Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"Уязвимость, позволяющая подставить escape-последовательности в чужие терминалы"	+/–
Сообщение от opennews (??), 28-Мрт-24, 15:11
В утилите wall, поставляемой в пакете util-linux и предназначенной для отправки сообщений в терминалы, выявлена уязвимость (CVE-2024-28085), позволяющая осуществить атаку на терминалы других пользователей через манипуляцию с escape-последовательностями.  Проблема вызвана тем, что утилита wall блокирует использование escape-последовательности во входном потоке, но не выполняет эту операцию для аргументов в командной строке, что позволяет атакующему... Подробнее: https://www.opennet.dev/opennews/art.shtml?num=60869
Ответить | Правка | Cообщить модератору

Сообщения

[Сортировка по времени | RSS]

2. "Уязвимость, позволяющая подставить escape-последовательности..."	–10 +/–
Сообщение от Аноним (2), 28-Мрт-24, 15:19
И эти в юникод не умеют, сколько можно то. Срочно добавить icu в зависимости.
Ответить | Правка | Наверх | Cообщить модератору

	8. "Уязвимость, позволяющая подставить escape-последовательности..."	+4 +/–
	Сообщение от Аноним (8), 28-Мрт-24, 15:51
	Речь про Esc-последовательности, а не кодировки.
	Ответить | Правка | Наверх | Cообщить модератору

	11. "Уязвимость, позволяющая подставить escape-последовательности..."	–5 +/–
	Сообщение от Аноним (2), 28-Мрт-24, 15:55
	Речь про локали, локали это кодировки. И проблема именно в широких символах, читай внимательнее.
	Ответить | Правка | Наверх | Cообщить модератору

	21. "Уязвимость, позволяющая подставить escape-последовательности..."	+/–
	Сообщение от Kenneth (?), 28-Мрт-24, 18:12
	What the hell are you talking about?
	Ответить | Правка | Наверх | Cообщить модератору

	22. "Уязвимость, позволяющая подставить escape-последовательности..."	+/–
	Сообщение от Аноним (2), 28-Мрт-24, 18:14
	Ну, ты вот читал, о чём новость написана? Очевидно, что нет.
	Ответить | Правка | Наверх | Cообщить модератору

	30. "Уязвимость, позволяющая подставить escape-последовательности..."	+2 +/–
	Сообщение от Аноним (-), 28-Мрт-24, 21:45
	> Речь про локали, локали это кодировки. И проблема именно в широких символах, читай внимательнее. Ога. У собак есть шерсть. В шерсти водятся блохи. Блохи это... :))). (C) анек про студня знавшего только 1 билет - про блох.
	Ответить | Правка | К родителю #11 | Наверх | Cообщить модератору

3. "Уязвимость, позволяющая подставить escape-последовательности..."	+6 +/–
Сообщение от Аноним (3), 28-Мрт-24, 15:27
> во многих дистрибутивах запускается обработчик /usr/lib/command-not-found написали бы прямым текстом - в убунте
Ответить | Правка | Наверх | Cообщить модератору

	39. Скрыто модератором	+/–
	Сообщение от Аноним (-), 29-Мрт-24, 06:11
	написали бы прямым текстом - в убунте небезопасно. исправил
	Ответить | Правка | Наверх | Cообщить модератору

	42. "Уязвимость, позволяющая подставить escape-последовательности..."	+/–
	Сообщение от Аноним (42), 29-Мрт-24, 09:01
	> command-not-found и еще несколько "мусорных" программ подлежит удалению сразу после инсталляции системы.
	Ответить | Правка | К родителю #3 | Наверх | Cообщить модератору

4. "Уязвимость, позволяющая подставить escape-последовательности..."	+/–
Сообщение от Аноним (-), 28-Мрт-24, 15:29
Почему в Ubuntu утилита wall установлена с флагом setgid и имеет доступ к чужим терминалам? И почему в Ubuntu нет SELinux? 🤔
Ответить | Правка | Наверх | Cообщить модератору

	5. Скрыто модератором	+/–
	Сообщение от Аноним (2), 28-Мрт-24, 15:38
	Потому что переходи на генту, если тебя не устраивают, когда тебя кормят с лопаты. А если ты ЦА убунты, то не ной.
	Ответить | Правка | Наверх | Cообщить модератору

	7. "Уязвимость, позволяющая подставить escape-последовательности..."	+2 +/–
	Сообщение от Аноним (8), 28-Мрт-24, 15:49
	Потому, что в Ubuntu - AppArmor.
	Ответить | Правка | К родителю #4 | Наверх | Cообщить модератору

	40. "Уязвимость, позволяющая подставить escape-последовательности..."	+/–
	Сообщение от Аноним (-), 29-Мрт-24, 08:37
	Который защищает только /usr/lib/colord, avahi-daemon, i2pd и nscd. https://www.opennet.dev/opennews/art.shtml?num=60860
	Ответить | Правка | Наверх | Cообщить модератору

	23. "Уязвимость, позволяющая подставить escape-последовательности..."	+/–
	Сообщение от Аноним (23), 28-Мрт-24, 18:31
	Придумай wall без доступа к чужим терминалам, раз такой умный.
	Ответить | Правка | К родителю #4 | Наверх | Cообщить модератору

	27. "Уязвимость, позволяющая подставить escape-последовательности..."	+/–
	Сообщение от Аноним (-), 28-Мрт-24, 20:44
	Резонно. А как это сделали в Fedora/RHEL?
	Ответить | Правка | Наверх | Cообщить модератору

12. "Уязвимость, позволяющая подставить escape-последовательности..."	+1 +/–
Сообщение от Аноним (-), 28-Мрт-24, 16:12
Это же просто wall-смайлик из древнего квипа) А вообще ошибка логическая - вызвали не ту функцию, такое с каждым может случиться. Жаль конечно, что тысячи-глаз ее не заметили с 2013 года. Ну, или решили умолчать)
Ответить | Правка | Наверх | Cообщить модератору

15. "Уязвимость, позволяющая подставить escape-последовательности..."	+/–
Сообщение от Аноним (15), 28-Мрт-24, 16:49
А какого хрена чужие процессы вообще видны? По-хорошему у каждого пользователя и у каждого процесса должны быть списки, кому они видны. А привелегированным пользователям с соотв. capability должно быть всё видно.
Ответить | Правка | Наверх | Cообщить модератору

	20. "Уязвимость, позволяющая подставить escape-последовательности..."	+/–
	Сообщение от Хру (?), 28-Мрт-24, 17:44
	В ведроиде начиная с 8 версии /proc закрыт на чтение правилами selinux. Но правильнее использовать для каждого юзера свой pid namespace. И не надо ныть про namespaces - systemd их и так во все поля пользует)
	Ответить | Правка | Наверх | Cообщить модератору

17. "Уязвимость, позволяющая подставить escape-последовательности..."	+/–
Сообщение от NV (??), 28-Мрт-24, 17:02
Не по этому ли 20.04 ? А , так пришлось метофицировать drm видео драйвера на канале у griggorii
Ответить | Правка | Наверх | Cообщить модератору

18. Скрыто модератором	+/–
Сообщение от Аноним (-), 28-Мрт-24, 17:37
Зачем этот валл ваще? Выкинуть из всех дистров.
Ответить | Правка | Наверх | Cообщить модератору

24. "Уязвимость, позволяющая подставить escape-последовательности..."	–1 +/–
Сообщение от Аноним (23), 28-Мрт-24, 18:37
Хорошую мину с обработкой эскейп-последовательностей диды подложили. OpenBSD только в прошлом году перестала от неправильного вывода в терминал целиком падать. А эмуляторы терминалов до сих пор не все пофикшены. Так что аккуратнее, пацаны, с cat /var/log/blah-blah, иной раз может и калькулятор запуститься, если вы понимаете о чём я.
Ответить | Правка | Наверх | Cообщить модератору

	25. "Уязвимость, позволяющая подставить escape-последовательности..."	+1 +/–
	Сообщение от Аноним (25), 28-Мрт-24, 20:01
	Регулярно пользую FreeBSD watch. Хорошо работает, проблем не замечено.
	Ответить | Правка | Наверх | Cообщить модератору

	28. "Уязвимость, позволяющая подставить escape-последовательности..."	+1 +/–
	Сообщение от Аноним (28), 28-Мрт-24, 21:23
	Не ошибается только тот, кто ни чего не делает. Вся современная ИТ инфраструктура сделана дидами, не без ошибок, естественно. А после тебя что останется? Куча невнятных комментариев на опеннете.
	Ответить | Правка | К родителю #24 | Наверх | Cообщить модератору

	46. "Уязвимость, позволяющая подставить escape-последовательности..."	+/–
	Сообщение от Аноним (46), 29-Мрт-24, 13:59
	> Вся современная ИТ инфраструктура сделана дидами …на коленке. За что до сих пор расплачиваемся.
	Ответить | Правка | Наверх | Cообщить модератору

	48. "Уязвимость, позволяющая подставить escape-последовательности..."	+/–
	Сообщение от Аноним (28), 30-Мрт-24, 12:28
	>на коленке Ты прав. Начинали с нуля. VS Code со встроенным Copilot еще не было.
	Ответить | Правка | Наверх | Cообщить модератору

26. "Уязвимость, позволяющая подставить escape-последовательности..."	+/–
Сообщение от Аноним (26), 28-Мрт-24, 20:20
Ставлю из util-linux только нужное уже миллион лет. Wall вообще не нужен.
Ответить | Правка | Наверх | Cообщить модератору

33. "Уязвимость, позволяющая подставить escape-последовательности в чужие терминалы"	+/–
Сообщение от Аноним (33), 28-Мрт-24, 22:49
> В утилите wall, поставляемой в пакете util-linux и предназначенной для отправки сообщений Это все происки Извечного Врага! https://github.com/util-linux/util-linux/blob/master/term-ut... > * Copyright (c) 1988, 1990, 1993 > *    The Regents of the University of California.  All rights reserved.
Ответить | Правка | Наверх | Cообщить модератору

34. "Уязвимость, позволяющая подставить escape-последовательности..."	+/–
Сообщение от Аноним (34), 29-Мрт-24, 00:12
Нафига вообще посылать какие-то сообщения в чужие терминалы, вы в 20 веке живёте?
Ответить | Правка | Наверх | Cообщить модератору

	35. "Уязвимость, позволяющая подставить escape-последовательности..."	+/–
	Сообщение от Аноним (35), 29-Мрт-24, 00:57
	> Нафига вообще посылать какие-то сообщения в чужие терминалы, вы в 20 веке > живёте? поттеринг сделал вам божественный dbus с xml-ем, пользуйтесь, луддиты, вертикальными нанотехнологиями! так нет же, терминал, пердолинг, лошади, кареты, вот это вот всё. Я даже не понимаю про какой терминал речь, куда деньги суют, или в аэропорту.
	Ответить | Правка | Наверх | Cообщить модератору

	37. "Уязвимость, позволяющая подставить escape-последовательности..."	+/–
	Сообщение от Аноним (-), 29-Мрт-24, 06:09
	>Нафига вообще посылать какие-то сообщения в чужие терминалы, вы в 20 веке живёте? Терминал это бесмертная и божественная технология.
	Ответить | Правка | К родителю #34 | Наверх | Cообщить модератору

	43. "Уязвимость, позволяющая подставить escape-последовательности..."	+/–
	Сообщение от Sw00p aka Jerom (?), 29-Мрт-24, 09:13
	век персональных компьютеров, а ОС почему-то многопользовательская :) эт типа пользователь номер адин это я, а пользователь номер Н - товарищь майор?
	Ответить | Правка | Наверх | Cообщить модератору

	45. "Уязвимость, позволяющая подставить escape-последовательности..."	+1 +/–
	Сообщение от Аноним (33), 29-Мрт-24, 11:29
	> эт типа пользователь номер адин это я, а пользователь номер Н - товарищь майор? В современных девайсах номер один это товарищ/герр/сэр/達瓦里希 майор, потом идет кто-то от гугла, эппла и прочих, за ними - условный Ляо. А ты так, на птичьих правах ;)
	Ответить | Правка | Наверх | Cообщить модератору

41. "Уязвимость, позволяющая подставить escape-последовательности..."	+/–
Сообщение от Ivan_83 (ok), 29-Мрт-24, 08:59
>  обработчика "command-not-found" Осталось только автозапуск через autorun.inf сделать, чтобы совсем удобно было.
Ответить | Правка | Наверх | Cообщить модератору

	44. "Уязвимость, позволяющая подставить escape-последовательности..."	+/–
	Сообщение от Sw00p aka Jerom (?), 29-Мрт-24, 09:16
	копилот прикручивай скорее, как так в век ИИ может что-нибудь быть не найденным :)
	Ответить | Правка | Наверх | Cообщить модератору

47. "Уязвимость, позволяющая подставить escape-последовательности..."	+/–
Сообщение от user90 (?), 29-Мрт-24, 19:10
Так это в убунте, но нам-то зачем? ;)
Ответить | Правка | Наверх | Cообщить модератору

49. "Уязвимость, позволяющая подставить escape-последовательности..."	+/–
Сообщение от scriptkiddis (?), 30-Мрт-24, 20:37
забыли применить чистку escape-последовательностей Аха... забыли.
Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема