча юзерского софта обломится Да и см, Аноним (67), 19:16 , 14-Авг-23, (86) Угу, это не рабочая станция, это ноут, с которого я пишу этот коммент И да, ку, другой Аноним (?), 19:23 , 14-Авг-23, (87) Вайнтрикс DE , Аноним (67), 20:07 , 14-Авг-23, (88) Да вроде работал пару лет назад не помню уже для чего использовал - вино у меня, Аноним (89), 22:06 , 14-Авг-23, (89) В Debian 10 многие tmpfs смонтированы с noexec и nosiud по-умолчанию Запускать ч, Аноним (93), 22:23 , 14-Авг-23, (91) // Скрыто модератором, Аноним (-), 06:41 , 15-Авг-23, (98) Проблема в том, что, как сказал релокант, нот всего семь А играть приходи, Аноним (93), 22:41 , 14-Авг-23, (94) 1,6,7,12,15,18,23,27,43,53,72,79,80,94

Сообщения

[Сортировка по времени | RSS]

1. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..."	+14 +/–
Сообщение от Аноним (1), 13-Авг-23, 09:50
> Уязвимость (CVE-2023-38633) в библиотеке librsvg Вот переписали бы на... Ой, это ведь была libsvg когда-то.
Ответить | Правка | Наверх | Cообщить модератору

	2. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..."	+1 +/–
	Сообщение от Sergey (??), 13-Авг-23, 10:10
	В расте не может быть уязвимости !
	Ответить | Правка | Наверх | Cообщить модератору

	78. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..."	–1 +/–
	Сообщение от Аноним (78), 14-Авг-23, 07:36
	Раст и есть уязвимость.
	Ответить | Правка | Наверх | Cообщить модератору

	3. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..."	+9 +/–
	Сообщение от Анонимусс (?), 13-Авг-23, 10:29
	Ну так именно поэтому тут проблема с путями, а не с переполнением буфера или overflow как в дыряшке в соседних уязвимостях.
	Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

	4. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..."	+/–
	Сообщение от Sergey (??), 13-Авг-23, 10:34
	А где по вашему больше виноват человек (кодер) где пути или где память ?
	Ответить | Правка | Наверх | Cообщить модератору

	5. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..."	+6 +/–
	Сообщение от Анонимусс (?), 13-Авг-23, 10:41
	И там и там виноват)) Но с памятью ошибки опаснее, пути не дадут выполнить произвольный код. Поэтому у этой уязвимости CVE-2023-38633 score 7.5, а у уязвимости в CVE-2023-3824 с памятью - 9.4 CRITICAL. Чувствуется разница? А вообще все эти уязвимости с выходом за пределы родного каталога - просто результат черехж0пно спроектированной оси. Просто дыряшке ты с легкостью сделаешь обе ошибки, а в растишке нужно постараться, чтобы накосячить с памятью.
	Ответить | Правка | Наверх | Cообщить модератору

	49. Скрыто модератором	+3 +/–
	Сообщение от Аноним (-), 13-Авг-23, 16:14
	Ну да, спертые ключи ssh - полностью безопасно. Совсем не даст выполнить произвольный код.
	Ответить | Правка | Наверх | Cообщить модератору

	99. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..."	+/–
	Сообщение от Аноним (99), 16-Авг-23, 03:01
	> А где по вашему больше виноват человек (кодер) где пути или где память ? Ну, это как установить мину, а потом сказать - виноват тот, кто наступил, не надо было наступать.
	Ответить | Правка | К родителю #4 | Наверх | Cообщить модератору

	33. Скрыто модератором	+2 +/–
	Сообщение от Аноним (78), 13-Авг-23, 14:20
	Типа проблемы с путями безопасТные?
	Ответить | Правка | К родителю #3 | Наверх | Cообщить модератору

	22. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..."	+2 +/–
	Сообщение от Шарп (ok), 13-Авг-23, 12:37
	Там логическая ошибка, а не типичный сишный обсёр с указателями.
	Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

	24. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..."	+/–
	Сообщение от Аноним (-), 13-Авг-23, 13:14
	Нет, это типичная логическая ошибка на Расте, каких в будущем будет много. И такой тип ошибок превратится в класс уязвимостей.
	Ответить | Правка | Наверх | Cообщить модератору

	35. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..."	+/–
	Сообщение от Аноним (78), 13-Авг-23, 14:22
	Они время жизни указателя отследить не могут не то что пути.
	Ответить | Правка | Наверх | Cообщить модератору

	97. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..."	+/–
	Сообщение от Аноним (97), 15-Авг-23, 03:51
	Это типичная ошибка на чем угодно, и это отдельный класс уязвимостей с тех пор, как вообще существуют относительные пути.
	Ответить | Правка | К родителю #24 | Наверх | Cообщить модератору

	55. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..."	+/–
	Сообщение от Anon3 (?), 13-Авг-23, 17:35
	Ну так и об указателях можно сказать, что это логическая ошибка работы с указателями. Я уже начинаю считать количество типичных обс_ров разработчиков на rust при работе с файлами, включая https://www.opennet.dev/opennews/art.shtml?num=59548 Есть гипотеза, что rust развращает, и разработчик ожидает, что работа с файлами будет такая же безопасная как с указателями. Вот что мешает разработать и встроить в rust безопасную работу с файлами с учетом их владения, передачи (включая по сети) и времени жизни? Rust начинали писать на OCaml, эту задачу может проще будет решить (для начала) на каком нибудь Coq, Agda, Idris
	Ответить | Правка | К родителю #22 | Наверх | Cообщить модератору

	61. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..."	+1 +/–
	Сообщение от ИмяХ (?), 13-Авг-23, 18:54
	Это не получится. Надо создать новый язык, заточеный на безопасную работу с файловыми путями. И рекламировать его везде, вставляя по три больших абзаца текста про безопасную работу с файловыми путями, избавляя программиста от типичных ошибок выхода за пределы рабочего каталога
	Ответить | Правка | Наверх | Cообщить модератору

	68. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..."	+1 +/–
	Сообщение от Anon3 (?), 13-Авг-23, 20:38
	Ну, не то, чтобы не получится. Но, наверно, вы правы. Во первых семантика работы с обьектами файловой системы и указателями может не совпадать и будет код на rust похожый на кашу (сейчас, то rust - образец элегантности) Во вторых, не всем нужна работа с файлами (может же персистентность обеспечиваться СУБД, etc) А вот rust, и всю его инфраструктуру, видимо надо позиционировать как stateless, всю работу с IO обьявть unsafe. Итого: rust, не язык  общего назначения, а вычислитель с перекладыванием байтов в оперативной памяти
	Ответить | Правка | Наверх | Cообщить модератору

	30. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..."	+/–
	Сообщение от Аноним (30), 13-Авг-23, 14:12
	Вот именно, это лишний раз доказывает, что сознательные программисты/компании не зря (пусть не сразу) отказываются от сишки/плюсов. В них бы на одну эту "логическую" ошибку было бы в довесок еще две-три-четыре критических ошибки работы с памятью. Отрадно видеть, что в целом ЯП дает то, что обещает. Думать за программиста над задачей он не обещал. Это вам к чатгопоте будущих версий.
	Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

	36. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..."	+/–
	Сообщение от Аноним (78), 13-Авг-23, 14:22
	Компании в твоём сказочном мире?
	Ответить | Правка | Наверх | Cообщить модератору

	45. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..."	+/–
	Сообщение от Аноним (45), 13-Авг-23, 15:43
	А, ну да, точно. И поэтому гугловцы решили переписать сетевой стек фуксии с го на плюсы. Видишь ли в конторах где умеют проверять уровень тупости программистов существуют отборочные вопросы и там сразу понятно кто явился. Растишка если бы был панацеей уже применялся бы вообще везде.
	Ответить | Правка | К родителю #30 | Наверх | Cообщить модератору

	67. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..."	+1 +/–
	Сообщение от Аноним (67), 13-Авг-23, 20:27
	Пока что только отзывы от фанатов в духе "выбрать ржавчину было самой большой ошибкой моей жизни" и далее перечень объективных причин, почему это действительно оказалось плохой идеей. Но, в то же время, ржавчина всё ещё лучше сотен аналогичных моднявых язычков, и если таких неудачников не будет, она никогда не станет юзабельной. Поэтому, чем больше провалов, тем лучше.
	Ответить | Правка | Наверх | Cообщить модератору

	93. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..."	+/–
	Сообщение от Аноним (93), 14-Авг-23, 22:37
	Какой современный "социолог". Расплывчатый сомнительный опрос и твердый вывод "это действительно оказалось плохой идеей"
	Ответить | Правка | Наверх | Cообщить модератору

	95. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..."	+/–
	Сообщение от Аноним (67), 14-Авг-23, 22:46
	На HN пару раз видел, там любят ржавчину.
	Ответить | Правка | Наверх | Cообщить модератору

	76. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..."	+1 +/–
	Сообщение от Аноним (76), 14-Авг-23, 06:09
	Она и была librsvg. Библиотека для РАСТЕРИЗАЦИИ svg.
	Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема