forum.opennet.ru - "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Files и librsvg" (88)

"Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Files и librsvg"

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Files и librsvg"	+/–
Сообщение от opennews (??), 13-Авг-23, 09:50
Несколько недавно выявленных уязвимостей:... Подробнее: https://www.opennet.dev/opennews/art.shtml?num=59592
Ответить \| Правка \| Cообщить модератору

Оглавление

Вот переписали бы на Ой, это ведь была libsvg когда-то , Аноним (1), 09:50 , 13-Авг-23, (1) +14

В расте не может быть уязвимости , Sergey (??), 10:10 , 13-Авг-23, (2) +1

Раст и есть уязвимость , Аноним (78), 07:36 , 14-Авг-23, (78) –1

Ну так именно поэтому тут проблема с путями, а не с переполнением буфера или ove, Анонимусс (?), 10:29 , 13-Авг-23, (3) +9

А где по вашему больше виноват человек кодер где пути или где память , Sergey (??), 10:34 , 13-Авг-23, (4)

И там и там виноват Но с памятью ошибки опаснее, пути не дадут выполнить произ, Анонимусс (?), 10:41 , 13-Авг-23, (5) +6

Скрыто модератором, Аноним (-), 16:14 , 13-Авг-23, (49) +3

Ну, это как установить мину, а потом сказать - виноват тот, кто наступил, не над, Аноним (99), 03:01 , 16-Авг-23, (99)

Скрыто модератором, Аноним (78), 14:20 , 13-Авг-23, (33) +2

Там логическая ошибка, а не типичный сишный обсёр с указателями , Шарп (ok), 12:37 , 13-Авг-23, (22) +2

Нет, это типичная логическая ошибка на Расте, каких в будущем будет много И так, Аноним (-), 13:14 , 13-Авг-23, (24)

Они время жизни указателя отследить не могут не то что пути , Аноним (78), 14:22 , 13-Авг-23, (35)
Это типичная ошибка на чем угодно, и это отдельный класс уязвимостей с тех пор, , Аноним (97), 03:51 , 15-Авг-23, (97)

Ну так и об указателях можно сказать, что это логическая ошибка работы с указате, Anon3 (?), 17:35 , 13-Авг-23, (55)

Это не получится Надо создать новый язык, заточеный на безопасную работу с файл, ИмяХ (?), 18:54 , 13-Авг-23, (61) +1

Ну, не то, чтобы не получится Но, наверно, вы правы Во первых семантика работы с, Anon3 (?), 20:38 , 13-Авг-23, (68) +1

Вот именно, это лишний раз доказывает, что сознательные программисты компании не, Аноним (30), 14:12 , 13-Авг-23, (30)

Компании в твоём сказочном мире , Аноним (78), 14:22 , 13-Авг-23, (36)
А, ну да, точно И поэтому гугловцы решили переписать сетевой стек фуксии с го н, Аноним (45), 15:43 , 13-Авг-23, (45)

Пока что только отзывы от фанатов в духе выбрать ржавчину было самой большой ош, Аноним (67), 20:27 , 13-Авг-23, (67) +1

Какой современный социолог Расплывчатый сомнительный опрос и твердый вывод э, Аноним (93), 22:37 , 14-Авг-23, (93)

На HN пару раз видел, там любят ржавчину , Аноним (67), 22:46 , 14-Авг-23, (95)

Она и была librsvg Библиотека для РАСТЕРИЗАЦИИ svg , Аноним (76), 06:09 , 14-Авг-23, (76) +1

1 phar_dir_read ошибка в файле dirstream c немного ошиблись с вычислением разме, Аноним (-), 10:45 , 13-Авг-23, (6) –1

Я про то что как бы оказалась что Раст будет способствовать понижению уровня про, Sergey (??), 10:49 , 13-Авг-23, (9) +2

ты делаешь такой вывод из одной cve шки было бы интересно глянуть, что там было, Аноним (11), 10:54 , 13-Авг-23, (11)

История помнит Delphi Раст, конечно, не столь удобный и продуманный, но все воз, tty0 (?), 00:43 , 14-Авг-23, (73)

Ахаха, а у сишных бракоделов, которые даже размер буфера вычислить не могут, сил, Анонин (?), 11:08 , 13-Авг-23, (13) –1

Откуда инфа что не могут , Ефрщ (?), 12:08 , 13-Авг-23, (19)

Посмотри на число уязвимостей и сложи 2 2 про переполнение не забудь , Аноним (26), 13:38 , 13-Авг-23, (26)

Посмотри на чём пишут софт и на чём только переписывают привет миры и сложи 1 и , Аноним (67), 14:07 , 13-Авг-23, (28)

Посмотрел В андроиде в последнийх версиях _новую_ нативную системщину старают, Аноним (30), 14:20 , 13-Авг-23, (32) –1

Как я понимаю, ты радуешься за успехи корп в эмбеддовке, но это не серьёзно Как, Аноним (67), 14:26 , 13-Авг-23, (39) –1

Похоже, не читал ссылку Свободен, пионер Скоро в школу ага, попробуй найди сто, Аноним (30), 14:41 , 13-Авг-23, (41) –2

Твои аргументы не звучат сколько-нибудь убедительно , Аноним (67), 14:58 , 13-Авг-23, (42)

Если бы умели считать, то и уязвимостей не было glibc https www opennet ru op, Анонин (?), 18:22 , 13-Авг-23, (59)

5 Оно и видно что не силён, ведь все 7 из 7 уязвимостей в ноде ни как не связан, Аноним (21), 12:19 , 13-Авг-23, (21) +1

О, у нас спец по ноде Неужели все 7 тоже сишные дырени , Анонин (?), 14:13 , 13-Авг-23, (31) –1

И 1108 того я тоже не говорила, виноваты разрабы ноды , Аноним (101), 00:24 , 18-Авг-23, (101)

Да ладно, нормально все тут с путями, они вообще с Unix пришли , Sergey (??), 10:45 , 13-Авг-23, (7) –1

смотрю в Windows проблем вообще нет , Аноним (8), 10:49 , 13-Авг-23, (8)

Скрыто модератором, Аноним (-), 10:50 , 13-Авг-23, (10) –2
Просто про проблемы никто не знает кроме правильных людей , Аноним (78), 16:33 , 13-Авг-23, (51)

Проблема не с путями, а с тем, куда ось дает доступ То что кто угодно может чита, Анонин (?), 11:10 , 13-Авг-23, (14) –2

Selinux может ограничивать доступ не только к файлам и сетке но и к памяти , Sergey (??), 11:55 , 13-Авг-23, (17)

Может, это круто Ну и где ваш Selinux Его нужно установить и настроить, причем, Анонин (?), 14:10 , 13-Авг-23, (29)

В первом абзаце жалуется на то, что ему SELinux папа не настроил, и тут же во вт, Аноним (46), 15:47 , 13-Авг-23, (46)

Еще раз для таких отбитых как ты SELinux - это просто костыль для ядра, потому , Анонин (?), 18:16 , 13-Авг-23, (58)

И как же должно быть нормально, о великий кексперт , uis (??), 19:21 , 13-Авг-23, (64)
Что бы сделать что-то подобное мандатному доступу - надо договориться Кому надо, Аноним (93), 22:30 , 14-Авг-23, (92)

В смысле установить и намтроить В Федоре все по дефаульту пашет В 2005 году т, Sergey (??), 19:11 , 13-Авг-23, (62) –1

Только 2 из уязвимостей связаны с повреждением памяти , Аноним (12), 11:07 , 13-Авг-23, (12)
Специальные элементы директорий и были большой ошибкой и костылём для т, Аноним (12), 11:12 , 13-Авг-23, (15) –2

Вот это очень правильно Тем более, что в хорошей фс может быть не единственный , Аноним (75), 05:40 , 14-Авг-23, (75)
Видите ли - так еще много контента ресурсы референсит Кроме того - а как вы нав, Аноним (-), 18:23 , 14-Авг-23, (83)

Уязвимость в librsvg Не может быть Эта библиотека написана на безопасном язык, Аноним (18), 11:59 , 13-Авг-23, (18)

Дык и уязвимость безопасная Просто фича такая, не дырень же , Аноним (20), 12:14 , 13-Авг-23, (20) +1

Ещё какая дырень , Аноним (78), 14:25 , 13-Авг-23, (38)

Все верно Там ведь наверное выход за пределы массива Или обращение к невыделен, Аноним (30), 14:30 , 13-Авг-23, (40) +1

Так растовики и считать не умеют выдумывают проценты и сами в них верят , Аноним (78), 16:32 , 13-Авг-23, (50) +1
Не-а Это наглядная иллюстрация к утверждению, что Раст затрудняет процесс напис, gleb (?), 16:40 , 13-Авг-23, (52)

https www opennet ru opennews art shtml num 48680 CVE-2018-11235 в гит - возмо, Анонин (?), 18:13 , 13-Авг-23, (57)

а время покажет пока утверждение косвенно подтверждает тот факт, что ВСЕ прое, glebiao (ok), 15:30 , 16-Авг-23, (100)

Нет, Rust тут не поможет ни один баг не про double-free и не про use-after-free, Аноним (23), 12:39 , 13-Авг-23, (23) +1
Интересно, как поможет Rust, если он тихо проглатывает численные переполнения в , Витюшка (?), 13:46 , 13-Авг-23, (27)

Переполнения не выходят за границы отведенной памяти Значение становится невали, Аноним (56), 18:09 , 13-Авг-23, (56) +1

В смысле не выходят А это тогда что https stackoverflow com questions 24898, Витюшка (?), 23:42 , 13-Авг-23, (71)

Там же по ссылке написаноПроверка не дала выйти за границу , Анонимусс (?), 02:22 , 14-Авг-23, (74)
доступ по индексу проверяется в рантайме Программа аварийно завершилась - досту, Аноним (93), 22:08 , 14-Авг-23, (90)

В Rust индекс имеет тип usize А значит при overflow вновь попадёт в валидный ин, Витюшка (?), 00:17 , 15-Авг-23, (96)

при обработке файлов в формате RealMedia Ну вряд ли много кто сейчас помнит-то , Kuromi (ok), 15:27 , 13-Авг-23, (43) –1

Тем не менее, этот формат должен поддерживаться, иначе пользователи будут ныть , Аноним (67), 15:37 , 13-Авг-23, (44)

Утрутся и сконвертируют Распространители контента, не пользователи У пользоват, Аноним (69), 20:59 , 13-Авг-23, (69) –1

Но ведь у пользователей всё работает Это очень популярный формат на самом деле,, Аноним (67), 21:40 , 13-Авг-23, (70) +1

Debian 10 Gnome Распакован через Gnome Files tmp ls -alитого 12drwx, Аноним (56), 16:41 , 13-Авг-23, (53)
Это все от использования всяких ИИ-копилотов Деградация налицо, обленились , Минона (ok), 00:38 , 14-Авг-23, (72)
больше уязвимостей нет, тащ майор, just yet it (?), 14:04 , 14-Авг-23, (79)
С каких пор это уязимость Если хомяк не монитруется с noexec, то ЭТО уязвимость, Аноним (80), 16:16 , 14-Авг-23, (80)

noexec - nosuid nodev noexec, Аноним (80), 16:16 , 14-Авг-23, (81)
Попробуй tmp монтировать с noexec, потом поделишься впечатлениями Сам ты уязви, Аноним (67), 18:15 , 14-Авг-23, (82)

А чо такого mount -v tmptmpfs on tmp tmpfs, local, noexec, nosuid stattim, другой Аноним (?), 19:11 , 14-Авг-23, (84)

Маловероятно, что это рабочая станция -- куча юзерского софта обломится Да и см, Аноним (67), 19:16 , 14-Авг-23, (86)

Угу, это не рабочая станция, это ноут, с которого я пишу этот коммент И да, ку, другой Аноним (?), 19:23 , 14-Авг-23, (87)

Вайнтрикс DE , Аноним (67), 20:07 , 14-Авг-23, (88)

Да вроде работал пару лет назад не помню уже для чего использовал - вино у меня, Аноним (89), 22:06 , 14-Авг-23, (89)

В Debian 10 многие tmpfs смонтированы с noexec и nosiud по-умолчанию Запускать ч, Аноним (93), 22:23 , 14-Авг-23, (91)

Скрыто модератором, Аноним (-), 06:41 , 15-Авг-23, (98)

Проблема в том, что, как сказал релокант, нот всего семь А играть приходи, Аноним (93), 22:41 , 14-Авг-23, (94)

Сообщения [Сортировка по времени | RSS]

1. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +14 +/–

Сообщение от Аноним (1), 13-Авг-23, 09:50

> Уязвимость (CVE-2023-38633) в библиотеке librsvg
Вот переписали бы на... Ой, это ведь была libsvg когда-то.

Ответить | Правка | Наверх | Cообщить модератору

2. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +1 +/–

Сообщение от Sergey (??), 13-Авг-23, 10:10

В расте не может быть уязвимости !

Ответить | Правка | Наверх | Cообщить модератору

78. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." –1 +/–

Сообщение от Аноним (78), 14-Авг-23, 07:36

Раст и есть уязвимость.

Ответить | Правка | Наверх | Cообщить модератору

3. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +9 +/–

Сообщение от Анонимусс (?), 13-Авг-23, 10:29

Ну так именно поэтому тут проблема с путями, а не с переполнением буфера или overflow как в дыряшке в соседних уязвимостях.

Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

4. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +/–

Сообщение от Sergey (??), 13-Авг-23, 10:34

А где по вашему больше виноват человек (кодер) где пути или где память ?

Ответить | Правка | Наверх | Cообщить модератору

5. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +6 +/–

Сообщение от Анонимусс (?), 13-Авг-23, 10:41

И там и там виноват)) Но с памятью ошибки опаснее, пути не дадут выполнить произвольный код.
Поэтому у этой уязвимости CVE-2023-38633 score 7.5, а у уязвимости в CVE-2023-3824 с памятью - 9.4 CRITICAL.
Чувствуется разница? А вообще все эти уязвимости с выходом за пределы родного каталога - просто результат черехж0пно спроектированной оси.
Просто дыряшке ты с легкостью сделаешь обе ошибки, а в растишке нужно постараться, чтобы накосячить с памятью.

Ответить | Правка | Наверх | Cообщить модератору

49. Скрыто модератором +3 +/–

Сообщение от Аноним (-), 13-Авг-23, 16:14

Ну да, спертые ключи ssh - полностью безопасно. Совсем не даст выполнить произвольный код.

Ответить | Правка | Наверх | Cообщить модератору

99. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +/–

Сообщение от Аноним (99), 16-Авг-23, 03:01

> А где по вашему больше виноват человек (кодер) где пути или где память ?
Ну, это как установить мину, а потом сказать - виноват тот, кто наступил, не надо было наступать.

Ответить | Правка | К родителю #4 | Наверх | Cообщить модератору

33. Скрыто модератором +2 +/–

Сообщение от Аноним (78), 13-Авг-23, 14:20

Типа проблемы с путями безопасТные?

Ответить | Правка | К родителю #3 | Наверх | Cообщить модератору

22. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +2 +/–

Сообщение от Шарп (ok), 13-Авг-23, 12:37

Там логическая ошибка, а не типичный сишный обсёр с указателями.

Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

24. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +/–

Сообщение от Аноним (-), 13-Авг-23, 13:14

Нет, это типичная логическая ошибка на Расте, каких в будущем будет много. И такой тип ошибок превратится в класс уязвимостей.

Ответить | Правка | Наверх | Cообщить модератору

35. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +/–

Сообщение от Аноним (78), 13-Авг-23, 14:22

Они время жизни указателя отследить не могут не то что пути.

Ответить | Правка | Наверх | Cообщить модератору

97. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +/–

Сообщение от Аноним (97), 15-Авг-23, 03:51

Это типичная ошибка на чем угодно, и это отдельный класс уязвимостей с тех пор, как вообще существуют относительные пути.

Ответить | Правка | К родителю #24 | Наверх | Cообщить модератору

55. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +/–

Сообщение от Anon3 (?), 13-Авг-23, 17:35

Ну так и об указателях можно сказать, что это логическая ошибка работы с указателями.
Я уже начинаю считать количество типичных обс_ров разработчиков на rust при работе с файлами, включая https://www.opennet.dev/opennews/art.shtml?num=59548
Есть гипотеза, что rust развращает, и разработчик ожидает, что работа с файлами будет такая же безопасная как с указателями.
Вот что мешает разработать и встроить в rust безопасную работу с файлами с учетом их владения, передачи (включая по сети) и времени жизни? Rust начинали писать на OCaml, эту задачу может проще будет решить (для начала) на каком нибудь Coq, Agda, Idris

Ответить | Правка | К родителю #22 | Наверх | Cообщить модератору

61. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +1 +/–

Сообщение от ИмяХ (?), 13-Авг-23, 18:54

Это не получится. Надо создать новый язык, заточеный на безопасную работу с файловыми путями. И рекламировать его везде, вставляя по три больших абзаца текста про безопасную работу с файловыми путями, избавляя программиста от типичных ошибок выхода за пределы рабочего каталога

Ответить | Правка | Наверх | Cообщить модератору

68. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +1 +/–

Сообщение от Anon3 (?), 13-Авг-23, 20:38

Ну, не то, чтобы не получится.
Но, наверно, вы правы.
Во первых семантика работы с обьектами файловой системы и указателями может не совпадать и будет код на rust похожый на кашу (сейчас, то rust - образец элегантности)
Во вторых, не всем нужна работа с файлами (может же персистентность обеспечиваться СУБД, etc)
А вот rust, и всю его инфраструктуру, видимо надо позиционировать как stateless, всю работу с IO обьявть unsafe.
Итого: rust, не язык  общего назначения, а вычислитель с перекладыванием байтов в оперативной памяти

Ответить | Правка | Наверх | Cообщить модератору

30. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +/–

Сообщение от Аноним (30), 13-Авг-23, 14:12

Вот именно, это лишний раз доказывает, что сознательные программисты/компании не зря (пусть не сразу) отказываются от сишки/плюсов. В них бы на одну эту "логическую" ошибку было бы в довесок еще две-три-четыре критических ошибки работы с памятью. Отрадно видеть, что в целом ЯП дает то, что обещает. Думать за программиста над задачей он не обещал. Это вам к чатгопоте будущих версий.

Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

36. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +/–

Сообщение от Аноним (78), 13-Авг-23, 14:22

Компании в твоём сказочном мире?

Ответить | Правка | Наверх | Cообщить модератору

45. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +/–

Сообщение от Аноним (45), 13-Авг-23, 15:43

А, ну да, точно. И поэтому гугловцы решили переписать сетевой стек фуксии с го на плюсы.
Видишь ли в конторах где умеют проверять уровень тупости программистов существуют отборочные вопросы и там сразу понятно кто явился. Растишка если бы был панацеей уже применялся бы вообще везде.

Ответить | Правка | К родителю #30 | Наверх | Cообщить модератору

67. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +1 +/–

Сообщение от Аноним (67), 13-Авг-23, 20:27

Пока что только отзывы от фанатов в духе "выбрать ржавчину было самой большой ошибкой моей жизни" и далее перечень объективных причин, почему это действительно оказалось плохой идеей. Но, в то же время, ржавчина всё ещё лучше сотен аналогичных моднявых язычков, и если таких неудачников не будет, она никогда не станет юзабельной. Поэтому, чем больше провалов, тем лучше.

Ответить | Правка | Наверх | Cообщить модератору

93. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +/–

Сообщение от Аноним (93), 14-Авг-23, 22:37

Какой современный "социолог". Расплывчатый сомнительный опрос и твердый вывод "это действительно оказалось плохой идеей"

Ответить | Правка | Наверх | Cообщить модератору

95. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +/–

Сообщение от Аноним (67), 14-Авг-23, 22:46

На HN пару раз видел, там любят ржавчину.

Ответить | Правка | Наверх | Cообщить модератору

76. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +1 +/–

Сообщение от Аноним (76), 14-Авг-23, 06:09

Она и была librsvg. Библиотека для РАСТЕРИЗАЦИИ svg.

Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

6. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." –1 +/–

Сообщение от Аноним (-), 13-Авг-23, 10:45

1. phar_dir_read ошибка в файле dirstream.c немного ошиблись с вычислением размеров, бывает
2. логическая ошибка парсинга
3. GStreamer - в файле rmdemux.c забыли вычислять size для gst_buffer
4. xen-netback/netback.c - buffer overrun, какая неожиданность!
5. в жабаскрипте не силен, но тк там нет строгой типизации, то не удивительно
6. urllib.parse - забыли экранировать ввод? странная ошибка для такой древней либы
7. GNOME Files... проблема suid на пеньке появляется регулярно, возможно дело не в руках, а архитектуре
8. и логическая ошибка в librsvg, почти как в PHP что вдвойне обидно)

Ответить | Правка | Наверх | Cообщить модератору

9. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +2 +/–

Сообщение от Sergey (??), 13-Авг-23, 10:49

Я про то что как бы оказалась что Раст будет способствовать понижению уровня программиста.

Ответить | Правка | Наверх | Cообщить модератору

11. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +/–

Сообщение от Аноним (11), 13-Авг-23, 10:54

ты делаешь такой вывод из одной cve'шки ?
было бы интересно глянуть, что там было до переписывания (но лень)))
может логику транслировали 1-в-1 со всеми ошибками

Ответить | Правка | Наверх | Cообщить модератору

73. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +/–

Сообщение от tty0 (?), 14-Авг-23, 00:43

История помнит Delphi. Раст, конечно, не столь удобный и продуманный, но все возможно.

Ответить | Правка | Наверх | Cообщить модератору

13. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." –1 +/–

Сообщение от Анонин (?), 13-Авг-23, 11:08

Ахаха, а у сишных бракоделов, которые даже размер буфера вычислить не могут, сильно высокий уровень??

Ответить | Правка | К родителю #9 | Наверх | Cообщить модератору

19. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +/–

Сообщение от Ефрщ (?), 13-Авг-23, 12:08

Откуда инфа что не могут?

Ответить | Правка | Наверх | Cообщить модератору

26. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +/–

Сообщение от Аноним (26), 13-Авг-23, 13:38

Посмотри на число уязвимостей и сложи 2+2(про переполнение не забудь)

Ответить | Правка | Наверх | Cообщить модератору

28. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +/–

Сообщение от Аноним (67), 13-Авг-23, 14:07

Посмотри на чём пишут софт и на чём только переписывают привет миры и сложи 1 и 1.

Ответить | Правка | Наверх | Cообщить модератору

32. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." –1 +/–

Сообщение от Аноним (30), 13-Авг-23, 14:20

Посмотрел. В андроиде (в последнийх версиях) _новую_ нативную системщину стараются писать на расте и выкидывают к хе.рам собачьим си/плюсы. Старую сишню/плюсовину пока переписывать не собираются, там же рациональные люди, не фанатики - слишком дофига написано, всё не перепишешь, плюс в старом уже большинство ошибок вылизано. Зато радуются, что в ядро растишку всунули. Грозятся, что когда вызреет то и в ядро на расте будут писать, ибо все эти сишные баги их достали. Так что держись там.
https://security.googleblog.com/2022/12/memory-safe-language...

Ответить | Правка | Наверх | Cообщить модератору

39. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." –1 +/–

Сообщение от Аноним (67), 13-Авг-23, 14:26

Как я понимаю, ты радуешься за успехи корп в эмбеддовке, но это не серьёзно. Как написали, так завтра и выкинули на свалку. Вообще, я не вижу проблем с таким применением, но вот прикладное ПО не пишет никто, и вряд ли это совпадение.

Ответить | Правка | Наверх | Cообщить модератору

41. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." –2 +/–

Сообщение от Аноним (30), 13-Авг-23, 14:41

> Как написали, так завтра и выкинули на свалку
Похоже, не читал ссылку. Свободен, пионер. Скоро в школу.
> но вот прикладное ПО не пишет никто
ага, попробуй найди столько манки-кодеров на расте, сколько требуется всем этим конторам и галерам и сколько подготовлено погромистов (и продолжают готовить, инерция) на других, распространенных, языках, на "промышленных". Ну и никто не оспаривает и не отменяет тонны существующего кода, накопленного за десятилетия, которое не перепишешь и не выкинешь даже за полвека. Ты хочешь чтобы по щелчку пальцев все хопа - и переключились на раст? Так не бывает. Если бы это было на заре эры расцвета прикладного ПО, то можно было приводить такой аргумент. А так - глупо.

Ответить | Правка | Наверх | Cообщить модератору

42. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +/–

Сообщение от Аноним (67), 13-Авг-23, 14:58

Твои аргументы не звучат сколько-нибудь убедительно.

Ответить | Правка | Наверх | Cообщить модератору

59. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +/–

Сообщение от Анонин (?), 13-Авг-23, 18:22

Если бы умели считать, то и уязвимостей не было))
glibc https://www.opennet.dev/opennews/art.shtml?num=59529
"Устранена уязвимость CVE-2023-25139, приводящая к переполнению буфера в функциях семейства printf при записи в буфер строковых представлений чисел с разделителями тысячных диапазонов, если размер буфера рассчитан без учёта разделителей (например, вывод 1,234,567 приведёт к переполнению на 2 байта)."

Ответить | Правка | К родителю #19 | Наверх | Cообщить модератору

21. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +1 +/–

Сообщение от Аноним (21), 13-Авг-23, 12:19

5. Оно и видно что не силён, ведь все 7 из 7 уязвимостей в ноде ни как не связаны с динамической типизацией

Ответить | Правка | К родителю #6 | Наверх | Cообщить модератору

31. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." –1 +/–

Сообщение от Анонин (?), 13-Авг-23, 14:13

О, у нас спец по ноде! Неужели все 7 тоже сишные дырени?

Ответить | Правка | Наверх | Cообщить модератору

101. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +/–

Сообщение от Аноним (101), 18-Авг-23, 00:24

И єтого я тоже не говорила, виноваты разрабы ноды.

Ответить | Правка | Наверх | Cообщить модератору

7. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." –1 +/–

Сообщение от Sergey (??), 13-Авг-23, 10:45

Да ладно, нормально все тут с путями, они вообще с Unix пришли.

Ответить | Правка | Наверх | Cообщить модератору

8. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +/–

Сообщение от Аноним (8), 13-Авг-23, 10:49

смотрю в Windows проблем вообще нет?

Ответить | Правка | Наверх | Cообщить модератору

10. Скрыто модератором –2 +/–

Сообщение от Аноним (-), 13-Авг-23, 10:50

тебя волнуют проблемы форточников?
или может нужно оттуда взять пару костылей?

Ответить | Правка | Наверх | Cообщить модератору

51. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +/–

Сообщение от Аноним (78), 13-Авг-23, 16:33

Просто про проблемы никто не знает кроме правильных людей.

Ответить | Правка | К родителю #8 | Наверх | Cообщить модератору

14. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." –2 +/–

Сообщение от Анонин (?), 13-Авг-23, 11:10

Проблема не с путями, а с тем, куда ось дает доступ.
То что кто угодно может читать что угодно было нормально в дремучие времена юниксов.

Ответить | Правка | К родителю #7 | Наверх | Cообщить модератору

17. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +/–

Сообщение от Sergey (??), 13-Авг-23, 11:55

Selinux может ограничивать доступ не только к файлам и сетке но и к памяти ...

Ответить | Правка | Наверх | Cообщить модератору

29. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +/–

Сообщение от Анонин (?), 13-Авг-23, 14:10

Может, это круто. Ну и где ваш Selinux? Его нужно установить и настроить, причем правильно настроить, а то будет еще хуже. В AppArmor можно тоже прописать deny path, а толку.
Это должно быть в оси по умолчанию. Каждая аппа получает доступ к своей папке в хомяке и больше никуда. Все остальные запросы на доступ идут через запросы к оси и юзер дает права. Или прописываются ручками в отдельном конфиге, если так удобнее.

Ответить | Правка | Наверх | Cообщить модератору

46. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +/–

Сообщение от Аноним (46), 13-Авг-23, 15:47

В первом абзаце жалуется на то, что ему SELinux папа не настроил, и тут же во втором просит дать ему SELinux ручками настраивать. Подростки такие подростки…

Ответить | Правка | Наверх | Cообщить модератору

58. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +/–

Сообщение от Анонин (?), 13-Авг-23, 18:16

Еще раз для таких отбитых как ты))
SELinux - это просто костыль для ядра, потому что в свое время нормально не сделали, а потом уже поздно было переделывать. Контроль доступа к каталогам должен (был) быть неотъемлемой частью ядра. Но что есть, то есть.

Ответить | Правка | Наверх | Cообщить модератору

64. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +/–

Сообщение от uis (??), 13-Авг-23, 19:21

И как же должно быть нормально, о великий кексперт?

Ответить | Правка | Наверх | Cообщить модератору

92. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +/–

Сообщение от Аноним (93), 14-Авг-23, 22:30

Что бы сделать что-то подобное мандатному доступу - надо договориться. Кому надо - поставят и настроят костыль.

Ответить | Правка | К родителю #58 | Наверх | Cообщить модератору

62. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." –1 +/–

Сообщение от Sergey (??), 13-Авг-23, 19:11

В смысле установить и намтроить ? В Федоре все по дефаульту пашет.
В 2005 году (точно не помню) бяла утечка ПХП и пол инета сайты потюкали, а что были на Шапке не пострадали.

Ответить | Правка | К родителю #29 | Наверх | Cообщить модератору

12. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +/–

Сообщение от Аноним (12), 13-Авг-23, 11:07

Только 2 из уязвимостей связаны с повреждением памяти.

Ответить | Правка | Наверх | Cообщить модератору

15. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." –2 +/–

Сообщение от Аноним (12), 13-Авг-23, 11:12

Специальные элементы директорий `.` и `..` были большой ошибкой и костылём для того, чтобы bat-файлы, не имеющие ООП, было легче писать. Давно пора прекратить обработку `.` и `..` на уровне ядра и сломать все программы, от этого зависящие. Кому нужна родительская директория - пусть используют API операционной системы, POSIX API или std::filesystem. Это и есть окончательное решение вопроса.

Ответить | Правка | Наверх | Cообщить модератору

75. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +/–

Сообщение от Аноним (75), 14-Авг-23, 05:40

Вот это очень правильно. Тем более, что в хорошей фс может быть не единственный родительский каталог.

Ответить | Правка | Наверх | Cообщить модератору

83. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +/–

Сообщение от Аноним (-), 14-Авг-23, 18:23

> Специальные элементы директорий `.` и `..` были большой ошибкой и костылём для
> того, чтобы bat-файлы, не имеющие ООП, было легче писать. Давно пора
> прекратить обработку `.` и `..` на уровне ядра и сломать все
> программы, от этого зависящие. Кому нужна родительская директория - пусть используют
> API операционной системы, POSIX API или std::filesystem. Это и есть окончательное
> решение вопроса.
Видите ли - так еще много контента ресурсы референсит. Кроме того - а как вы навигировать по иерархии будете без .. ? А назад возвращаться как?

Ответить | Правка | К родителю #15 | Наверх | Cообщить модератору

18. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +/–

Сообщение от Аноним (18), 13-Авг-23, 11:59

Уязвимость в librsvg?! Не может быть! Эта библиотека написана на безопасном языке!

Ответить | Правка | Наверх | Cообщить модератору

20. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +1 +/–

Сообщение от Аноним (20), 13-Авг-23, 12:14

Дык и уязвимость безопасная. Просто фича такая, не дырень же.

Ответить | Правка | Наверх | Cообщить модератору

38. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +/–

Сообщение от Аноним (78), 13-Авг-23, 14:25

Ещё какая дырень.

Ответить | Правка | Наверх | Cообщить модератору

40. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +1 +/–

Сообщение от Аноним (30), 13-Авг-23, 14:30

Все верно. Там ведь наверное выход за пределы массива? Или обращение к невыделенной памяти? Или, может быть, ее дважды освободили? Хм... Так, что там еще... "Думать за программиста над задачей, предметной областью и не допускать АБСОЛЮТНО ЛЮБЫХ ВООБРАЗИМЫХ ошибок"? А, нет, это сишники выдумали это утверждение и приписывают его растоманам и языку. Пусть тешатся, болезные, ибо как им еще самоутверждаться, оправдываться за 70% ошибок в своих поделках.

Ответить | Правка | К родителю #18 | Наверх | Cообщить модератору

50. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +1 +/–

Сообщение от Аноним (78), 13-Авг-23, 16:32

Так растовики и считать не умеют выдумывают проценты и сами в них верят.

Ответить | Правка | Наверх | Cообщить модератору

52. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +/–

Сообщение от gleb (?), 13-Авг-23, 16:40

Не-а. Это наглядная иллюстрация к утверждению, что Раст затрудняет процесс написания (требует повышенного внимания программиста) и следовательно, косвенно способствует появлению логических ошибок.
Сдаётся мне, таких новостей будет появляться всё больше.

Ответить | Правка | К родителю #40 | Наверх | Cообщить модератору

57. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +/–

Сообщение от Анонин (?), 13-Авг-23, 18:13

https://www.opennet.dev/opennews/art.shtml?num=48680
CVE-2018-11235 в гит - возможность выхода за границы базового каталога репозитория через использование символов "../" в относительном пути к субмодулю, определённому в файле ".gitmodules"
О нет! У сишников в штанишках такая же уязвимость была! Возможно программирование на си требует повышенного внимания программиста и следовательно, косвенно способствует появлению логических ошибок.
А вот аналогичная в питоне https://www.opennet.dev/opennews/art.shtml?num=59040
https://www.opennet.dev/opennews/art.shtml?num=59190 - в гитлабе
https://www.opennet.dev/opennews/art.shtml?num=57093 - опять питон, только еще рут получает
https://www.opennet.dev/opennews/art.shtml?num=49440 - сишечка
https://www.opennet.dev/opennews/art.shtml?num=55934 - go (moby, docker/cli и containerd)
https://www.opennet.dev/opennews/art.shtml?num=57978 - и любимое - выход за пределы массива на сишечке, а потом за пределы каталога))
И так далее...
Поэтому ваше утверждение... мягко говоря имеет слабое обоснование

Ответить | Правка | Наверх | Cообщить модератору

100. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +/–

Сообщение от glebiao (ok), 16-Авг-23, 15:30

а время покажет.
пока утверждение косвенно подтверждает :) тот факт, что ВСЕ проекты на Расте пишутся чрезвычайно долго и результат, по-первости, падает на любой чих (яркий пример: inkscape позапрошлого года)

Ответить | Правка | Наверх | Cообщить модератору

23. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +1 +/–

Сообщение от Аноним (23), 13-Авг-23, 12:39

Нет, Rust тут не поможет: ни один баг не про double-free и не про use-after-free, а больше никаких гарантий этот язык не дает.

Ответить | Правка | Наверх | Cообщить модератору

27. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +/–

Сообщение от Витюшка (?), 13-Авг-23, 13:46

Интересно, как поможет Rust, если он тихо проглатывает численные переполнения в арифметических операциях?
Значит скоро полезут уязвимости.

Ответить | Правка | Наверх | Cообщить модератору

56. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +1 +/–

Сообщение от Аноним (56), 13-Авг-23, 18:09

Переполнения не выходят за границы отведенной памяти. Значение становится невалидное. Кроме того, можно указать поведение в случае переполнения.

Ответить | Правка | Наверх | Cообщить модератору

71. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +/–

Сообщение от Витюшка (?), 13-Авг-23, 23:42

В смысле не выходят??? А это тогда что?
https://stackoverflow.com/questions/24898579/why-does-the-ru...

Ответить | Правка | Наверх | Cообщить модератору

74. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +/–

Сообщение от Анонимусс (?), 14-Авг-23, 02:22

Там же по ссылке написано
> thread panicked at 'index out of bounds
Проверка не дала выйти за границу.

Ответить | Правка | Наверх | Cообщить модератору

90. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +/–

Сообщение от Аноним (93), 14-Авг-23, 22:08

доступ по индексу проверяется в рантайме. Программа аварийно завершилась - доступа за пределы не было.

Ответить | Правка | К родителю #71 | Наверх | Cообщить модератору

96. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +/–

Сообщение от Витюшка (?), 15-Авг-23, 00:17

В Rust индекс имеет тип usize. А значит при overflow вновь попадёт в валидный индекс 0.
Это никак в runtime не проверить.
Вот тебе и яузвимость - доступ к другому участку памяти.
А там и данные могут быть с root правами, или спец значения и ТД.

Ответить | Правка | Наверх | Cообщить модератору

43. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." –1 +/–

Сообщение от Kuromi (ok), 13-Авг-23, 15:27

"при обработке файлов в формате RealMedia"
Ну вряд ли много кто сейчас помнит-то о таком формате, не то что пользует. Такое найти можно только в пыльных архивах и еще кое где.
Не самый удачный формат для использования уязвимости.

Ответить | Правка | Наверх | Cообщить модератору

44. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +/–

Сообщение от Аноним (67), 13-Авг-23, 15:37

Тем не менее, этот формат должен поддерживаться, иначе пользователи будут ныть. А значит, формат максимально удачный. Только вчера выяснял, почему в свеженькой игрушечке не работает видео, и там как раз этот формат оказался.

Ответить | Правка | Наверх | Cообщить модератору

69. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." –1 +/–

Сообщение от Аноним (69), 13-Авг-23, 20:59

>этот формат должен поддерживаться, иначе пользователи будут ныть
Утрутся и сконвертируют. Распространители контента, не пользователи. У пользователей не ffmpeg виноват будет, а те, кто контент во всратом формате, а не в общепринятых h.264 h.255 vp9 в кортейнерах и mp4 mkv (и варианте webm) публикует.

Ответить | Правка | Наверх | Cообщить модератору

70. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +1 +/–

Сообщение от Аноним (67), 13-Авг-23, 21:40

Но ведь у пользователей всё работает. Это очень популярный формат на самом деле, куда популярнее, скажем, общепринятых ogg+theora/daala.

Ответить | Правка | Наверх | Cообщить модератору

53. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +/–

Сообщение от Аноним (56), 13-Авг-23, 16:41

> Локальный злоумышленник может передать жертве архив с исполняемым файлом с suid-битом и после открытия жертвой этого архива в GNOME Files, файл будет распакован в локальной ФС с сохранением выставленного suid-бита.
Debian 10. Gnome. Распакован через Gnome Files.
***@***:~/tmp$ ls -al
итого 12
drwxr-xr-x  2 *** *** 4096 авг 13 16:32 .
drwxr-xr-x 30 *** *** 4096 авг 13 16:19 ..
-rw-r--r--  1 *** ***  155 авг 13 16:20 f.zip
***@***:~/tmp$ zipinfo f
Archive:  f.zip
Zip file size: 155 bytes, number of entries: 1
-rwsr-sr-x  3.0 unx        3 tx stor 23-Aug-13 16:19 F
1 file, 3 bytes uncompressed, 3 bytes compressed:  0.0%
***@***:~/tmp$ ls -al
итого 16
drwxr-xr-x  2 *** *** 4096 авг 13 16:33 .
drwxr-xr-x 30 *** *** 4096 авг 13 16:19 ..
-rwxr-xr-x  1 *** ***    3 авг 13 16:19 F
-rw-r--r--  1 *** ***  155 авг 13 16:20 f.zip
***@***:~/tmp$

Ответить | Правка | Наверх | Cообщить модератору

72. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +/–

Сообщение от Минона (ok), 14-Авг-23, 00:38

Это все от использования всяких ИИ-копилотов.
Деградация налицо, обленились.

Ответить | Правка | Наверх | Cообщить модератору

79. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +/–

Сообщение от just yet it (?), 14-Авг-23, 14:04

больше уязвимостей нет, тащ майор

Ответить | Правка | Наверх | Cообщить модератору

80. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +/–

Сообщение от Аноним (80), 14-Авг-23, 16:16

> Уязвимость в GNOME Files, связанная с сохранением suid-бита в файлах, извлечённых из zip-архивов
С каких пор это уязимость? Если хомяк не монитруется с noexec, то ЭТО уязвимость (дистрибутива). Если пользователь запускает что-то, установленное в обход пакетного менеджера, то ЭТО уязвимость (между экраном и клавиатурой). А сохранение атрибутов файлов - это стандартная функция менеджера архивов.

Ответить | Правка | Наверх | Cообщить модератору

81. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +/–

Сообщение от Аноним (80), 14-Авг-23, 16:16

*noexec - nosuid nodev noexec

Ответить | Правка | Наверх | Cообщить модератору

82. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +/–

Сообщение от Аноним (67), 14-Авг-23, 18:15

Попробуй /tmp монтировать с noexec, потом поделишься впечатлениями. Сам ты уязвимость, малварь выглядит совсем не так, как ты её себе представляешь. Например, устанавливаемые из самых что ни на есть реп chrome и vscode -- малварь чистой воды.

Ответить | Правка | К родителю #80 | Наверх | Cообщить модератору

84. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +/–

Сообщение от другой Аноним (?), 14-Авг-23, 19:11

> Попробуй /tmp монтировать с noexec, потом поделишься впечатлениями.
А чо такого?
% mount -v /tmp
tmpfs on /tmp (tmpfs, local, noexec, nosuid)
% stattime /etc/fstab
File:    /etc/fstab
Access:    20:34:55 15/11/2014
Birth:    18:47:56 14/11/2013
Modify:    15:23:23 03/06/2021
Change:    15:23:23 03/06/2021
% uptime
18:10:04  up 159 days 17:34

Ответить | Правка | Наверх | Cообщить модератору

86. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +/–

Сообщение от Аноним (67), 14-Авг-23, 19:16

Маловероятно, что это рабочая станция -- куча юзерского софта обломится. Да и смысла особого нет, если только нет цели огородить находчивого юзера.

Ответить | Правка | Наверх | Cообщить модератору

87. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +/–

Сообщение от другой Аноним (?), 14-Авг-23, 19:23

> Маловероятно, что это рабочая станция -- куча юзерского софта обломится.
Угу, это не рабочая станция, это ноут, с которого я пишу этот коммент. И да, "куч" обламывающегося не видел, проблемы обычно лишь у весьма специфичных смузи-поделок (сборка некоторых модулей для питона, ржавчины и прочее современное "sudo curl | sh")

Ответить | Правка | Наверх | Cообщить модератору

88. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +/–

Сообщение от Аноним (67), 14-Авг-23, 20:07

Вайнтрикс? DE?

Ответить | Правка | Наверх | Cообщить модератору

89. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +/–

Сообщение от Аноним (89), 14-Авг-23, 22:06

> Вайнтрикс?
Да вроде работал пару лет назад (не помню уже для чего использовал - вино у меня только для пары старых игрушек стоит).
> DE?
Нету. Еще лет 10 назад надоело регулярное "мы тут опять улучшили и перетасовали, привыкайте".
Есть набор программ - частью стянуто из кед (Okular, Dolphin), частью "когда-то наткнулся и с тех пор пользуюсь".
Под сборку и прочее есть отдельный /tmp-build

Ответить | Правка | Наверх | Cообщить модератору

91. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +/–

Сообщение от Аноним (93), 14-Авг-23, 22:23

> Попробуй /tmp монтировать с noexec
В Debian 10 многие tmpfs смонтированы с noexec и nosiud по-умолчанию.
Запускать что-то из /tmp крайне подозрительно.

Ответить | Правка | К родителю #82 | Наверх | Cообщить модератору

98. Скрыто модератором +/–

Сообщение от Аноним (-), 15-Авг-23, 06:41

В Слэквэр /tmp для сборки слакбилдов, не?

Ответить | Правка | Наверх | Cообщить модератору

94. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..." +/–

Сообщение от Аноним (93), 14-Авг-23, 22:41

Проблема "../" в том, что, как сказал релокант, нот всего семь. А играть приходиться и на свадьбах и на похоронах. Происходит смешение.

Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..."	+14 +/–
Сообщение от Аноним (1), 13-Авг-23, 09:50
> Уязвимость (CVE-2023-38633) в библиотеке librsvg Вот переписали бы на... Ой, это ведь была libsvg когда-то.
Ответить \| Правка \| Наверх \| Cообщить модератору


	2. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..."	+1 +/–
	Сообщение от Sergey (??), 13-Авг-23, 10:10
	В расте не может быть уязвимости !
	Ответить \| Правка \| Наверх \| Cообщить модератору


	78. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..."	–1 +/–
	Сообщение от Аноним (78), 14-Авг-23, 07:36
	Раст и есть уязвимость.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	3. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..."	+9 +/–
	Сообщение от Анонимусс (?), 13-Авг-23, 10:29
	Ну так именно поэтому тут проблема с путями, а не с переполнением буфера или overflow как в дыряшке в соседних уязвимостях.
	Ответить \| Правка \| К родителю #1 \| Наверх \| Cообщить модератору


	4. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..."	+/–
	Сообщение от Sergey (??), 13-Авг-23, 10:34
	А где по вашему больше виноват человек (кодер) где пути или где память ?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	5. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..."	+6 +/–
	Сообщение от Анонимусс (?), 13-Авг-23, 10:41
	И там и там виноват)) Но с памятью ошибки опаснее, пути не дадут выполнить произвольный код. Поэтому у этой уязвимости CVE-2023-38633 score 7.5, а у уязвимости в CVE-2023-3824 с памятью - 9.4 CRITICAL. Чувствуется разница? А вообще все эти уязвимости с выходом за пределы родного каталога - просто результат черехж0пно спроектированной оси. Просто дыряшке ты с легкостью сделаешь обе ошибки, а в растишке нужно постараться, чтобы накосячить с памятью.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	49. Скрыто модератором	+3 +/–
	Сообщение от Аноним (-), 13-Авг-23, 16:14
	Ну да, спертые ключи ssh - полностью безопасно. Совсем не даст выполнить произвольный код.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	99. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..."	+/–
	Сообщение от Аноним (99), 16-Авг-23, 03:01
	> А где по вашему больше виноват человек (кодер) где пути или где память ? Ну, это как установить мину, а потом сказать - виноват тот, кто наступил, не надо было наступать.
	Ответить \| Правка \| К родителю #4 \| Наверх \| Cообщить модератору


	33. Скрыто модератором	+2 +/–
	Сообщение от Аноним (78), 13-Авг-23, 14:20
	Типа проблемы с путями безопасТные?
	Ответить \| Правка \| К родителю #3 \| Наверх \| Cообщить модератору


	22. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..."	+2 +/–
	Сообщение от Шарп (ok), 13-Авг-23, 12:37
	Там логическая ошибка, а не типичный сишный обсёр с указателями.
	Ответить \| Правка \| К родителю #1 \| Наверх \| Cообщить модератору


	24. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..."	+/–
	Сообщение от Аноним (-), 13-Авг-23, 13:14
	Нет, это типичная логическая ошибка на Расте, каких в будущем будет много. И такой тип ошибок превратится в класс уязвимостей.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	35. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..."	+/–
	Сообщение от Аноним (78), 13-Авг-23, 14:22
	Они время жизни указателя отследить не могут не то что пути.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	97. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..."	+/–
	Сообщение от Аноним (97), 15-Авг-23, 03:51
	Это типичная ошибка на чем угодно, и это отдельный класс уязвимостей с тех пор, как вообще существуют относительные пути.
	Ответить \| Правка \| К родителю #24 \| Наверх \| Cообщить модератору


	55. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..."	+/–
	Сообщение от Anon3 (?), 13-Авг-23, 17:35
	Ну так и об указателях можно сказать, что это логическая ошибка работы с указателями. Я уже начинаю считать количество типичных обс_ров разработчиков на rust при работе с файлами, включая https://www.opennet.dev/opennews/art.shtml?num=59548 Есть гипотеза, что rust развращает, и разработчик ожидает, что работа с файлами будет такая же безопасная как с указателями. Вот что мешает разработать и встроить в rust безопасную работу с файлами с учетом их владения, передачи (включая по сети) и времени жизни? Rust начинали писать на OCaml, эту задачу может проще будет решить (для начала) на каком нибудь Coq, Agda, Idris
	Ответить \| Правка \| К родителю #22 \| Наверх \| Cообщить модератору


	61. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..."	+1 +/–
	Сообщение от ИмяХ (?), 13-Авг-23, 18:54
	Это не получится. Надо создать новый язык, заточеный на безопасную работу с файловыми путями. И рекламировать его везде, вставляя по три больших абзаца текста про безопасную работу с файловыми путями, избавляя программиста от типичных ошибок выхода за пределы рабочего каталога
	Ответить \| Правка \| Наверх \| Cообщить модератору


	68. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..."	+1 +/–
	Сообщение от Anon3 (?), 13-Авг-23, 20:38
	Ну, не то, чтобы не получится. Но, наверно, вы правы. Во первых семантика работы с обьектами файловой системы и указателями может не совпадать и будет код на rust похожый на кашу (сейчас, то rust - образец элегантности) Во вторых, не всем нужна работа с файлами (может же персистентность обеспечиваться СУБД, etc) А вот rust, и всю его инфраструктуру, видимо надо позиционировать как stateless, всю работу с IO обьявть unsafe. Итого: rust, не язык общего назначения, а вычислитель с перекладыванием байтов в оперативной памяти
	Ответить \| Правка \| Наверх \| Cообщить модератору


	30. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..."	+/–
	Сообщение от Аноним (30), 13-Авг-23, 14:12
	Вот именно, это лишний раз доказывает, что сознательные программисты/компании не зря (пусть не сразу) отказываются от сишки/плюсов. В них бы на одну эту "логическую" ошибку было бы в довесок еще две-три-четыре критических ошибки работы с памятью. Отрадно видеть, что в целом ЯП дает то, что обещает. Думать за программиста над задачей он не обещал. Это вам к чатгопоте будущих версий.
	Ответить \| Правка \| К родителю #1 \| Наверх \| Cообщить модератору


	36. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..."	+/–
	Сообщение от Аноним (78), 13-Авг-23, 14:22
	Компании в твоём сказочном мире?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	45. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..."	+/–
	Сообщение от Аноним (45), 13-Авг-23, 15:43
	А, ну да, точно. И поэтому гугловцы решили переписать сетевой стек фуксии с го на плюсы. Видишь ли в конторах где умеют проверять уровень тупости программистов существуют отборочные вопросы и там сразу понятно кто явился. Растишка если бы был панацеей уже применялся бы вообще везде.
	Ответить \| Правка \| К родителю #30 \| Наверх \| Cообщить модератору


	67. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..."	+1 +/–
	Сообщение от Аноним (67), 13-Авг-23, 20:27
	Пока что только отзывы от фанатов в духе "выбрать ржавчину было самой большой ошибкой моей жизни" и далее перечень объективных причин, почему это действительно оказалось плохой идеей. Но, в то же время, ржавчина всё ещё лучше сотен аналогичных моднявых язычков, и если таких неудачников не будет, она никогда не станет юзабельной. Поэтому, чем больше провалов, тем лучше.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	93. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..."	+/–
	Сообщение от Аноним (93), 14-Авг-23, 22:37
	Какой современный "социолог". Расплывчатый сомнительный опрос и твердый вывод "это действительно оказалось плохой идеей"
	Ответить \| Правка \| Наверх \| Cообщить модератору


	95. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..."	+/–
	Сообщение от Аноним (67), 14-Авг-23, 22:46
	На HN пару раз видел, там любят ржавчину.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	76. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..."	+1 +/–
	Сообщение от Аноним (76), 14-Авг-23, 06:09
	Она и была librsvg. Библиотека для РАСТЕРИЗАЦИИ svg.
	Ответить \| Правка \| К родителю #1 \| Наверх \| Cообщить модератору

6. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..."	–1 +/–
Сообщение от Аноним (-), 13-Авг-23, 10:45
1. phar_dir_read ошибка в файле dirstream.c немного ошиблись с вычислением размеров, бывает 2. логическая ошибка парсинга 3. GStreamer - в файле rmdemux.c забыли вычислять size для gst_buffer 4. xen-netback/netback.c - buffer overrun, какая неожиданность! 5. в жабаскрипте не силен, но тк там нет строгой типизации, то не удивительно 6. urllib.parse - забыли экранировать ввод? странная ошибка для такой древней либы 7. GNOME Files... проблема suid на пеньке появляется регулярно, возможно дело не в руках, а архитектуре 8. и логическая ошибка в librsvg, почти как в PHP что вдвойне обидно)
Ответить \| Правка \| Наверх \| Cообщить модератору


	9. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..."	+2 +/–
	Сообщение от Sergey (??), 13-Авг-23, 10:49
	Я про то что как бы оказалась что Раст будет способствовать понижению уровня программиста.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	11. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..."	+/–
	Сообщение от Аноним (11), 13-Авг-23, 10:54
	ты делаешь такой вывод из одной cve'шки ? было бы интересно глянуть, что там было до переписывания (но лень))) может логику транслировали 1-в-1 со всеми ошибками
	Ответить \| Правка \| Наверх \| Cообщить модератору


	73. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..."	+/–
	Сообщение от tty0 (?), 14-Авг-23, 00:43
	История помнит Delphi. Раст, конечно, не столь удобный и продуманный, но все возможно.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	13. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..."	–1 +/–
	Сообщение от Анонин (?), 13-Авг-23, 11:08
	Ахаха, а у сишных бракоделов, которые даже размер буфера вычислить не могут, сильно высокий уровень??
	Ответить \| Правка \| К родителю #9 \| Наверх \| Cообщить модератору


	19. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..."	+/–
	Сообщение от Ефрщ (?), 13-Авг-23, 12:08
	Откуда инфа что не могут?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	26. "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Fil..."	+/–
	Сообщение от Аноним (26), 13-Авг-23, 13:38
	Посмотри на число уязвимостей и сложи 2+2(про переполнение не забудь)
	Ответить \| Правка \| Наверх \| Cообщить модератору