Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"Уязвимость в пакетном менеджере APT, позволяющая совершить MITM-атаку для получения прав root"	+/–
Сообщение от opennews (?), 06-Ноя-26, 17:01
Опубликованы корректирующие выпуски инструментария для управления пакетами  APT, в которых устранена уязвимость (CVE-2026-109518), дающая возможность обойти проверку при  загрузке файлов и добиться выполнения своего кода с правами root. Всего сформировано 13 выпусков, охватывающих все сформированные за последние 10 лет ветки APT, начиная с 1.2.x. Обновления пакетов с устранением уязвимости также уже сформированы для различных версий Debian и Ubuntu. В конфигурации по умолчанию проблема затрагивает все выпуски начиная с  Debian 12 и Ubuntu 22.04. Эксплуатация более старых версий возможна в случае выставления в параметр Acquire::Retries значения больше 0... Подробнее: https://www.opennet.dev/opennews/art.shtml?num=66632
Ответить | Правка | Cообщить модератору

Сообщения

[Сортировка по времени | RSS]

1. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+8 +/–
Сообщение от танки онлайн (?), 06-Ноя-26, 17:01
То есть можно просто переключиться на https для доверенного зеркала?
Ответить | Правка | Наверх | Cообщить модератору

	5. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
	Сообщение от LaunchWiskey (ok), 06-Ноя-26, 17:10
	А оно по-умолчанию по HTTP ходит? Писал близкий друг автора ключа-звёздочки из соседней новости?
	Ответить | Правка | Наверх | Cообщить модератору

	31. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	–5 +/–
	Сообщение от Аноним (31), 06-Ноя-26, 19:14
	Да. Дебиляновцы из коробки до сих пор plain http используют.
	Ответить | Правка | Наверх | Cообщить модератору

	57. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+2 +/–
	Сообщение от Аноним (57), 06-Ноя-26, 21:40
	там на установке выбор есть, индивиды всегда найдутся
	Ответить | Правка | Наверх | Cообщить модератору

	103. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	–1 +/–
	Сообщение от Аноним (-), 07-Ноя-26, 03:39
	> Да. Дебиляновцы из коробки до сих пор plain http используют. Для любителей HTTPS есть https://www.opennet.me/opennews/art.shtml?num=66515 - и прочие BGP атаки где господа на ура - выписали себе серты доменов которыми не владели.
	Ответить | Правка | К родителю #31 | Наверх | Cообщить модератору

	115. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	–3 +/–
	Сообщение от нах. (?), 07-Ноя-26, 10:06
	там не нужны никакие атаки на https. Достаточно быть владельцем (или поломать, или предъявить красную книжечку владельцу) какого-нибудь mirror.yandex.ru - и точно так же этот дерьмокод посчитает сумму от реального пакета,а распакует тебе троянский. И это гораздо более реальный сценарий чем ВРАГИИИИИ перехватывающие твой http-траффик. (так и вижу, стоит сомкнуть глаза, как они лезут с кусачками к кабелю) то что эти дятлы даже не подумали о таком сценарии - в очередной раз говорит о качестве де6иллиана
	Ответить | Правка | Наверх | Cообщить модератору

	45. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+3 +/–
	Сообщение от Аноним (45), 06-Ноя-26, 20:12
	Да, пакеты же подписаны блалбаллабал А в чём проблема завернуть в https я не понимаю. Тот же ютуб трафик постоянно через него гоняет, которого в разы больше чем тех пакетиков. Тем более мажорные обновы раз в два года. Может дебиан используют на таких ведрах, что они не смогут в еще один слой aes.
	Ответить | Правка | К родителю #5 | Наверх | Cообщить модератору

	46. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+1 +/–
	Сообщение от Энтомолог_русолог (ok), 06-Ноя-26, 20:15
	> А в чём проблема завернуть в https я не понимаю Ни в чем проблемы нет И большинство зеркал имеют https, так что можно прописать https в адресе и всех проблем
	Ответить | Правка | Наверх | Cообщить модератору

	49. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+1 +/–
	Сообщение от Аноним (49), 06-Ноя-26, 20:21
	Я всегда и прописывал. Я не понимаю, почему это не дефолт.
	Ответить | Правка | Наверх | Cообщить модератору

	88. Скрыто модератором	+/–
	Сообщение от Аноним (88), 07-Ноя-26, 00:43
	> Я всегда и прописывал. Я не понимаю, почему это не дефолт. Ответ на это примерно в той же стороне, почему и опеннет долгое время был http дефолтом и т.п. л̶е̶г̶а̶с̶и̶ ̶н̶е̶о̶с̶и̶л̶я̶т̶о̶р̶с̶т̶в̶а̶ консерватизма.
	Ответить | Правка | Наверх | Cообщить модератору

	142. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
	Сообщение от Аноним (142), 07-Ноя-26, 17:24
	Для тестовый инфры закрытой https гемор. У некоторых есть опасения по поводу перевыпуска серта, типо шаблон машины 2+ года и из коробки будет со старым сертом. Короче не хотят нормально инфру готовить и всем лень.
	Ответить | Правка | К родителю #49 | Наверх | Cообщить модератору

	151. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	–1 +/–
	Сообщение от Энтомолог_русолог (ok), 07-Ноя-26, 22:43
	Сертификаты выпускаются автоматом, для этого есть целый протокол ACME и десятки клиентов к нему. Не нравятся LE или закрытая инфра? Поднимаешь свой CA с протоколом ACME. Ну да в закрытой инфре и не нужно, у тебя должен быть хост, который качает пакеты снаружи и как-то передает внутрь, этот хост спокойно по https может все тащить и выступать внутренней репой для твоей инфры Ну, то есть тоже нет никаких проблем, даже надуманных
	Ответить | Правка | Наверх | Cообщить модератору

	87. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	–2 +/–
	Сообщение от selivan (ok), 07-Ноя-26, 00:42
	https://www.opennet.dev/opennews/art.shtml?num=66632#86
	Ответить | Правка | К родителю #45 | Наверх | Cообщить модератору

	86. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+2 +/–
	Сообщение от selivan (ok), 07-Ноя-26, 00:41
	Он совершенно правильно умеет ходить по http, потому что это позволяет: - кешировать пакеты для кучи серверов, скачивая их один раз - спокойно через apt-cacher, apt-mirror и похожие софтины обновлять сервера, по соображениям безопасности не имеющие доступа в интернет При нормально реализованной проверке подписей https в общем-то нафиг не нужен.
	Ответить | Правка | К родителю #5 | Наверх | Cообщить модератору

	105. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+1 +/–
	Сообщение от Инопланетянин (?), 07-Ноя-26, 04:14
	> При нормально реализованной проверке подписей https в общем-то нафиг не нужен. Ну вот судя из новости получается нет.
	Ответить | Правка | Наверх | Cообщить модератору

	139. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+2 +/–
	Сообщение от дохтурЛол (?), 07-Ноя-26, 17:01
	Нет, не получается. Из новости получается, что после скачивания проверки подписи нет.
	Ответить | Правка | Наверх | Cообщить модератору

	152. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	–1 +/–
	Сообщение от Инопланетянин (?), 07-Ноя-26, 23:32
	> Нет, не получается. Из новости получается, что после скачивания проверки подписи нет. Это не так работает. Если дверь закрыта на 2 замка, то ломать надо оба, чтобы войти. Был бы httpS, митм бы не сделали.
	Ответить | Правка | Наверх | Cообщить модератору

	123. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
	Сообщение от Анонисимус (?), 07-Ноя-26, 11:39
	Про проделки РКН не надо забывать. У меня с F-Droid без VPN качаются все пакеты, кроме Tor. Умет, анализируют и режут загрузочный трафик. Сейчас правда загрузка еще и медленной стала
	Ответить | Правка | К родителю #86 | Наверх | Cообщить модератору

	125. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
	Сообщение от selivan (ok), 07-Ноя-26, 11:42
	РКН, если не может заблокировать что-то точечно, просто блокирует всё. AWS Cloudfront, Cloudflare, и так далее. От РКН https никак не поможет.
	Ответить | Правка | Наверх | Cообщить модератору

	8. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
	Сообщение от Аноним (-), 06-Ноя-26, 17:31
	ну вроде как канал прикрывает, но если в репу подсунут - не спасёт. вроде везде уже поправили
	Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

	17. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+1 +/–
	Сообщение от Аноним (17), 06-Ноя-26, 18:33
	Это же lpe, какой https?) Подмена частично скачанного файла непосредственно на машине
	Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

	141. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
	Сообщение от дохтурЛол (?), 07-Ноя-26, 17:02
	а как можно было додуматься не делать проверку в финале, после скачивания?
	Ответить | Правка | Наверх | Cообщить модератору

	146. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
	Сообщение от Аноним (-), 07-Ноя-26, 21:16
	а как УБ работает?
	Ответить | Правка | Наверх | Cообщить модератору

	26. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	–6 +/–
	Сообщение от Аноним (26), 06-Ноя-26, 19:06
	Апт не умеет https и скорее всего никогда не научится, целостность и доверие проверяется уровнем выше.
	Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

	33. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+1 +/–
	Сообщение от Аноним (31), 06-Ноя-26, 19:17
	Откуда такая инфа? И apt и зеркала прекрасно умеютв https. https://askubuntu.com/a/146117 Просто по какой-то неведомой причине из коробки до сих пор используется http.
	Ответить | Правка | Наверх | Cообщить модератору

	35. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
	Сообщение от Аноним (35), 06-Ноя-26, 19:23
	> Апт не умеет https и скорее всего никогда не научится, целостность > и доверие проверяется уровнем выше. Надо рассказать все это apt-transport-https и apt-transport-tor всяким...
	Ответить | Правка | К родителю #26 | Наверх | Cообщить модератору

	44. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+2 +/–
	Сообщение от Аноним (44), 06-Ноя-26, 20:02
	apt-transport-https давно не нужен (это dummy пакет). Поддержка HTTPS из коробки.
	Ответить | Правка | Наверх | Cообщить модератору

	147. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
	Сообщение от Аноним (-), 07-Ноя-26, 21:18
	а вот нет. я хз за такие случаи, но при установке всегда есть выбор
	Ответить | Правка | Наверх | Cообщить модератору

3. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	–4 +/–
Сообщение от Аноним (3), 06-Ноя-26, 17:06
Борьба с ветряными мельницами которая никогда не закончится.
Ответить | Правка | Наверх | Cообщить модератору

	60. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	–3 +/–
	Сообщение от нах. (?), 06-Ноя-26, 22:10
	нет, там реально чудовищный дерьмокод. И исправление еще хуже (потому что нимаги трогать то что натяпляпали до тебя, это может обидеть небинарных). такому коду доверять работать не со 100% trusted external data действительно нельзя, переделывайте все на https и молитесь чтобы зеркало с которого качаете не подломили, а то точно так же могут напихать, и это разумеется дятлы не сообразили. все что вы совершенно не хотели знать про деpьмиян но зачем-то спросили.
	Ответить | Правка | Наверх | Cообщить модератору

	67. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+1 +/–
	Сообщение от Инопланетянин (?), 06-Ноя-26, 23:05
	> нет, там реально чудовищный дерьмокод. Что имеено?
	Ответить | Правка | Наверх | Cообщить модератору

	81. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	–3 +/–
	Сообщение от нах. (?), 06-Ноя-26, 23:45
	открой патч да и посмотри. А, у тебя лапки. И ты ж не умеешь кодить. причем и исправление кривое, и метод заслуживает шпицрутенов, и надо было не исправлять полумерами а выбросить код того васяна который его притащил ради каких-то совершенно бредовых use cases (но это низзя, он может абидетцо) P.S. зато васян использовал греп на безопастном йезычке, не этот ваш дидовский! И очень походу этим горд.
	Ответить | Правка | Наверх | Cообщить модератору

	95. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+2 +/–
	Сообщение от Инопланетянин (?), 07-Ноя-26, 01:16
	> открой патч да и посмотри. А, у тебя лапки. И ты ж > не умеешь кодить. Ну вот я тебя и спрашиваю, что конкретно тебе не нравится. С сылкой на гит.
	Ответить | Правка | Наверх | Cообщить модератору

	97. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	–2 +/–
	Сообщение от нах. (?), 07-Ноя-26, 01:28
	ссылка прямо в новости. Ты ее, очевидно, даже не открывал. Если ты не можешь понять два десятка строчек на по сути plain c (там "си с классами", что кстати само по себе показательно) и у тебя не появляется очевидных вопросов к остальным строчкам вида "да какого $%%!;!" и "да что они - совсем ... ели?" - с тобой просто не о чем разговаривать.
	Ответить | Правка | Наверх | Cообщить модератору

	98. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+4 +/–
	Сообщение от Инопланетянин (?), 07-Ноя-26, 01:47
	> ссылка прямо в новости. Ты ее, очевидно, даже не открывал. > Если ты не можешь понять два десятка строчек на по сути plain c (там "си с классами", что кстати само по себе показательно) Ну и дальше что? Пришли конкретно ссылку на строку, к которой у тебя вопросы.
	Ответить | Правка | Наверх | Cообщить модератору

	107. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
	Сообщение от Аноним (107), 07-Ноя-26, 07:17
	> Пришли Ну так присаживайся, что стоишь > и дальше что? А дальше мультики
	Ответить | Правка | Наверх | Cообщить модератору

	143. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
	Сообщение от Аноним (143), 07-Ноя-26, 18:24
	Вы просмотрели сценку - уж на сковородке...
	Ответить | Правка | К родителю #97 | Наверх | Cообщить модератору

	106. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+3 +/–
	Сообщение от Ананимер (?), 07-Ноя-26, 04:47
	Зеркало это изначально недоверенная вещь, Надо исправлять косяки в проверке подписи а не подсовывать костыли бездумного безопасничания.
	Ответить | Правка | К родителю #60 | Наверх | Cообщить модератору

	149. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
	Сообщение от Аноним (-), 07-Ноя-26, 21:31
	а централизованный майками - норм, да?
	Ответить | Правка | Наверх | Cообщить модератору

4. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
Сообщение от Аноним (4), 06-Ноя-26, 17:07
> добиться установки подменённого неверифицированого варианта пакета Дальше можно и не галлюцинировать про какие-то FileFd раз в систему устанавливается чужой бинарник.
Ответить | Правка | Наверх | Cообщить модератору

	9. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
	Сообщение от Аноним (9), 06-Ноя-26, 17:32
	Это похоже на отравление кеша, которое имеет место из-за возможности писать в соседний файл, которая появляется из-за флага
	Ответить | Правка | Наверх | Cообщить модератору

	150. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
	Сообщение от Аноним (-), 07-Ноя-26, 21:31
	это просто уб из-за ошибок в коде
	Ответить | Правка | Наверх | Cообщить модератору

11. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+4 +/–
Сообщение от Аноним (11), 06-Ноя-26, 17:56
Я сходил посмотреть на изменения и они выглядят какой-то нейрослоп, если честно... Какие-то переоткрытия файла, проверки бессмысленные. В итоге всё сводится к тому, что когда докачали, тогда и считаем контрольную сумму файла, но так и было изначально, только какие-то бессмысленные проверки добавили. Единсвенное наверное хорошо, что файл теперь в эксклюзивном режиме открывают, но это больше защита от того что кто-то локально пошалит,  файл поломав, но проверка валидности то всё равно в итоге не прошла бы даже так Может кто-то сможет лучше объяснить что там в изменениях, мне копаться в полных исходниках желания не было, только вверх и вниз пару экранов дооткрыл
Ответить | Правка | Наверх | Cообщить модератору

	56. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	–2 +/–
	Сообщение от нах. (?), 06-Ноя-26, 21:28
	да, чушь какая-то полная. Похоже прозапрошлогодней моделью нагенерено и то китайской. Какие-то линки. Откуда блин возьмутся ВРАЖЕСКИЕ линки - в /var/cache/apt?! Причем бы тут вообще - http? > но это больше защита от того что кто-то локально пошалит,  файл поломав локально этот файл и так только юзеру от которого работает apt доступен. > Может кто-то сможет лучше объяснить что там в изменениях ты не на тот сайт зашел, увы. Тут все больше пользователи гимпа и борцы за шв@60дку, а тут код какой-то, сложна-сложна. Вон хамства в ответ тебе вывалили, забывшие попить таблеточек - мама не горюй  (и где ж это наши бдительные когда их не звали модеруны прохлаждаются? А, ну да, ну да, их же огорчает слово ж..й а не хамство, на самом-то деле.) А адекватного анализа хотя бы с помощью ИИ - не дождемся, не надейся. могу тебе конечно опуса спросить. Мне самому - лень.
	Ответить | Правка | Наверх | Cообщить модератору

	58. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+2 +/–
	Сообщение от нах. (?), 06-Ноя-26, 21:41
	а, ладно, удалось уговорить опус ответить а не сливаться что небезопастно - аж самому интересно что ж там будет. Уже минут пять о чем-то непойми чем думает. Во, родил (и нет, по его мнению это кожановослоп без единого благословенного прикосновения АИ):   1. APT links files internally. When several queue items end up pointing at the      same URI (a redirect can cause this), pkgAcquire::Worker::PrepareFiles      (apt-pkg/acquire-worker.cc:1061) hard-links the downloaded file to each      item's own file in partial/. If that fails it uses a symlink. It does this      on success (201) and on failure (400). Separately, SyncDestinationFiles in      acquire.cc creates symlinks between items' partial files. ну п-ц уже собственно виден, не так ли? И вишенкой на тортике то что должен был сделать этот тяпляпер но не сделал:   Criticisms worth making   - It treats the symptom, not the cause. PrepareFiles still shares inodes     between items, and moving a file to its final place still keeps the shared     inode. A future writer that forgets Exclusive reopens the hole. Giving each     item its own copy, or refusing files with st_nlink > 1 before rename/verify,     would be more robust.   - Call sites were found with rg '::[A-Za-z]*Write' methods, according to the     commit message. That only covers methods/, not apt-pkg.   - The test doesn't reproduce the real attack chain. It plants a hardlink or     symlink by hand, without going through redirect, transient error and retry.     The rred and store changes have no tests.   - Minor points:     - RemoveFile plus O_EXCL is two steps rather than one, but partial/ isn't       writable by an attacker, so that doesn't matter here.     - Resume now copies the whole partial file, which costs some I/O on big .deb       files. отправил его посмотреть какая блестящая голова придумала идиотию с линками того что линковать нахрен не надо. Но что делать с полученным знанием, увы, неясно. pr от нас дебиан не примет, там гордый чсвносец его тут же закроет.
	Ответить | Правка | Наверх | Cообщить модератору

	59. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+1 +/–
	Сообщение от нах. (?), 06-Ноя-26, 21:51
	❯ what we will really lost if dropping completely idiotic idea of linking   something in  pkgAcquire::Worker ? ● Almost nothing. The linking only does anything when the same URI is queued   twice with different DestFiles, which is rare, and the only saving is one   duplicate download.   Why it exists   It came in with 08ea78064 (David Kalnischkies, 2015-06-15, "deal better with   acquiring the same URI multiple times"). The motivating case in that commit   message is apt-get changelog a b c where a, b and c are built from one source.   All three want the same changelog URI, but each item has its own DestFile. Короче, какой-то больной ушлепок пооптимизил случай в реальности не бывающий вовсе. Наверное свой хеловрот кривой. Когда ты зачем-то просишь apt changelog три раза одного и того же одной командой. Мы ведь каждый день именно это и делаем! Причем там нахреноверчено ради этого в десять раз больше.
	Ответить | Правка | К родителю #11 | Наверх | Cообщить модератору

	65. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+1 +/–
	Сообщение от Аноним (11), 06-Ноя-26, 22:42
	>The motivating case in that commit message is apt-get changelog a b c where a, b and c are built from one source. All three want the same changelog URI, but each item has its own DestFile Действительно, создали проблему на пустом месте. Ещё и реализовали внутреннюю логику средствами файловой системы
	Ответить | Правка | Наверх | Cообщить модератору

	140. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
	Сообщение от mikhailnov (ok), 07-Ноя-26, 17:01
	> Когда ты зачем-то просишь apt changelog три раза одного и того же одной командой. Мы ведь каждый день именно это и делаем! Видимо, когда из исходного пакета xxx собраны подпакеты xxx-y, xxx-z, xxx-w, и ты для каждого изз них запросил changelog, а по факту это один и тот же changelog.
	Ответить | Правка | К родителю #59 | Наверх | Cообщить модератору

	153. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
	Сообщение от нах. (?), 08-Ноя-26, 01:02
	именно так. Мы ж каждый день именно так и делаем. т.е. пооптимизировали совершенно бредовую ситуацию, сэкономив пару секунд.
	Ответить | Правка | Наверх | Cообщить модератору

	70. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	–5 +/–
	Сообщение от Инопланетянин (?), 06-Ноя-26, 23:13
	> и они выглядят какой-то нейрослоп, если честно... > Какие-то переоткрытия файла, проверки бессмысленные. В итоге всё сводится к тому, что когда докачали, тогда и считаем контрольную сумму файла, но так и было изначально, только какие-то бессмысленные проверки добавили. Вот это аналитика. Нейпрослоперы не могут разобраться в пачте и называют всех вокруг нейрослоперами. Мда...
	Ответить | Правка | К родителю #11 | Наверх | Cообщить модератору

12. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
Сообщение от Bottle (?), 06-Ноя-26, 18:21
По мнению апологетов Линукса свобода это зависимость от централизованных репозиториев.
Ответить | Правка | Наверх | Cообщить модератору

	19. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+2 +/–
	Сообщение от Аноним (19), 06-Ноя-26, 18:41
	Ты вот язвишь, но местные линуксоиды ведь на полном серьезе воюют против всяких NPM и Cargo, кушая при этом пакеты из репозиториев. Это то ли слабоумие, то ли лицемерие - то ли оба сразу.
	Ответить | Правка | Наверх | Cообщить модератору

	27. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+4 +/–
	Сообщение от Аноним (27), 06-Ноя-26, 19:09
	Так там есть принципиальная разница - репозитории пакетов curated, а в NPM и Cargo любой может безо всяких проверок залить малварь. Есть правда, нюанс, не все пакетный репозитории curated - например AUR такая же помойка, если не хуже. И есть такие репозитории которые curated, но это им не помогает, к ним относится тот же debian. У них очень поганая устаревшая и бюрократизированная инфра. Когда у нормальные репозитории представляют собой коллекцию рецептов сборки, где рецепт - это один файл описывающий весь процесс от получения исходников (с чексуммами) до сборки и установки, в debsrc пакет - это целиком исходники апстрима (в которые можно любых закладок напихать) и описание сборки в виде десятка файлов с чейнджлогами и прочим г-ном. В нормальных репозиториях любое изменение это несколько строк, и его отлично видно в истории. В дебиане это замена блоба на блоб, за которым ничего не видно.
	Ответить | Правка | Наверх | Cообщить модератору

	34. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
	Сообщение от Аноним (143), 06-Ноя-26, 19:19
	Ну если бекдор делает много уважаемый Jia Tan, то это другое дело, такой XZ Utils можно и из репозитория скачать!
	Ответить | Правка | Наверх | Cообщить модератору

	52. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+2 +/–
	Сообщение от Аноним (52), 06-Ноя-26, 20:28
	Пока что, истории успешного захвата руководства проектами личностями типа Jia Tan исчисляются одним самим Жиа Таном.
	Ответить | Правка | Наверх | Cообщить модератору

	78. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+3 +/–
	Сообщение от нах. (?), 06-Ноя-26, 23:33
	наоборот, неуспешного. Попался только Жуан Тян. Остальные успешно руководят. вот, например, цепочка мутных комитов в apt, каждый из которых был феерично ненужным, но сам по себе безобидным... или откровенно троянский конь закомитивший в musl под видом "cleanup" неожиданное поведение в совершенно неочевидном месте в четыре часа утра.
	Ответить | Правка | Наверх | Cообщить модератору

	99. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+1 +/–
	Сообщение от Аноним (19), 07-Ноя-26, 02:33
	> наоборот, неуспешного. Попался только Жуан Тян. Остальные успешно руководят. И это ни капли не шутка. Были же прецеденты, когда альтернативно одаренные из Debian и Ubuntu накатывали свои дырявые патчи поверх апстирима - вот где настоящее веселье: * Применение в Ubuntu своих патчей к OverlayFS привело к появлению уязвимостей https://www.opennet.dev/opennews/art.shtml?num=59502 * Компрометация SSL сертификатов из-за уязвимости, обнаруженной в пакете Debian OpenSSL https://www.opennet.dev/opennews/art.shtml?num=16523
	Ответить | Правка | Наверх | Cообщить модератору

	101. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	–1 +/–
	Сообщение от нах. (?), 07-Ноя-26, 03:04
	> И это ни капли не шутка. Были же прецеденты, когда альтернативно одаренные из Debian и > Ubuntu накатывали свои дырявые патчи поверх апстирима внезапно, нет. случай на который ты ссылаешься - это _апстрим_ наг08някал стопиццотую версию одного и того же и сломал убунтин код в котором до этого уязвимости не было. Единственная претензия которая тут может быть к убунтоводам - что ну смотреть же надо в изменения а не компиляецо-впрод. Раз у тебя мильен патчей и ты собрался обновлять ядро - напиши себе скрипт который будет громко орать что изменилось что-то вокруг модифицированного тобой кода, даже если патчи идеально приляпались. Но погоня за shtable-nonsense да еще рабов с цепью - дело такое... может даже и был скрипт, но спринтнеждет, релиз должен быть выкачен строго по графику хоть трава не расти (с 2026-98432 похоже именно это - есть график согласно которому сперва надо исправить стопиццот никому ненужных улучшизмов ASoC: meson: aiu: fifo-spdif: soft reset the S/PDIF datapath on start/stop или вот USB: gadget: snps-udc: fix device name leak on probe failure - что это, нахрен оно кому ненужно, зачем вообще на это время тратить посреди жизненного цикла релиза когда есть приоритетнейшая задача?) с дебианом тоже вполне очевидная и понятная глупость - там код как минимум был плохой (да что в openssl-то хороший код?) и такие вещи НАДО комментировать. (и использовать .pragma затыкающие ложное предупреждение, но авторы никогда с Wall и не собирали, похоже)
	Ответить | Правка | Наверх | Cообщить модератору

	112. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+1 +/–
	Сообщение от Аноним (112), 07-Ноя-26, 07:44
	>> И это ни капли не шутка. Были же прецеденты, когда альтернативно одаренные из Debian и  Ubuntu накатывали свои дырявые патчи поверх апстирима > внезапно, нет. случай на который ты ссылаешься который именно))? Думаю речь про CVE-2008-0166 (opennet.me/opennews/art.shtml?num=16523) когда мейнтейнер дебиллиана полез своими корявками исправлять предупреждения компилятора. И сломал SSL сертификаты. > с дебианом тоже вполне очевидная и понятная глупость - там код как минимум был плохой (да что в openssl-то хороший код?) и такие вещи НАДО комментировать. (и использовать .pragma затыкающие ложное предупреждение, но авторы никогда с Wall и не собирали, похоже) Нет не надо. Мейнтенер это просто левый васян которого как обизянку посадили собирать код. В теме он разбирается как свиня в апельсинах, так что его дело просто скомпилять код.
	Ответить | Правка | Наверх | Cообщить модератору

	53. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
	Сообщение от Аноним (-), 06-Ноя-26, 21:11
	> Ну если бекдор делает много уважаемый Jia Tan, то это другое дело, > такой XZ Utils можно и из репозитория скачать! В дебиане все получилось по уму - бэкдоры скачали только юзеры unstable. Ну так камикадзе с миноискателем затем и нужны чтоб проверить - есть ли мины на поле :). При том - они добровольно вписались в эту роль, их никто не заставлял юзать последний unstable.
	Ответить | Правка | К родителю #34 | Наверх | Cообщить модератору

	71. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
	Сообщение от Аноним (-), 06-Ноя-26, 23:19
	это те кто без https и в зеркалах не офиц репа?
	Ответить | Правка | Наверх | Cообщить модератору

	79. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+1 +/–
	Сообщение от нах. (?), 06-Ноя-26, 23:35
	их заставил супергерой дебиан, защищающий человечество от небезнадежно устаревшего софта. И политика поддержки три года (и еще потом пять, вот, пажалуста, /bin/ls вам попатчили)
	Ответить | Правка | К родителю #53 | Наверх | Cообщить модератору

	55. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
	Сообщение от Аноним (27), 06-Ноя-26, 21:26
	Можно зубоскалить, но когда малварь обнаружат, репозиторий - единственное место где её можно прикрыть. А если бы ты тянул код из апстрима напрямую, как, например, в уродском go делают, или ставил приложения через setup.exe как в венде, то ты бы сидел с этим трояном до скончания века, и знать бы о нём не знал.
	Ответить | Правка | К родителю #34 | Наверх | Cообщить модератору

	80. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+1 +/–
	Сообщение от нах. (?), 06-Ноя-26, 23:38
	быстроприкрытое ж вляпавшимся не считается? > А если бы ты тянул код из апстрима напрямую то точно так же мог бы быстро стянуть исправленный. И setup.exe тоже. Ну или не стянуть, а запустить троянский. И одного раза вполне хватит, в общем-то.
	Ответить | Правка | Наверх | Cообщить модератору

	84. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
	Сообщение от Аноним (19), 07-Ноя-26, 00:22
	> Можно зубоскалить, но когда малварь обнаружат, репозиторий - единственное место где её можно прикрыть. Или наоборот - получить. Ибо репа - дополнительное звено, которое можно сломать. > А если бы ты тянул код из апстрима напрямую, как, например, в уродском go делают, Ты сейчас играешь в подмену понятий. Если у тебя прямо в апстримном коде малварь, то васяны-маинтайнеры репы тебя от этого никак не спасут: ты по факту просто до поры до времени  перекладываешь на их плечи задачу оповещения тебя об уже словленной малвари. > или ставил приложения через setup.exe как в венде, то ты бы сидел с этим трояном до скончания века, и знать бы о нём не знал. Ну да, антивирусников же не существует. А если я тебе расскажу о Microsoft Store / Google Play / etc, где проверками все обложено еще ДО публикации - ты, наверное, сильно удивишься. Куда уж им до твоих репозиториев, в которых васяны-маинтайнеры выгорают лишь от одних попыток собрать Хромиум.
	Ответить | Правка | К родителю #55 | Наверх | Cообщить модератору

	43. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+2 +/–
	Сообщение от Аноним (43), 06-Ноя-26, 19:59
	В случае Slackware я доверяю хозяинам пакетов, хозяевам их репозиториев, Патрику и его core team. В случае slackbuilds.org надо почитать слакбилд и сверить вход и выход. И довериться текущей версии исходников. В случае NPM и Cargo надо доверять - хозяину пакета - мейнтейнерам репозитория-прокладки - занерешеченности репозитория-прокладки - хз как в npm и cargo, но ещё в других, например, pypi - блобятне на серверах прокладки - автоапдейтам - бессчетному количеству зависимостей, которые ещё и подтягиваются автоматом и их нельзя просто так зафризить с первого раза Исходя из нашумевших взломов NPM и подобных, доверять прокладке в лице репозитория не очень хорошо и люди из языковых комьюнити работают на прокладку как на дополнительный источник дохода, не имея понятия о том, как устраивать аудит исходников и использовать безопасные практики публикации кода (например, тот же pgp). Проще тянуть из VCS напрямую.
	Ответить | Правка | К родителю #19 | Наверх | Cообщить модератору

	48. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+2 +/–
	Сообщение от Аноним (-), 06-Ноя-26, 20:19
	> В случае Slackware я доверяю хозяинам пакетов, хозяевам их репозиториев, Патрику и его core team. На этом в общем-то можно закончить. Это просто вариант "религии", в стиле "я верю каким-то васянам которых в глаза не видел, но они настолько круты, даже несмотря на то что их детище нафиг никому не надо (кроме таких же верующих)" > В случае NPM и Cargo надо доверять >  - хозяину пакета И как? Помогло с XZ библиотекой)? >  - мейнтейнерам репозитория-прокладки Это что? В карго зачастую автор сам выкладывает >  - занерешеченности репозитория-прокладки >  - хз как в npm и cargo, но ещё в других, например, pypi - блобятне на серверах прокладки Про какие прокладки ты говоришь? > Исходя из нашумевших взломов NPM и подобных, доверять прокладке в лице репозитория Все равно слабее чем XZ) > люди из языковых комьюнити работают на прокладку как на дополнительный источник дохода, Получая при этом бесплатный хостинг.
	Ответить | Правка | Наверх | Cообщить модератору

	51. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+1 +/–
	Сообщение от LaunchWiskey (ok), 06-Ноя-26, 20:26
	Что-то аж захотелось продовые сервера на Slackware перевести после таких обсуждений. Остановил меня лишь браузер, который отказался на сайт Slackware заходить, ибо там только HTTP.
	Ответить | Правка | К родителю #43 | Наверх | Cообщить модератору

	68. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
	Сообщение от Инопланетянин (?), 06-Ноя-26, 23:08
	> NPM и Cargo Их васяны туда пушат, еще и без подписей. Давай лучше ты покажешь новость, где кто-то спецом из мэинтейнеров пакетов сделал что-то плохое?
	Ответить | Правка | К родителю #19 | Наверх | Cообщить модератору

	72. Скрыто модератором	+/–
	Сообщение от Аноним (-), 06-Ноя-26, 23:21
	никому нельзя доверять, айпио на носу, демократы победили
	Ответить | Правка | Наверх | Cообщить модератору

	85. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+1 +/–
	Сообщение от Аноним (19), 07-Ноя-26, 00:34
	>> NPM и Cargo > Их васяны туда пушат, еще и без подписей. И в репы линукса тоже пушат васяны: код из апстрима, который пишут вторые васяны. Только  как это относится к обсуждаемой теме? > Давай лучше ты покажешь новость, где кто-то спецом из мэинтейнеров пакетов сделал что-то плохое? А ты много знаешь новостей, где авторы (а не воры учеток) NPM/Cargo/etc пакетов сделали что-то плохое? Ты о чем вообще?
	Ответить | Правка | К родителю #68 | Наверх | Cообщить модератору

	89. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
	Сообщение от Инопланетянин (?), 07-Ноя-26, 00:44
	>>> NPM и Cargo >> Их васяны туда пушат, еще и без подписей. > И в репы линукса тоже пушат васяны: код из апстрима, который пишут > вторые васяны. Только  как это относится к обсуждаемой теме? Причем тут репы upstream? Вообще-то часто при сборке 1. накладываются пачти 2. мейнтейнер следит за изменениями => вероятность пропихнуть что-то плохое сильное сложнее. И дойдет это сильно дольше, т.к. в нормальных дистрах есть unstable -> testing -> stable. В LTS это вообще доедет еще дольше.   >> Давай лучше ты покажешь новость, где кто-то спецом из мэинтейнеров пакетов сделал что-то плохое? > А ты много знаешь новостей, где авторы (а не воры учеток) NPM/Cargo/etc > пакетов сделали что-то плохое? Ты о чем вообще? Задавать такой вопрос про npm? Ты серъезно?
	Ответить | Правка | Наверх | Cообщить модератору

	91. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
	Сообщение от Аноним (19), 07-Ноя-26, 01:01
	> Причем тут репы upstream? При том, что васян-маинтайнер с подписью не спасут тебя от зловредного кода с апстрима. Поэтому я вообще не понял, зачем ты о них упомянул. > мейнтейнер следит за изменениями > вероятность пропихнуть что-то плохое сильное сложнее Не смеши ради бога: с каких это пор маинтайнеры пакетов делают аудит кода, лол? >> А ты много знаешь новостей, где авторы (а не воры учеток) NPM/Cargo/etc > пакетов сделали что-то плохое? Ты о чем вообще? > Задавать такой вопрос про npm? Ты серъезно? Я же не просто так написал "авторы, а не воры учеток". Новый вредоносный пакет под новым аккаунтом конечно можно пропихнуть - но смысл, если его никто не юзает.
	Ответить | Правка | Наверх | Cообщить модератору

	92. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
	Сообщение от Инопланетянин (?), 07-Ноя-26, 01:08
	>> Причем тут репы upstream? > При том, что васян-маинтайнер с подписью не спасут тебя от зловредного кода > с апстрима. Поэтому я вообще не понял, зачем ты о них > упомянул. Могут и спасти. Пусть лучше будут. >> мейнтейнер следит за изменениями >> вероятность пропихнуть что-то плохое сильное сложнее > Не смеши ради бога: с каких это пор маинтайнеры пакетов делают аудит > кода, лол? Банально патч может не наложиться на новые изменения. А это значит, что кое-какое знакомство с кодом надо иметь. Или какие-то фичи явно будут отключены при сборке, к примеру поход в сеть, если мэинтейнер так решит для безопасности. Как минимум он может посмотреть на изменения, которые были, поэтому добавление вредоносного кода абы как не пройдет. Это разумеется касается не всех мэинтейнеров. Где-то возможно что-то автоматом все делается. >>> А ты много знаешь новостей, где авторы (а не воры учеток) NPM/Cargo/etc >> пакетов сделали что-то плохое? Ты о чем вообще? >> Задавать такой вопрос про npm? Ты серъезно? > Я же не просто так написал "авторы, а не воры учеток". Новый > вредоносный пакет под новым аккаунтом конечно можно пропихнуть - но смысл, > если его никто не юзает. Похожие имена пакетов или угон учеток. Угон учетки мэинтейнера пакета в студию. Даже для таких случаев есть отзыв ключей.
	Ответить | Правка | Наверх | Cообщить модератору

	90. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
	Сообщение от Инопланетянин (?), 07-Ноя-26, 01:01
	>> Давай лучше ты покажешь новость, где кто-то спецом из мэинтейнеров пакетов сделал что-то плохое? > А ты много знаешь новостей, где авторы (а не воры учеток) NPM/Cargo/etc > пакетов сделали что-то плохое? Ты о чем вообще? https://www.opennet.dev/search.shtml?words=npm https://www.opennet.dev/search.shtml?words=pypi
	Ответить | Правка | К родителю #85 | Наверх | Cообщить модератору

	20. "-"	+1 +/–
	Сообщение от defcon.socialkosmocommunist (?), 06-Ноя-26, 18:41
	Ничто не мешает добавить свои репозитории в систему, вполне децентрализовано, всё в руках пользователей и разработчиков. Например у браузера librewolf свои репозитории, чтобы его скачать с помощью apt надо ручками добавить их в систему. Как ваше "замечание" относится к теме публикации?
	Ответить | Правка | К родителю #12 | Наверх | Cообщить модератору

	21. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
	Сообщение от Аноним (21), 06-Ноя-26, 18:43
	Это другое. Дистрибутив может и на зеркалах лежать. А вот зеркало Windows Store - не сделаешь.
	Ответить | Правка | К родителю #12 | Наверх | Cообщить модератору

	37. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
	Сообщение от Аноним (35), 06-Ноя-26, 19:27
	> А вот зеркало Windows Store - не сделаешь. И свой appstore эпловский - хрен поднимешь. Особенно за 5 минут - как свои репы сабжа.
	Ответить | Правка | Наверх | Cообщить модератору

	50. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+1 +/–
	Сообщение от Аноним (3), 06-Ноя-26, 20:24
	Файло на помойках  и официальных страничках кончились что ли? Под Вин всего навалом в отличии от лабы и во всех эпостасиях.
	Ответить | Правка | К родителю #21 | Наверх | Cообщить модератору

	110. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
	Сообщение от Аноним (107), 07-Ноя-26, 07:25
	> Под Вин всего навалом Распакуешь установщик сам ручками или посмотришь что оно сейчас делать будет перед тем как запускать рандомную прогу скачанную с интернета?
	Ответить | Правка | Наверх | Cообщить модератору

	73. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+1 +/–
	Сообщение от Аноним (-), 06-Ноя-26, 23:23
	с другой стороны - помните как пару лет назад всё легло на день-два - от аэропортов до конгломератов, когда вин_апдейт накосячил?
	Ответить | Правка | К родителю #21 | Наверх | Cообщить модератору

	94. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
	Сообщение от Аноним (3), 07-Ноя-26, 01:11
	Не особенно, но помню проблему с сертификатами.
	Ответить | Правка | Наверх | Cообщить модератору

	114. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
	Сообщение от Аноним (143), 07-Ноя-26, 09:43
	Накосячил тогда не вин_апдейт, а CrowdStrike.
	Ответить | Правка | К родителю #73 | Наверх | Cообщить модератору

	138. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
	Сообщение от Аноним (-), 07-Ноя-26, 17:01
	но, по факту, всё прилетает оттуда же, и это единая репа для винды (уверен что у них есть гео-дупликанты - зеркала для регионов). а что конкретно там не так - индус, инопланетяне, секур-подрядчик - вторично же, нет? если мы говорим про наш классический апт - это, по большей части, классический деби, который имеет свои отдельные зеркала в каждой крупной стране/регионе. и вот насколько такая схема опасна в подломе конкретного зеркала, столь может спасти при отравлении основного. то на то - шило-мало
	Ответить | Правка | Наверх | Cообщить модератору

	28. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	–1 +/–
	Сообщение от Аноним (27), 06-Ноя-26, 19:12
	> По мнению апологетов Линукса свобода это зависимость от централизованных репозиториев. Какое милое либо полное непонимание темы, либо намеренное низведение до абсурда. Во-первых, зависимости нет - форкни реп, или свой с нуля сделай, замени урл и используй. Во-вторых, собственно если тут что-то не так, то как должно быть?
	Ответить | Правка | К родителю #12 | Наверх | Cообщить модератору

	38. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
	Сообщение от Аноним (38), 06-Ноя-26, 19:30
	> зависимости нет - форкни реп, или свой с нуля сделай, замени урл и используй Ну стало быть npm, cargo, pypi, и да далее тоже не проблема. ЧТД.
	Ответить | Правка | Наверх | Cообщить модератору

	36. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
	Сообщение от Аноним (35), 06-Ноя-26, 19:26
	> По мнению апологетов Линукса свобода это зависимость от централизованных репозиториев. 1) Пакеты ставятся хоть и совсем без реп. 2) Своя репа при желании поднимается минут за 5. Т.е. это - удобство, а не единственный способ, как у всяких iDevice где кроме как из апстора и не поставишь нихрена, и конечно васян не сможет свой стор сетапнуть за 5 минут.
	Ответить | Правка | К родителю #12 | Наверх | Cообщить модератору

	42. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+2 +/–
	Сообщение от Аноним (42), 06-Ноя-26, 19:55
	> 2) Своя репа при желании поднимается минут за 5. При условии что у тебя уже есть сервак - да за 5 минут можно попытаться. > Т.е. это - удобство, а не единственный способ, как у всяких iDevice А причем тут iDevice? У местного сбpoда горит от npm, cargo, pypi и тд Хотя условный карго ты точно так же можешь развернуть локально или на сервере и накидать туда нужные данные. > где кроме как из апстора и не поставишь нихрена, и конечно васян не сможет свой стор сетапнуть за 5 минут. Ну так эпл ценится как раз за отсутствие васянов)
	Ответить | Правка | Наверх | Cообщить модератору

	54. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
	Сообщение от Аноним (-), 06-Ноя-26, 21:16
	> При условии что у тебя уже есть сервак - да за 5 минут можно попытаться. Ну, э, быть линуксоидом и совсем не уметь какой-то минимальный http хоть из чего-то сделать - это талант иметь надо. Со знаком минус. А в чем проблема с сервером то? Локально он за пару минут лепится из любого г и палок. Надо не локально? Впска за 3 бакса в месяц арендуется за 5 минут топ. > А причем тут iDevice? У местного сбpoда горит от npm, cargo, pypi и тд Я их не жалую потому что намного предпочтительнее рулить системой через 1 тул (e.g. apt) с более-менее одним набором полисей - чем этой кучей нечто - которое будет хз куда мусорить, и вместо 1 программы управление пойдет через полдюжины, с разными полисями и трекать это все - мучительно, канительно и в систему - гадит. Более того. Вон те шляпы рулятся вср@тыми корпоратами в основном. Им я сильно меньше доверяю чем майнтайнерам моего дистро. Вот прям так. И они делом показали почему все именно так. > Ну так эпл ценится как раз за отсутствие васянов) Вот, отлично. А вы сюда зачем претесь то? Было бы не менее ценно если бы вы к васянам не перлись - раз вам от них ничего не надо. А то получается что вы полфорума гнались чтоб рассказать васянам как они вам безразличны :))
	Ответить | Правка | Наверх | Cообщить модератору

	82. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	–2 +/–
	Сообщение от Аноним (38), 07-Ноя-26, 00:13
	> рулятся вср@тыми корпоратами в основном. Им я сильно меньше доверяю чем майнтайнерам моего дистро. То, что ядро и все мейнстримные "дистро" пилятся корпорациями для своих нужд, и то, что корпорации содержат на зарплате подавляющее большинство "майнтайнеров" тебе никак не жмёт? Как на счёт корпоративного железа? Кризис доверия не вызывает?
	Ответить | Правка | Наверх | Cообщить модератору

	111. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
	Сообщение от Ivan_83 (ok), 07-Ноя-26, 07:27
	Как минимум с фряхой это не так. ОС пилится на бабло пожертвованное фонду, и теми кто приносит туда патчи, как отдельные разрабы так и от корпов. Порты типа вообще сообществом, отдельные порты тянут за зарплату, но уж точно не все. На мне под 2 десятка портов, из которых по работе штуки 4.
	Ответить | Правка | Наверх | Cообщить модератору

	144. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
	Сообщение от User (??), 07-Ноя-26, 20:04
	И используется она...? А да, уже "никем" и "ни для чего", ага.
	Ответить | Правка | Наверх | Cообщить модератору

	145. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
	Сообщение от User (??), 07-Ноя-26, 20:11
	Ну, это все конечно замечательно - но чудесТные реподержатели на длинном треке расписались в полной невозможности успевать за индус-триальными программистами. Еще до ИИ-бума расписались, заметим. Так что идея one tool to rule она конечно замечательная - но лошадь того, мертвая и дальше не поедет, увы. Не, если к ней колесиков в виде snap\flatpack\curl|sudo\docker напихать - то с горки-то оно ничо так кувыркается, а вот "в горку" чего-нибудь разрабатывать - неа.
	Ответить | Правка | К родителю #54 | Наверх | Cообщить модератору

	47. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
	Сообщение от Аноним (52), 06-Ноя-26, 20:19
	А чего ждать в децентрализованных: червей, вшитого шпионского кода?
	Ответить | Правка | К родителю #12 | Наверх | Cообщить модератору

	69. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
	Сообщение от Инопланетянин (?), 06-Ноя-26, 23:09
	> это зависимость от централизованных репозиториев. Только для apt можно создать свой репозиторий хоть с CD-диска, хость с флешки и обновляться с него.
	Ответить | Правка | К родителю #12 | Наверх | Cообщить модератору

	75. Скрыто модератором	–1 +/–
	Сообщение от Аноним (-), 06-Ноя-26, 23:26
	сидюк и флешку актуальную вы где берёте, на сдачу в кб местном?
	Ответить | Правка | Наверх | Cообщить модератору

	93. Скрыто модератором	+/–
	Сообщение от Инопланетянин (?), 07-Ноя-26, 01:10
	> сидюк и флешку актуальную вы где берёте, на сдачу в кб местном? Это просто пример, что без проблем можно создать зеркало просто со среза. По факту пакеты обычно с зеркал геолокальных берут. А теперь скажи, что будет если заблочить npm или cargo?
	Ответить | Правка | Наверх | Cообщить модератору

	83. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
	Сообщение от Аноним (38), 07-Ноя-26, 00:14
	А setup.exe или персональный cargo нельзя на флешку записать? Защита стоит какая-то?
	Ответить | Правка | К родителю #69 | Наверх | Cообщить модератору

	131. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
	Сообщение от уримои (?), 07-Ноя-26, 13:45
	Ты одарён, но я помогу тебе. Центральный репозиторий - это возможность, а не зависимость, ведь вручную накачать с файлопомоек и поставить ты можешь и в линуксе. Погугли на досуге.
	Ответить | Правка | К родителю #12 | Наверх | Cообщить модератору

13. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+2 +/–
Сообщение от Аноним (13), 06-Ноя-26, 18:22
Это что же теперь все сервера переставлять?
Ответить | Правка | Наверх | Cообщить модератору

	76. Скрыто модератором	+/–
	Сообщение от Аноним (-), 06-Ноя-26, 23:26
	можно только поражённые хДДД
	Ответить | Правка | Наверх | Cообщить модератору

	96. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
	Сообщение от LaunchWiskey (ok), 07-Ноя-26, 01:27
	> Это что же теперь все сервера переставлять? И все документы переписывать и работу переделывать, а то мало ли что видоизменённые пакеты туда добавили и вставили. Если хранились видео и фото - то переснимать. Почту - переотправлять.
	Ответить | Правка | К родителю #13 | Наверх | Cообщить модератору

25. Скрыто модератором	+/–
Сообщение от Аноним (27), 06-Ноя-26, 19:01
А ведь эти твари смели утверждать что HTTPS для зеркал с пакетами не нужен, потому что у них де проверка по чексуммам всё покрывает.
Ответить | Правка | Наверх | Cообщить модератору

40. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	–1 +/–
Сообщение от Аноним (38), 06-Ноя-26, 19:32
> вклиниться в HTTP-трафик Но это не повод прекращать священную борьбу против HTTPS на опеннете!
Ответить | Правка | Наверх | Cообщить модератору

41. Скрыто модератором	+1 +/–
Сообщение от Аноним (41), 06-Ноя-26, 19:40
Кинте плиз ссылку как домашний комп быстро проверить на подмененные файлы в пакетах.
Ответить | Правка | Наверх | Cообщить модератору

61. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
Сообщение от Аноним (61), 06-Ноя-26, 22:14
В Debian 13 исправили
Ответить | Правка | Наверх | Cообщить модератору

	137. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
	Сообщение от Аноним (-), 07-Ноя-26, 16:50
	первом делом, только заминка была пока сиды обкатывали для тестинга
	Ответить | Правка | Наверх | Cообщить модератору

62. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
Сообщение от нах. (?), 06-Ноя-26, 22:15
и да, https, ВНЕЗАПНО, тоже уязвим. Только не для мифического mitm, а для куда более банального и куда более вероятного взлома или заведомо васянского "безопастного" зеркала.   - The attacker needs two things: redirects, and transient 5xx errors that     trigger retries. A server operator controls both. The MITM version needed     plain HTTP only to get into a position to send those responses. A rogue     endpoint already has that position, and TLS just encrypts the attack.   - The only HTTPS-specific redirect rule is "no downgrade": basehttp.cc:431-450     forbids https→http, and test-apt-https-no-redirect tests it. That doesn't     matter here. To merge B into A, the server redirects B's URL to A's URL,     normally on the same https:// host. Same scheme, no downgrade.
Ответить | Правка | Наверх | Cообщить модератору

63. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
Сообщение от Аноним (63), 06-Ноя-26, 22:29
Зря еМудхру слили, могла бы получиться отличная цепочка уязвимостей.
Ответить | Правка | Наверх | Cообщить модератору

	77. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
	Сообщение от Аноним (-), 06-Ноя-26, 23:29
	так вам антропик 1к подвезли, с гитхаба скрипты проектов тож нормально завозят https://news.drweb.ru/show/?i=15311&lng=ru на острие там жить - можно и порезаться уже
	Ответить | Правка | Наверх | Cообщить модератору

66. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
Сообщение от Ананоним (?), 06-Ноя-26, 22:54
Опять?
Ответить | Правка | Наверх | Cообщить модератору

100. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+1 +/–
Сообщение от Аноним (100), 07-Ноя-26, 02:54
мне уже с этими кибергеддоном кошмары снятся,как будто меня взломали и наустанавливали мне кучу реклмного софта по типу амиги и прочего...ахах
Ответить | Правка | Наверх | Cообщить модератору

	109. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
	Сообщение от Ivan_83 (ok), 07-Ноя-26, 07:23
	Жили же с амигой миллионами и ничего, а теперь вон какие эстеты... Притом что вам и МС в пуск рекламы навалило с лопаты, а всякие хлаоми всю мобилу рекламой завалили - это типа ок?
	Ответить | Правка | Наверх | Cообщить модератору

	134. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
	Сообщение от Аноним (134), 07-Ноя-26, 15:40
	не, мы недостойны рекламы
	Ответить | Правка | Наверх | Cообщить модератору

	136. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
	Сообщение от Аноним (-), 07-Ноя-26, 16:49
	с вами не согласится не одно медиа
	Ответить | Правка | Наверх | Cообщить модератору

104. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	–1 +/–
Сообщение от Инопланетянин (?), 07-Ноя-26, 04:08
Как вижу http, то волосы шевелятся. Заменил везде на https давно еще.
Ответить | Правка | Наверх | Cообщить модератору

108. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	–1 +/–
Сообщение от Ivan_83 (ok), 07-Ноя-26, 07:21
> Судя по патчу, в котором открытие файла с флагом FileFd::Empty (O_TRUNC) заменено на FileFd::Exclusive (O_EXCL), при возобновлении прерванной загрузки атакующий мог добиться перезаписи данных, для которых при первой загрузке уже было выполнено хеширование. "Смотрю в книгу - вижу фигу" - уровень понимания патча, при этом ещё и логика у автора отсутствует: как можно проверить хэш файла до его скачивания!? Там была классическая атака: файл скачали, хэш проверили, потом некто подменил файл и/или симлинк на него на свой файл, который потом и установился.
Ответить | Правка | Наверх | Cообщить модератору

	113. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
	Сообщение от Аноним (113), 07-Ноя-26, 09:07
	Хэш можно считать прямо в процессе скачивания. Или блоками произвольного размера. Он всё равно не изменится.
	Ответить | Правка | Наверх | Cообщить модератору

	117. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
	Сообщение от нах. (?), 07-Ноя-26, 10:30
	не, не угадал - оно считает хэш от уже скачаного. А потом радостно скачивает поверх уже посчитанного - троянца, и уже ничего не считает - оно ж уже скачалось.
	Ответить | Правка | Наверх | Cообщить модератору

	119. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
	Сообщение от Ivan_83 (ok), 07-Ноя-26, 10:35
	Ну это просто радость какая то. Лучше бы автор писал на шелл скрипте, может меньше бы натяпляпал :)
	Ответить | Правка | Наверх | Cообщить модератору

	118. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
	Сообщение от Ivan_83 (ok), 07-Ноя-26, 10:33
	Я знаю что хэш считается блоками, однако "при возобновлении прерванной загрузки атакующий мог добиться перезаписи данных, для которых при первой загрузке уже было выполнено хеширование." немного про другое.
	Ответить | Правка | К родителю #113 | Наверх | Cообщить модератору

	116. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
	Сообщение от нах. (?), 07-Ноя-26, 10:27
	> "Смотрю в книгу - вижу фигу" - уровень понимания патча дааа, Ваня, а мы-то думали хоть ты тут умеешь понимать код. там три строчки буквально. В чем ты ниасилил-то? Сэкономил клик? > при этом ещё и логика у автора отсутствует это у де6илли@новских авторов логика отсутствует начисто. > как можно проверить хэш файла до его скачивания!? вот если бы ты посмотрел код - не патч, а то что он патчит, и да, там много и запутанно и надо разбираться (и поглядев на чудо-патч ты бы ПОЛЕЗ разбираться в некотором охренении от увиденного, как это сделал я, правда, свалив на робота грязную работу) - то узнал бы что а вот они - СМОГЛИ! > была классическая атака: файл скачали, хэш проверили, потом некто подменил файл и/или > симлинк как ты б... можешь подменить файл или симлинк на чужом локалхосте, расскажи-ка мне? внезапно, файл подменяет - сама эта поделка. Да, вот именно так - считает одно, а пишет потом поверх другое, и ничего у нее не свисит кроме фляги того горе-улучшателя что это придумал (там и use-case такой что хоть стой хоть падай). зачем автор патча полез еще и с симлинками бороться в рут-онли-райтабл каталогах - спроси у него. Мы с клавой не шмагли в этом месте перехватить полет его мысли. (на мой взгляд если у тебя не сработал хардлинк ВНУТРИ /var/cache/apt - тебе не симлинки создавать надо а выдать ошибку и остановиться, или хотя бы перестать страдать ерундой и просто скопировать файл - тут либо фс битая либо васян что-то совсем странное у себя создал, симлинки могут скрыть проблему или создать новую неожиданную дыру)
	Ответить | Правка | К родителю #108 | Наверх | Cообщить модератору

	120. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	–2 +/–
	Сообщение от Ivan_83 (ok), 07-Ноя-26, 10:41
	Там крестовый код, я открыл патч и у меня кровь из глаз потекла от кода %) У нормальных людей в начале скачивание, потом проверка хэша, потом распаковка. Если автор не осилил нормального разделения кода на блоки/стейты то он ещё хуже чем я об нём подумал :) Короче остаётся только посочувствовать тем кто с этим имеет дела :)
	Ответить | Правка | Наверх | Cообщить модератору

	121. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	–2 +/–
	Сообщение от нах. (?), 07-Ноя-26, 11:04
	> Там крестовый код там в патче си-с-классами, образцовый кот из 96го года, я тоже такой писал (боюсь что и так же, но я ж его выкинул). Т.е. вопросы не к тому что там написано, там все совершенно понятно, вопрос который должен возникнуть у того кто умеет читать код - да что ж за НEX оно патчит-то? > У нормальных людей в начале скачивание, потом проверка хэша досюда все верно. А потом - суп. С кодом. Лучше б я конечно туда не заглядывал. Сохранились бы хоть какие-то иллюзии... причем это не код из 96го нагадил, он страшненький но в нем-то дыры не было, это модные-современные небинарно-ориентированные в вполне себе 15м году решали задачу ненужную никому на свете. Наверное помогло устроиться потом в FAANG младшим кодописцем. Ну или я уж не знаю что должно было этим человеком двигать. Про тыщу шоколадных глаз и непосредственно отвечающего за принятие решений какие патчи принимать, а какие в помойку уж и не будем.
	Ответить | Правка | Наверх | Cообщить модератору

	122. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	–1 +/–
	Сообщение от Ivan_83 (ok), 07-Ноя-26, 11:35
	Как бы претензия ещё и к CamelCase и вообще тому как оно написано... ощущение что всё в куче и куча абстракций. > вопрос который должен возникнуть у того кто умеет читать код - да что ж за НEX оно патчит-то? Я такое только на работе практикую, чтобы понять кто творит дичь и чей код надо ревьювить с 100х подозрительностью. Недавно как раз такого хлопца отловил, после его правок продукт начал падать там где никогда не падал :) Со своим кодом понятно кто - я ж один в основном пишу :) А с совсем чужим только чтобы пнуть автора баги чтобы быстрее ревью прошло, а то будет висеть пару лет пока кто то знакомый с тем куском не найдётся и не сподобится посмотреть. У тебя же был чудо ЫЫ, он тебе новых 1000500 багов там не нашёл?)
	Ответить | Правка | Наверх | Cообщить модератору

	154. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
	Сообщение от нах. (?), 08-Ноя-26, 01:55
	> У тебя же был чудо ЫЫ, он тебе новых 1000500 багов там не нашёл?) там выше его анализ этого дерьма. Яйца глист обнаружены. Нет, я не рискнул его спросить не видит ли он еще каких несуразностей в этом дерьмокоде - мне увиденного уже хватило (я-то умею читать си-с-классами, и ЫЫ спрашивал не что там написано, а ЗАЧЕМ оно такое и какую проблему решает-то. Ну он вон и вывалил.) пользы от траты токенов подобным образом совсем никакой - ну попатчу я у себя свой один экземпляр на подкроватном сервере. А на тыщах устанавливаемых в конторе дистрибутивных - не попатчу, по очевидным причинам. Добиться от людей которые не моргнув глазом вон то накомитили, чтобы они что-то поменяли у себя - очевидно, без шансов. отправил его вместо этого xray патчить. (там тоже шансов никаких, issue висит уже год, но это я вполне могу оставить себе. Кому нормального логгинга xhttp - обращайтесь в спортлото.)
	Ответить | Правка | Наверх | Cообщить модератору

124. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
Сообщение от Ponomar (?), 07-Ноя-26, 11:40
Что на это скажет AstraLinux?
Ответить | Правка | Наверх | Cообщить модератору

	130. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
	Сообщение от уримои (?), 07-Ноя-26, 13:39
	Примерно тоже, что и убунту/прочие apt-пользователи. Странно, что ты про альт не вспомнил. Хотя их возможно не затрагивает.
	Ответить | Правка | Наверх | Cообщить модератору

126. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+1 +/–
Сообщение от Аноним (126), 07-Ноя-26, 12:00
Как оно может проверить хеш сумму если файл не докчасался?
Ответить | Правка | Наверх | Cообщить модератору

	133. Скрыто модератором	+/–
	Сообщение от Аноним (-), 07-Ноя-26, 15:37
	как вообще УБ работает?
	Ответить | Правка | Наверх | Cообщить модератору

127. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+1 +/–
Сообщение от уримои (?), 07-Ноя-26, 13:10
Смахивает на создание повода к продолжению переписывания на руст. Причём по большей части именно комментарии здесь, а не сама дыра. Типичная ситуация "запутались в лапше"/"починили главным образом симптомы вместо причины" почему-то здесь вызывает особенную реакцию. Хотя везде ровно тоже самое. Вероятно это другое. Особенно интересны тейки про говнокод(который везде), си с классами(тоже везде, притом что такое цпп, а не си с классами знают единицы) и самецКейс(практически везде, кроме базовых областей, хотя даже там вполне пишут так же - например в llvm). Кстати, сам хттп(с) нареканий не вызывает, как и горы иного текста практически везде, начитая с метаданных этих пакетов. Наверное это тоже другое.
Ответить | Правка | Наверх | Cообщить модератору

128. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	–2 +/–
Сообщение от iZEN (ok), 07-Ноя-26, 13:13
И эти люди смеются над пользователями FreeBSD, которые устанавливают пакеты от рута.
Ответить | Правка | Наверх | Cообщить модератору

	129. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
	Сообщение от уримои (?), 07-Ноя-26, 13:38
	Пакеты все от рута устанавливают(либо из какого-то иного привелегированного сетапа). А в этом треде люди скорее всего кривят душой и не по детски.
	Ответить | Правка | Наверх | Cообщить модератору

132. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
Сообщение от Аноним (132), 07-Ноя-26, 14:21
Перванной загрузки - не загрузки конкретного файла за который вы тут бьётесь, а вообще. Он сохранен, хеш подсчитан. Возобновляется загрузка и какая-то магия заставляет скачать "такой же, но другой" файл и думать что это он. Не?
Ответить | Правка | Наверх | Cообщить модератору

	155. "Уязвимость в пакетном менеджере APT, позволяющая совершить M..."	+/–
	Сообщение от нах. (?), 08-Ноя-26, 01:57
	да!
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема