форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка

Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"Опасная уязвимость в X.Org, присутствующая с 1991 года"	+/–
Сообщение от opennews (ok) on 08-Янв-14, 11:16
В библиотеке libXfont, входящей в состав X.Org и используемой в X-сервере, обнаружена (http://lists.x.org/archives/xorg-announce/2014-January/00238...) опасная уязвимость (CVE-2013-6462), позволяющая организовать выполнение кода при обработке специально оформленного файла со шрифтом в формате BDF. Проблема была выявлена при проверке кода X.Org в статическом анализаторе cppcheck (http://cppcheck.sourceforge.net/) и связана с возможностью выхода за пределы выделенного буфера при наличии в BDF строк большого размера. Проблему усугубляет то, что библиотека libXfont используется во всех вариантах X-серверов, в том числе том, что выполняется с правами пользователя root, что позволяет использовать данную уязвимость для повышения локальным пользователем своих привилегий в системе. Примечательно, что уязвимость появилась в кодовой базе ещё в мае 1991 года. Проблема исправлена (http://cgit.freedesktop.org/xorg/lib/libXfont/commit/?id=4d0...) в опубликованном (http://lists.x.org/archives/xorg-announce/2014-January/00238...) сегодня выпуске libXfont 1.4.7. URL: http://lists.x.org/archives/xorg-announce/2014-January/00238... Новость: http://www.opennet.dev/opennews/art.shtml?num=38809
Ответить | Правка | Cообщить модератору

Сообщения по теме

[Сортировка по времени | RSS]

1. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+2 +/–
Сообщение от AlexAT (ok) on 08-Янв-14, 11:16
Ха. АНБ? :) // Капитанствую насчёт того, что в любом софте вполне могут быть уязвимости, в т.ч. сознательно внедренные, остающиеся незамеченными десятки лет. //
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	23. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+2 +/–
	Сообщение от Карбофос (ok) on 08-Янв-14, 14:21
	всё может быть, но сумлеваюсь. гораздо проще и надёжнее встраивать недокументированные возможности в железо.
	Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

	27. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+10 +/–
	Сообщение от mitiok (??) on 08-Янв-14, 15:14
	не только в железо, ещё в операционные системы с закрытым кодом.
	Ответить | Правка | ^ к родителю #23 | Наверх | Cообщить модератору

	30. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+2 +/–
	Сообщение от Карбофос (ok) on 08-Янв-14, 15:52
	ну это хоть как. особенно, если обфускацией все тёмные делишки прикрыть. хотя, фанатичные закрытофилы об этом любят помалкивать
	Ответить | Правка | ^ к родителю #27 | Наверх | Cообщить модератору

	33. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	–4 +/–
	Сообщение от Аноним (??) on 08-Янв-14, 16:08
	>фанатичные закрытофилы Не бывает таких. Бывают те, кро зарабатывают на закрытом и боятся угрозы...
	Ответить | Правка | ^ к родителю #30 | Наверх | Cообщить модератору

	57. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+3 +/–
	Сообщение от Карбофос (ok) on 08-Янв-14, 17:56
	ой ли!
	Ответить | Правка | ^ к родителю #33 | Наверх | Cообщить модератору

	64. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+/–
	Сообщение от Аноним (??) on 08-Янв-14, 19:18
	> ой ли! Ой. Представляешь, есть много на свете, что тебе тоже трудно представить.
	Ответить | Правка | ^ к родителю #57 | Наверх | Cообщить модератору

	73. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+/–
	Сообщение от Карбофос (ok) on 08-Янв-14, 20:09
	камменты к этой новости почитайте, благо - далеко ходить не надо, и соизвольте увидеть тех самых закрытофилов. сами в open source не участвуют, но зато неистово осуждают, да. одного из этих пришибков уже несколько раз здесь банили за неприкрытую ложь в стиле "get the facts". p.s. если благородный Дон не является фанатом пропиретарщины, то это не значит, что оных нет.
	Ответить | Правка | ^ к родителю #64 | Наверх | Cообщить модератору

	60. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+/–
	Сообщение от Тот_Самый_Анонимус on 08-Янв-14, 18:38
	Как показала практика, продукты с открытым исходным кодом тоже весьма надёжны для всяких закладок. Надо просто умело делать вид, что уязвимость незаметна. Это надо же: со времён Союза живёт. Уже и архитектуры процессоров сменились, и перефирия мощнее компов той давности, а уязвимость только сейчас отловили.
	Ответить | Правка | ^ к родителю #27 | Наверх | Cообщить модератору

	71. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+/–
	Сообщение от Ури on 08-Янв-14, 19:59
	Это в тему "открытый софт = безопасный софт". Короче, следи за собой, будь осторожен, товарищ!
	Ответить | Правка | ^ к родителю #60 | Наверх | Cообщить модератору

	107. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+1 +/–
	Сообщение от rshadow (ok) on 09-Янв-14, 10:11
	Безопасного софта не существует, как и безбажного. Но качество у открытого на порядок лучше. Тоже покапитанствую сегодня...
	Ответить | Правка | ^ к родителю #71 | Наверх | Cообщить модератору

	143. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	–5 +/–
	Сообщение от Ури on 10-Янв-14, 00:24
	Это какое качество, то что у гимпа против фотошопа? Или опенофиса против мелкософтового? Или может открытые драйвера к видяхам круче блобов? А, нет, я знаю - у блендера против макса! :) Ох уж мне эти капитаны...
	Ответить | Правка | ^ к родителю #107 | Наверх | Cообщить модератору

	122. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+1 +/–
	Сообщение от Led (ok) on 09-Янв-14, 14:39
	> Как показала практика Это аргумент из твоей новой методички, табуретка?
	Ответить | Правка | ^ к родителю #60 | Наверх | Cообщить модератору

	136. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+2 +/–
	Сообщение от Аноним (??) on 09-Янв-14, 17:56
	> Как показала практика, продукты с открытым исходным кодом тоже весьма надёжны для > всяких закладок. Надо просто умело делать вид, что уязвимость незаметна. > Это надо же: со времён Союза живёт. Уже и архитектуры процессоров сменились, > и перефирия мощнее компов той давности, а уязвимость только сейчас отловили. Примеры приведи, "перефир" ты наш просвещенный. Или заткнись.
	Ответить | Правка | ^ к родителю #60 | Наверх | Cообщить модератору

	139. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+/–
	Сообщение от АНГЫВНАГЫНВАШЩ on 09-Янв-14, 18:38
	Просто этой части кода никто не касался, и BDF не пользовался.
	Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

2. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	–7 +/–
Сообщение от Аноним (??) on 08-Янв-14, 11:17
Xorg - зато с сетевой прозрачностью!
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	3. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	–27 +/–
	Сообщение от linux must _RIP__ on 08-Янв-14, 11:20
	это скорее о мифах open source..
	Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

	5. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+2 +/–
	Сообщение от alltiptop (ok) on 08-Янв-14, 11:27
	каких?
	Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

	6. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+24 +/–
	Сообщение от RazrFalcon (ok) on 08-Янв-14, 11:34
	Миф? Вы можете проприетарный продукт через cppcheck прогнать?
	Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

	124. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+4 +/–
	Сообщение от Led (ok) on 09-Янв-14, 14:40
	> Вы можете проприетарный продукт через cppcheck прогнать? Он может только просто - прогнать, как и все опеннетовские MS-табуретки
	Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

	9. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+14 +/–
	Сообщение от Аноним (??) on 08-Янв-14, 12:14
	В закрытом продукте вы бы: а) вообще бы не узнали о такой уязвимости никогда б) не сможете прогнать его ч/з cppcheck.
	Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

	39. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	–17 +/–
	Сообщение от linux must _RIP__ on 08-Янв-14, 16:24
	1) ее там бы нашли раньше 2) есть много других статических анализаторов - качеством получше cppcheck.
	Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

Часть нити удалена модератором

	84. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+2 +/–
	Сообщение от Аноним (??) on 09-Янв-14, 01:45
	И откуда ты знаешь, что программа которой ты пользуешься так проверена. Вот Windows 7 или 8 твою так кто-нибудь проверял, у тебя пруфлинк на это есть?
	Ответить | Правка | ^ к родителю #107 | Наверх | Cообщить модератору

	85. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+8 +/–
	Сообщение от Аноним (??) on 09-Янв-14, 01:54
	> в нормальных конторах - запуск статических анализаторов это не случайность как в xorg, а рутинный процесс - который выполняется раз в неделю. Ты в скольки "нормальных конторах" работал, чтобы делать такие выводы обо всех? Не смеши людей. Собирается, работает - вот и ладненько. А статические анализаторы и прочая хрень - это никому премию не увеличит. В проприетарщине люди работают не ради качества, а ради зарплаты.
	Ответить | Правка | ^ к родителю #107 | Наверх | Cообщить модератору

	62. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+3 +/–
	Сообщение от Inome (ok) on 08-Янв-14, 19:01
	И чем другие анализаторы в вашем случаи помогут вам анализировать бинарную программу ?
	Ответить | Правка | ^ к родителю #39 | Наверх | Cообщить модератору

	79. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	–1 +/–
	Сообщение от linux must _RIP__ on 08-Янв-14, 22:32
	> И чем другие анализаторы в вашем случаи помогут вам анализировать бинарную программу > ? стоит заглянуть на сайт коверти и посмотреть кто у них покупает лицензии. Видимо они все анализируют свой бинарный блоб..
	Ответить | Правка | ^ к родителю #62 | Наверх | Cообщить модератору

	99. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+1 +/–
	Сообщение от inferrna (ok) on 09-Янв-14, 07:22
	Разовью подтухшую дискуссию. Если разраб знает о уязвимости, а остальные нет, то это бэкдор. Оставить или закрыть - дело его доброй воли. Если известные всем дыры в жабе и оффтопике не закрываются месяцами, а то и годами, значит это кому-нибудь нужно, кому-нибудь, кто знал о дырах заранее и согласование закрытия дыр с этим кем-нибудь суть долгая бюрократическая процедура. С другой стороны, никто не мешает тебе, рандомному Васе Пупкину, воспользоваться платным проприерастным анализатором кода для поиска дыр в опенсорсном проекте. Фил зе дифференс.
	Ответить | Правка | ^ к родителю #79 | Наверх | Cообщить модератору

	100. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+/–
	Сообщение от arisu (ok) on 09-Янв-14, 07:29
	> Если разраб знает о уязвимости, а остальные нет, то это бэкдор. чёрт, тогда программы просто переполнены бэкдорами! особенно когда программист обнаружил ошибку, знает о ней, записал в TODO, но сразу не починил по каким-либо причинам. сильное заявление, короче.
	Ответить | Правка | ^ к родителю #99 | Наверх | Cообщить модератору

Часть нити удалена модератором

	105. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+/–
	Сообщение от inferrna (ok) on 09-Янв-14, 09:47
	Тут согласен, но начал не я.
	Ответить | Правка | Наверх | Cообщить модератору

	106. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+2 +/–
	Сообщение от Мяут (ok) on 09-Янв-14, 09:53
	> 1) ее там бы нашли раньше Ее бы не нашли, а рассказали о ней нужным людям, а не писали на opennet.
	Ответить | Правка | ^ к родителю #39 | Наверх | Cообщить модератору

	123. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+1 +/–
	Сообщение от XoRe (ok) on 09-Янв-14, 14:40
	> 1) ее там бы нашли раньше Oh yea, вспоминается дырка с использованием *.ani файлов. Уязвимы были все системы, с Windows NT по Windows Vista. http://www.phreedom.org/research/vulnerabilities/ani-header/ > 2) есть много других статических анализаторов - качеством получше cppcheck. Ну с этим никто не спорит. Они, по факту, есть :)
	Ответить | Правка | ^ к родителю #39 | Наверх | Cообщить модератору

	125. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+3 +/–
	Сообщение от Аноним (??) on 09-Янв-14, 14:43
	> 1) ее там бы нашли раньше > 2) есть много других статических анализаторов - качеством получше cppcheck. Даладна... Тебе напомнить "историю успеха" заплаток Майкрософта? И какими "веселыми" историями из реальной жизни все это сопровождалось? Ага, проверяют они там, анализируют в поте лица, щаз. Расскажи еще чего-нибудь.
	Ответить | Правка | ^ к родителю #39 | Наверх | Cообщить модератору

	138. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+4 +/–
	Сообщение от AlexAT (ok) on 09-Янв-14, 18:01
	Угумс. Дыра в RPC (DCOM RPC) от обнаружения возможности DoS до заплатки - более 14 месяцев. В ответ на письма (сначала нормальные, потом - гневные, ибо студенты накропали массовый DoS'ер) мотивируют тем, что это только DoS, без эксплуатации - типа, закрывайте файрволом. Активный эксплоит - MS Blast (Blaster) - появился где-то месяце на 5-6... мсявным плевать, пока не перешло в эпидемию. С дырой в LSASS почти то же самое. От обнаружения до заплатки - 5 месяцев, Sasser появляется на 3-м, и портит очень много крови. А дальше через полтора года появляется семейство Pushdo/Cutwail, которое замечательно эксплоитит оба этих бага, и еще один новый в LSASS... ВНЕЗАПНО огромное количество систем всё еще уязвимо.
	Ответить | Правка | ^ к родителю #125 | Наверх | Cообщить модератору

	61. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+1 +/–
	Сообщение от Тот_Самый_Анонимус on 08-Янв-14, 18:40
	>В закрытом продукте вы бы: >а) вообще бы не узнали о такой уязвимости никогда Может или не может - трудно сказать. Я тоже могу так сказать: может там ещё более древняя и опасная уязвимость есть, и всплывёт лет через сорок. Обратного доказать у вас не выдет, как и у меня.
	Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

	17. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+5 +/–
	Сообщение от Аноним (??) on 08-Янв-14, 13:53
	> это скорее о мифах open source.. Если посмотреть на реалии а не мифы, то на открытом проекте я могу прогнать cppcheck, а на закрытом - фига. В результате есть причина полагать что в целом качество открытого кода имеет тенденцию быть выше. К тому же хреновый код просто стыдно выкладывать бывает, знаете ли.
	Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

	32. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+/–
	Сообщение от Khariton (ok) on 08-Янв-14, 15:54
	>> это скорее о мифах open source.. > Если посмотреть на реалии а не мифы, то на открытом проекте я > могу прогнать cppcheck, а на закрытом - фига. В результате есть > причина полагать что в целом качество открытого кода имеет тенденцию быть > выше. К тому же хреновый код просто стыдно выкладывать бывает, знаете > ли. и шиндошс тому пример!!!)))
	Ответить | Правка | ^ к родителю #17 | Наверх | Cообщить модератору

	40. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+/–
	Сообщение от chinarulezzz (ok) on 08-Янв-14, 16:27
	это лишь говорит о том, что у мс нет стыда и совести :-P
	Ответить | Правка | ^ к родителю #32 | Наверх | Cообщить модератору

	43. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+2 +/–
	Сообщение от Khariton (ok) on 08-Янв-14, 16:32
	> это лишь говорит о том, что у мс нет стыда и совести > :-P бабло порождает зло! заберите все бабло у мс и отдайте его гуглу и зло возродится там!
	Ответить | Правка | ^ к родителю #40 | Наверх | Cообщить модератору

	44. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	–1 +/–
	Сообщение от chinarulezzz (ok) on 08-Янв-14, 16:46
	>> это лишь говорит о том, что у мс нет стыда и совести >> :-P > бабло порождает зло! > заберите все бабло у мс и отдайте его гуглу и зло возродится > там! жадность порождает зло :)
	Ответить | Правка | ^ к родителю #43 | Наверх | Cообщить модератору

	56. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+/–
	Сообщение от Аноним (??) on 08-Янв-14, 17:54
	> и шиндошс тому пример!!!))) Кстати, да. Одна из уязвимостей в Windows (проявлялась при загрузке wmf) была обнаружена после утечки кода.
	Ответить | Правка | ^ к родителю #32 | Наверх | Cообщить модератору

	94. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+3 +/–
	Сообщение от arisu (ok) on 09-Янв-14, 04:28
	> была обнаружена после утечки кода. была *обнародована* после утечки кода.
	Ответить | Правка | ^ к родителю #56 | Наверх | Cообщить модератору

	46. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	–1 +/–
	Сообщение от pavlinux (ok) on 08-Янв-14, 16:59
	> В результате есть причина полагать что в целом качество открытого кода имеет тенденцию быть выше. Это называется средняя температура по больнице - то есть любой содержит 2% багов.
	Ответить | Правка | ^ к родителю #17 | Наверх | Cообщить модератору

	70. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+/–
	Сообщение от Аноним (??) on 08-Янв-14, 19:50
	никто и не говорил за всех, если тебя не упомянули в списке людей которым стыдно показывать корявый код, то это не повод искать виноватых
	Ответить | Правка | ^ к родителю #46 | Наверх | Cообщить модератору

	82. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	–4 +/–
	Сообщение от SergMarkov (ok) on 09-Янв-14, 01:34
	>> это скорее о мифах open source.. > Если посмотреть на реалии а не мифы, то на открытом проекте я > могу прогнать cppcheck, а на закрытом - фига. В результате есть > причина полагать что в целом качество открытого кода имеет тенденцию быть > выше. Если код открыт,  то его проще использовать для всяких там нелицеприятных вещей. Попробуйте тоже самое сделать с кодом закрытым - затрат времени много больше. Авторы нуво блестящий пример - как не стараются реинженерить код нвидии, получается только .. :-)
	Ответить | Правка | ^ к родителю #17 | Наверх | Cообщить модератору

	108. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+/–
	Сообщение от rshadow (ok) on 09-Янв-14, 10:20
	> Авторы нуво блестящий пример Нуво отличнейший драйвер. Уже года 4 на нем, полет нормальный. Стим ос выйдет, тогда можно будет и о 3D задуматься...
	Ответить | Правка | ^ к родителю #82 | Наверх | Cообщить модератору

	129. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+1 +/–
	Сообщение от Аноним (??) on 09-Янв-14, 14:54
	> Если код открыт,  то его проще использовать для всяких там нелицеприятных вещей. > Попробуйте тоже самое сделать с кодом закрытым - затрат времени много больше. Нужно рассказать это авторам миллионов вирусов для виндовз. А то мужики-то не знают, пишут себе и пишут...
	Ответить | Правка | ^ к родителю #82 | Наверх | Cообщить модератору

	26. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	–1 +/–
	Сообщение от хрюкотающий зелюк on 08-Янв-14, 15:07
	> Xorg - зато с сетевой прозрачностью! чтоб дыры были сразу remote
	Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

	51. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+/–
	Сообщение от Куяврег on 08-Янв-14, 17:21
	>> Xorg - зато с сетевой прозрачностью! > чтоб дыры были сразу remote ssh -Y user@host 'firefox' дыры ремотные, а вот ключик на ssh таки придётся искать, такие дела,  да.
	Ответить | Правка | ^ к родителю #26 | Наверх | Cообщить модератору

4. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	–1 +/–
Сообщение от Омский линуксоид (ok) on 08-Янв-14, 11:26
Дайте удобные инструменты воспользоваться этой уязвимостью? а?
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	7. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+7 +/–
	Сообщение от z (??) on 08-Янв-14, 11:37
	Скрипткиддисам - только за $$$$, извините
	Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

	47. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+7 +/–
	Сообщение от pavlinux (ok) on 08-Янв-14, 17:11
	> Дайте удобные инструменты воспользоваться этой уязвимостью? а? apt-get install gcc xorg-dev
	Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

8. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+/–
Сообщение от www2 (ok) on 08-Янв-14, 11:43
Надо бы ещё и шрифты в репозиториях проверить - а вдруг кто-то уже давно построил ботнет на Linux-десктопах ;)
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

11. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	–5 +/–
Сообщение от all_glory_to_the_hypnotoad (ok) on 08-Янв-14, 12:32
> libXfont кто-то этим ещё пользуется? Все давно же закопали исковые шрифты.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	14. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+/–
	Сообщение от Michael Shigorin (ok) on 08-Янв-14, 13:02
	>> libXfont > кто-то этим ещё пользуется? Все давно же закопали исковые шрифты. Ну я.  Правда, там, где пользуюсь -- и так рутшелл на tty[2-4] болтается.
	Ответить | Правка | ^ к родителю #11 | Наверх | Cообщить модератору

	48. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+1 +/–
	Сообщение от pavlinux (ok) on 08-Янв-14, 17:13
	>> libXfont > кто-то этим ещё пользуется? Все давно же закопали исковые шрифты. Нукась, покаж непорезанный вывод # lsof | grep libXfont
	Ответить | Правка | ^ к родителю #11 | Наверх | Cообщить модератору

	74. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	–1 +/–
	Сообщение от Аноним (??) on 08-Янв-14, 20:27
	$ lsof | grep libXfont $ видимо никто.
	Ответить | Правка | ^ к родителю #48 | Наверх | Cообщить модератору

	76. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+2 +/–
	Сообщение от pavlinux (ok) on 08-Янв-14, 22:16
	Пичалька "... библиотека libXfont используется во всех вариантах X-серверов, в том числе том, что выполняется с правами пользователя root ..." От рута пускай lsof
	Ответить | Правка | ^ к родителю #74 | Наверх | Cообщить модератору

	97. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+/–
	Сообщение от Аноним (??) on 09-Янв-14, 04:49
	действительно ошибочка sudo lsof | grep -i libXfont X         1711            root  mem       REG      253,4     221776    1183667 /usr/lib/libXfont.so.1.4.1
	Ответить | Правка | ^ к родителю #76 | Наверх | Cообщить модератору

	113. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+/–
	Сообщение от pavlinux (ok) on 09-Янв-14, 13:01
	В этом-то вся фигня. Грузилось бы не от рута, была бы не уязвимость, а просто баг.
	Ответить | Правка | ^ к родителю #97 | Наверх | Cообщить модератору

	63. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+2 +/–
	Сообщение от wulf (ok) on 08-Янв-14, 19:08
	> кто-то этим ещё пользуется? Все давно же закопали исковые шрифты. Я ими пользуюсь. У них есть, как минимум, 2 киллер-фичи: 1. Независимость от костыля под названием "хинтинг" 2. Хорошие гарнитуры "adobe-helvetica" и "misc-fixed" почти "искаропки"
	Ответить | Правка | ^ к родителю #11 | Наверх | Cообщить модератору

	83. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	–4 +/–
	Сообщение от SergMarkov (ok) on 09-Янв-14, 01:35
	>> кто-то этим ещё пользуется? Все давно же закопали исковые шрифты. > Я ими пользуюсь. У них есть, как минимум, 2 киллер-фичи: > 1. Независимость от костыля под названием "хинтинг" Независимость от хорошего отображения идет в комплекте :-)
	Ответить | Правка | ^ к родителю #63 | Наверх | Cообщить модератору

	115. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+/–
	Сообщение от wulf (ok) on 09-Янв-14, 13:29
	> Независимость от хорошего отображения идет в комплекте :-) Гыыыыыыы. Сразу чувствуется человек ничего не видевший кроме размытых федор и убунт, косящих под макось. Могу посоветовать сделать следующее: 1. Попросить Шигорина отсыпать чуток Альту. В нем в битовые шрифты, по крайней мере раньше,  были включены кириллические глифы для стандартных x-шрифтов, когда-то готовившиеся Болховитяновым для включения в на тот момент еще XFree, но так и не попавшие туда. 2. Левак под названием xorg-fonts-cyrillic категорически не ставить ни в коем случае 3. Настроить X-ы проглотить шрифты из п.1 4. Настроить gtk и qt на стандартные X-овые битовые Adobe Helvetica 12 pt в качестве пропорционального и misc-fixed в качестве моноширинного. 5. Позапускать различный софт, тихо прифигеть и понять что за последние 25 лет прогресса в шрифтах для пользовательских интерфейсов не наблюдалось. P.S. Размытые символы в интерфейсах пользовательских программ я считаю шагом в сторону, а зависимость изображения глифа от фазы луны, что получается от применения хинтинга в векторных шрифтах - вообще багом.
	Ответить | Правка | ^ к родителю #83 | Наверх | Cообщить модератору

	118. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	–1 +/–
	Сообщение от SergMarkov (ok) on 09-Янв-14, 13:43
	Ностальгия по вшитым в ПЗУ шрифтам тоже идет в комплекте? :-) Не надо считать шрифтовиков за идиотов - люди десятилетиями стараются сделать их лучше, чем битовая хренотень. Helvetica хороший шрифт, но уже давно есть и получше
	Ответить | Правка | ^ к родителю #115 | Наверх | Cообщить модератору

	130. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+1 +/–
	Сообщение от wulf (ok) on 09-Янв-14, 14:55
	> Ностальгия по вшитым в ПЗУ шрифтам тоже идет в комплекте? :-) Не идет. Есть, как минимум 4 фатальных недостатка, на примере VGA: 1. Только моноширинные с фиксированной шириной 9px 2. Только 3 размера в высоту, притом не самых удобных. 3. Только однобайтовые кодировки. 4. В массе своей сделаны людьми далекими от проектирования шрифтов > Не надо считать шрифтовиков за идиотов - люди десятилетиями стараются сделать их > лучше, чем битовая хренотень. Я уже 2 раза написал область применения битовых шрифтов и почему они там лучше векторных. 3-й раз не буду, все-равно не дойдет. > Helvetica хороший шрифт, но уже давно есть и получше Абсолютно голословное утверждение. Для начала советую составить критерии для отбора шрифта для UI и потом уже выяснить какой-же лучше. Для затравки рекомендую подумать, почему всегда используются не оптимизированные для чтения шрифты, т.е. с засечками, а гротески. Ответ на этот вопрос и скажет, почему все шрифты для UI будут клонами Helvetica, а с уменьшением размеров символов будут от нее вообще неотличимы. Задача вписывания символа латиницы в знакоместо при ограничениях на количество пикселей и читаемость текста уже решена оптимально несколько десятков лет тому назад и, как показывает история, новых сильно отличающихся решений не предвидится.
	Ответить | Правка | ^ к родителю #118 | Наверх | Cообщить модератору

	140. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	–1 +/–
	Сообщение от SergMarkov (ok) on 09-Янв-14, 19:49
	Я согласен только с одним - когда яббло изобретет мониторы SuperHertina c разрешением 20000*10000, то битовые шрифты будут иметь преимущества, но сейчас нет, и именно из-за недостатки техники, а вовсе не потому что они изначально корявые. Все эти методы улучшения придуманы только из-за недостатков техники, а не из-за недостатков самих шрифтов, но эти улучшалки бесполезно применять к битовым шрифтам и другой техники сейчас нет.
	Ответить | Правка | ^ к родителю #130 | Наверх | Cообщить модератору

	146. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+/–
	Сообщение от Michael Shigorin (ok) on 10-Янв-14, 05:33
	> Я согласен только с одним - когда [...] то битовые шрифты будут иметь преимущества 12x22 прекрасно смотрится на нынешних дисплеях достаточно высокого разрешения в качестве консольного шрифта, если что.  Это ещё сановские.
	Ответить | Правка | ^ к родителю #140 | Наверх | Cообщить модератору

	147. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	–1 +/–
	Сообщение от SergMarkov (ok) on 10-Янв-14, 14:45
	>> Я согласен только с одним - когда [...] то битовые шрифты будут иметь преимущества > 12x22 прекрасно смотрится на нынешних дисплеях достаточно высокого разрешения в качестве > консольного шрифта, если что.  Это ещё сановские. Консольного шрифта в голой консоли имеется ввиду? Может быть, откровенного говоря, я ее наблюдаю только при загрузке или когда запускаю сборку чего-то большого в  другой консоли. Вполне возможно, что битовые шрифты будут иметь свои преимущества на еще не созданных мониторах супервысокого разрешения. Но это будут уже совсем другие битовые шрифты.
	Ответить | Правка | ^ к родителю #146 | Наверх | Cообщить модератору

	154. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+/–
	Сообщение от Michael Shigorin (ok) on 11-Янв-14, 23:39
	> Консольного шрифта в голой консоли имеется ввиду? Виноват, это было легче понять именно так.  Подразумевал "шрифта, используемого в графическом эмуляторе терминала".
	Ответить | Правка | ^ к родителю #147 | Наверх | Cообщить модератору

	156. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+/–
	Сообщение от Led (ok) on 12-Янв-14, 00:51
	>> Я согласен только с одним - когда [...] то битовые шрифты будут иметь преимущества > 12x22 прекрасно смотрится на нынешних дисплеях достаточно высокого разрешения в качестве > консольного шрифта, если что.  Это ещё сановские. О, так для таких как мы есть "fbcon=font:SUN12x22" в параметрах ядра. Для ядер (знаешь для каких) это изначально возможно было.
	Ответить | Правка | ^ к родителю #146 | Наверх | Cообщить модератору

	145. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+/–
	Сообщение от Michael Shigorin (ok) on 10-Янв-14, 05:31
	> 1. Попросить Шигорина отсыпать чуток Альту. Совершенно излишне, можно взять и самому. :) > В нем в битовые шрифты, по крайней мере раньше,  были включены кириллические глифы > для стандартных x-шрифтов, когда-то готовившиеся Болховитяновым для включения > в на тот момент еще XFree, но так и не попавшие туда. http://packages.altlinux.org/ru/search?query=fonts-bitmap-cy... > 3. Настроить X-ы проглотить шрифты из п.1 В альте сами.  Странно, почему-то не вижу rfx в дебиане. > P.S. Размытые символы в интерфейсах пользовательских программ я считаю шагом в сторону На эту тему знаю, что у разных людей глаза разные...
	Ответить | Правка | ^ к родителю #115 | Наверх | Cообщить модератору

	148. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	–1 +/–
	Сообщение от SergMarkov (ok) on 10-Янв-14, 14:49
	>> 1. Попросить Шигорина отсыпать чуток Альту. > Совершенно излишне, можно взять и самому. :) Утянул fonts-bitmap-cyr_rfx-iso10646-0400 :-) Классный в пакете список майнтейнеров.. Список всех майнтейнеров, принимавших участие в данной и/или предыдущих сборках пакета: ALT QA Team Robot Alexey Dyachenko Игорь Власенко :-)
	Ответить | Правка | ^ к родителю #145 | Наверх | Cообщить модератору

	151. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+1 +/–
	Сообщение от wulf (ok) on 10-Янв-14, 23:28
	> http://packages.altlinux.org/ru/search?query=fonts-bitmap-cy... Михаил, Вы поражаете :-) Это называется "Угадал все буквы но не смог прочитать слово". Конечно я имел ввиду шрифты cyr_rfx, но не в виде в котором их выложил автор, т.е. набора кириллических символов для iso10646-0400. В таком виде они присутствуют во многих дистрибутивах. Подразумевались то, что в альте их интегрировали непосредственно в стандартные x-овые шрифты, как это должно было бы случится в случае несостоявшегося вливания в XFree. Смотри набор патчей к http://packages.altlinux.org/ru/Sisyphus/srpms/fonts-bitmap-... . А вот этого уже в других дистрибутивах, насколько я знаю, нету :-)
	Ответить | Правка | ^ к родителю #145 | Наверх | Cообщить модератору

	152. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+/–
	Сообщение от wulf (ok) on 11-Янв-14, 00:48
	Чтобы не быть голословным, сделал скриншот с только битовыми шрифтами. На скриншоте wireshark (gtk2), virtualbox (qt4), urxvt (pure xlib). В фоне, правда, firefox с MS-овскими ttf-ами, но это я изменить не могу. 99,9% веба верстается именно под них. http://postimg.org/image/v5ijoqjn1/full/
	Ответить | Правка | ^ к родителю #151 | Наверх | Cообщить модератору

	153. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+2 +/–
	Сообщение от arisu (ok) on 11-Янв-14, 03:09
	в первый раз за долгое время вижу нормальные шрифты на скриншотах! а то я думал, у всех уже сопли мозг съели.
	Ответить | Правка | ^ к родителю #152 | Наверх | Cообщить модератору

	155. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+/–
	Сообщение от Michael Shigorin (ok) on 11-Янв-14, 23:42
	> Это называется "Угадал все буквы но не смог прочитать слово". Так было удобнее сослаться на всю группу сразу :-) > Подразумевались то, что в альте их интегрировали непосредственно в стандартные x-овые > шрифты, как это должно было бы случится в случае несостоявшегося вливания в XFree. А вот этого не знал, спасибо.  Может, добавите своей рукой к страничке http://www.altlinux.org/Features?
	Ответить | Правка | ^ к родителю #151 | Наверх | Cообщить модератору

	157. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+/–
	Сообщение от wulf (ok) on 12-Янв-14, 14:18
	> Может, добавите своей рукой к страничке http://www.altlinux.org/Features? Оставляю эту честь Вам. Мне сначала надо проверить что эти патчи не только присутствуют, но и последовательно накладываются->компилируются->устанавливаются->регистрируются в xorg.conf->регистрируются в fontconfig.conf->отображаются. А желание устанавливать ALT только ради этого - отсутствует. 10 лет назад все было ОК, как сейчас - не знаю. Вообще, если хочется узнать больше о происхождении этого "привета от BlackCat-а" можно почитать гномовский мэйллист https://mail.gnome.org/archives/gnome-cyr/2002-January/msg00...
	Ответить | Правка | ^ к родителю #155 | Наверх | Cообщить модератору

	158. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+/–
	Сообщение от Michael Shigorin (ok) on 15-Янв-14, 18:55
	>> Может, добавите своей рукой к страничке http://www.altlinux.org/Features? Добрался, добавил; спасибо! > Мне сначала надо проверить что эти патчи не только присутствуют, но и последовательно > накладываются->компилируются->устанавливаются-> > регистрируются в xorg.conf->регистрируются в fontconfig.conf Это видно и по пакету: http://packages.altlinux.org/en/Sisyphus/srpms/fonts-bitmap-... http://packages.altlinux.org/en/Sisyphus/srpms/fonts-bitmap-... > ->отображаются. Факт. :) > А желание устанавливать ALT только ради этого - отсутствует. Если что, то альт "на посмотреть" можно быстро взять по ссылкам с http://altlinux.org/regular и засунуть в виртуалку; на этих LiveCD работает и apt-get. > https://mail.gnome.org/archives/gnome-cyr/2002-January/msg00... (KOI8-R) М-ндя, узнаю Лёню.
	Ответить | Правка | ^ к родителю #157 | Наверх | Cообщить модератору

	95. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+1 +/–
	Сообщение от arisu (ok) on 09-Янв-14, 04:29
	> Все давно же закопали исковые шрифты. отучаемся говорить за всю сеть.
	Ответить | Правка | ^ к родителю #11 | Наверх | Cообщить модератору

12. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	–2 +/–
Сообщение от бедный буратино (ok) on 08-Янв-14, 12:44
- бат вай? - бат хау? // английский юмор в смысле, а как этим пользоваться? иксовые шрифты ставятся один раз, и на всю жизнь.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	20. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+1 +/–
	Сообщение от Аноним (??) on 08-Янв-14, 13:56
	> в смысле, а как этим пользоваться? иксовые шрифты ставятся один раз, А иксовый клиент свои шрифты подпихнуть может?
	Ответить | Правка | ^ к родителю #12 | Наверх | Cообщить модератору

	24. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+1 +/–
	Сообщение от pavel_simple (ok) on 08-Янв-14, 14:40
	man xset
	Ответить | Правка | ^ к родителю #12 | Наверх | Cообщить модератору

15. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+/–
Сообщение от Аноним (??) on 08-Янв-14, 13:27
Debian. Обновления пришли незадолго до прочтения этой новости.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	22. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+/–
	Сообщение от Яйцассыром on 08-Янв-14, 14:13
	убунту. обновления шрифтов также недавно пришли
	Ответить | Правка | ^ к родителю #15 | Наверх | Cообщить модератору

	37. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	–1 +/–
	Сообщение от Michael Shigorin (ok) on 08-Янв-14, 16:14
	> Debian. Обновления пришли незадолго до прочтения этой новости. http://packages.altlinux.org/ru/Sisyphus/srpms/libXfont/chan... :)
	Ответить | Правка | ^ к родителю #15 | Наверх | Cообщить модератору

	38. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+1 +/–
	Сообщение от Andrey Mitrofanov on 08-Янв-14, 16:19
	>> незадолго до прочтения этой новости. "Опасная уязвимость в X.Org, присутствующая с 1991 года"     +/–      Сообщение от opennews (ok) on 08-Янв-14, 11:16 (tz по всей видимости MSK) >packages.altlinux.org/ru/Sisyphus/srpms/libXfont/changelog :) Миша, а почему там (на странице) нет _времени_, а только дата? Если уж *наперегонки*, то и время с секундной скоростью, и тайм-зону. И не время чендж-лога, а время аплоада?
	Ответить | Правка | ^ к родителю #37 | Наверх | Cообщить модератору

	53. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	–1 +/–
	Сообщение от Michael Shigorin (ok) on 08-Янв-14, 17:30
	>>packages.altlinux.org/ru/Sisyphus/srpms/libXfont/changelog :) > Миша, а почему там (на странице) нет _времени_, а только дата? Потому что таков формат rpm %changelog. > Если уж *наперегонки*, то и время с секундной скоростью, и тайм-зону. Наперегонки -- это к Шумахеру. PS: в смысле это было "me too". :) > И не время чендж-лога, а время аплоада? http://git.altlinux.org/tasks/archive/done/_108/111475/logs/... (UTC) https://bugzilla.altlinux.org/show_bug.cgi?id=19202
	Ответить | Правка | ^ к родителю #38 | Наверх | Cообщить модератору

	127. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+/–
	Сообщение от Led (ok) on 09-Янв-14, 14:47
	> Наперегонки -- это к Шумахеру. Нехорошо так говорить.
	Ответить | Правка | ^ к родителю #53 | Наверх | Cообщить модератору

	58. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+/–
	Сообщение от Аноним (??) on 08-Янв-14, 18:16
	угу. Только это нестабильная ветка, а в стабильной Built: almost 2 years ago http://packages.altlinux.org/en/p7/srpms/libXfont
	Ответить | Правка | ^ к родителю #37 | Наверх | Cообщить модератору

	59. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+/–
	Сообщение от Аноним (??) on 08-Янв-14, 18:23
	в то время как в дебиан уже давно бэкпортировали исправление.
	Ответить | Правка | ^ к родителю #58 | Наверх | Cообщить модератору

	90. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	–1 +/–
	Сообщение от Michael Shigorin (ok) on 09-Янв-14, 02:59
	> угу. Только это нестабильная ветка, а в стабильной > Built: almost 2 years ago Угу -- завтра cas@ проверит и отправит, думаю.  Соответственно в репозитории послезавтра.
	Ответить | Правка | ^ к родителю #58 | Наверх | Cообщить модератору

	92. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+/–
	Сообщение от Аноним (??) on 09-Янв-14, 04:03
	он один проверяет?
	Ответить | Правка | ^ к родителю #90 | Наверх | Cообщить модератору

	98. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+/–
	Сообщение от Michael Shigorin (ok) on 09-Янв-14, 04:49
	> он один проверяет? Перед пропуском в стабильный бранч -- скорее да.
	Ответить | Правка | ^ к родителю #92 | Наверх | Cообщить модератору

	96. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	–1 +/–
	Сообщение от arisu (ok) on 09-Янв-14, 04:31
	> Debian. Обновления пришли незадолго до прочтения этой новости. мы все с нетерпением ждали, пока ты нам это расскажешь.
	Ответить | Правка | ^ к родителю #15 | Наверх | Cообщить модератору

21. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+2 +/–
Сообщение от Аноним (??) on 08-Янв-14, 14:05
Они первый раз что-ли cppcheck запустили?
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	29. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+1 +/–
	Сообщение от Аноним (??) on 08-Янв-14, 15:47
	Ну да а че
	Ответить | Правка | ^ к родителю #21 | Наверх | Cообщить модератору

	35. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+/–
	Сообщение от Аноним (??) on 08-Янв-14, 16:12
	дауж это самое забавное
	Ответить | Правка | ^ к родителю #21 | Наверх | Cообщить модератору

31. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	–4 +/–
Сообщение от iZEN (ok) on 08-Янв-14, 15:52
Подтверждаю. Есть такое обновление: http://www.freshports.org/x11-fonts/libXfont/
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	34. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+4 +/–
	Сообщение от Andrey Mitrofanov on 08-Янв-14, 16:11
	> Подтверждаю. Есть такое обновление: http://www.freshports.org/x11-fonts/libXfont/ Не-не-не, дэвид блейн. Твоим палёным портам мы верим ещё меньше, чем lists.x.org и git.fd.o. От тебя - ни коммита, ни ссылки! А то потом паники ядра начнём запретом версий джаввы "лечить". >/<
	Ответить | Правка | ^ к родителю #31 | Наверх | Cообщить модератору

41. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+1 +/–
Сообщение от ip1981 (ok) on 08-Янв-14, 16:28
libxfont (1:1.4.7-1) unstable; urgency=high   * New upstream release     + CVE-2013-6462: unlimited sscanf overflows stack buffer in       bdfReadCharacters()   * Don't put dbg symbols from the udeb in the dbg package.   * dev package is no longer Multi-Arch: same (closes: #720026).   * Disable support for connecting to a font server.  That code is horrible and     full of holes.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	42. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+/–
	Сообщение от ip1981 (ok) on 08-Янв-14, 16:30
	-- Julien Cristau <jcristau@debian.org>  Tue, 07 Jan 2014 17:51:29 +0100
	Ответить | Правка | ^ к родителю #41 | Наверх | Cообщить модератору

	45. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+1 +/–
	Сообщение от Andrey Mitrofanov on 08-Янв-14, 16:58
	> libxfont (1:1.4.7-1) unstable; urgency=high >   * New upstream release >     + CVE-2013-6462: unlimited sscanf overflows stack buffer in >       bdfReadCharacters() >   * Don't put dbg symbols from the udeb in the dbg package. >   * dev package is no longer Multi-Arch: same (closes: #720026). >   * Disable support for connecting to a font server. That code is horrible and >     full of holes. А вот и время [чендж-лога] до секунды с тайм-зоной! +libxfont (1:1.4.7-1) unstable; + -- Julien Cristau <jcristau@debian.org>  Tue, 07 Jan 2014 17:51:29 +0100 20:51:29 по MSK ---- Желающие посоресноваться могут заглянуть сюда: https://security-tracker.debian.org/tracker/CVE-2013-6462 В забеге участвуют версии squeeze =oldstable (security) и wheezy =stable (security) от 26 декабря. +libxfont (1:1.4.1-4) squeeze-security; urgency=high +  * unlimited sscanf can overflow stack buffer in bdfReadCharacters() + -- Julien Cristau <jcristau@debian.org>  Thu, 26 Dec 2013 21:36:57 +0100 +libxfont (1:1.4.5-3) wheezy-security; urgency=high +  * unlimited sscanf can overflow stack buffer in bdfReadCharacters() + -- Julien Cristau <jcristau@debian.org>  Thu, 26 Dec 2013 21:54:48 +0100 author    Alan Coopersmith <alan.coopersmith@oracle.com>    2013-12-24 02:34:02 (GMT) committer    Alan Coopersmith <alan.coopersmith@oracle.com>    2013-12-31 02:09:45 (GMT) Дебиановский патч ссылается аж на 17ое сентября +From b07483b605e77ea475b97d5dc829a7d5eb10a5d6 Mon Sep 17 00:00:00 2001 +From: Alan Coopersmith <alan.coopersmith@oracle.com> +Date: Mon, 23 Dec 2013 18:34:02 -0800
	Ответить | Правка | ^ к родителю #41 | Наверх | Cообщить модератору

	52. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	–1 +/–
	Сообщение от pavlinux (ok) on 08-Янв-14, 17:26
	$ find /usr/share/fonts -name \*.[bB][dD][fF] $ Опа, опа, ганг-гам-стайл...
	Ответить | Правка | ^ к родителю #45 | Наверх | Cообщить модератору

	54. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+1 +/–
	Сообщение от Andrey Mitrofanov on 08-Янв-14, 17:32
	>Как жить, Митрофаныч?! проспись, завтра на работу.
	Ответить | Правка | ^ к родителю #52 | Наверх | Cообщить модератору

	55. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	–2 +/–
	Сообщение от pavlinux (ok) on 08-Янв-14, 17:41
	>>Как жить, Митрофаныч?! > проспись, завтра на работу. /tmp/libXfont-1.4.7/src > make ... CC       dirfile.lo dirfile.c: In function 'FontFileReadDirectory': dirfile.c:117:2: warning: format not a string literal, argument types not checked [-Wformat-nonliteral] 113 if (format[0] == '\0') 114            sprintf(format, "%%%ds %%%d[^\n]\n", 115                MAXFONTFILENAMELEN-1, MAXFONTNAMELEN-1); 116 117        while ((count = fscanf(file, format, file_name, font_name)) != EOF) { Чо, ещо одна бага?!! :D Шлангу тоже не понравилось dirfile.c:117:31: warning: format string is not a string literal [-Wformat-nonliteral]         while ((count = fscanf(file, format, file_name, font_name)) != EOF) {                                      ^~~~~~   CC       ftenc.lo ftenc.c:90:33: warning: variable 'reg' is uninitialized when used here [-Wuninitialized]         if(strlen(enc) + strlen(reg) > 18)                                 ^~~ ftenc.c:71:26: note: initialize the variable 'reg' to silence this warning     const char *enc, *reg;                          ^                           = NULL ftenc.c:90:19: warning: variable 'enc' is uninitialized when used here [-Wuninitialized]         if(strlen(enc) + strlen(reg) > 18)                   ^~~ ftenc.c:71:20: note: initialize the variable 'enc' to silence this warning     const char *enc, *reg;                    ^                     = NULL 2 warnings generated.   CC       pcfread.lo pcfread.c:490:21: warning: comparison of unsigned expression < 0 is always false [-Wtautological-compare]         if (bitmapSizes[i] < 0) goto Bail;             ~~~~~~~~~~~~~~ ^ ~ 1 warning generated.
	Ответить | Правка | ^ к родителю #54 | Наверх | Cообщить модератору

69. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+/–
Сообщение от Vkni (ok) on 08-Янв-14, 19:46
С ужасом думаю, что же обнаружится, если прогнать через PVS. :-)
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	72. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	–1 +/–
	Сообщение от Ури on 08-Янв-14, 20:04
	Ты что, pvs же проприетарщина! Только открытый софт.
	Ответить | Правка | ^ к родителю #69 | Наверх | Cообщить модератору

	75. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+/–
	Сообщение от Vkni (ok) on 08-Янв-14, 20:50
	> Ты что, pvs же проприетарщина! Только открытый софт. PVS просто дико неудобна для проверки X'ов. Именно из-за того, что код PVS закрыт.
	Ответить | Правка | ^ к родителю #72 | Наверх | Cообщить модератору

77. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	–3 +/–
Сообщение от pavlinux (ok) on 08-Янв-14, 22:19
В общем, я сделал по злому :) $ ./configure --disable-bdfformat --prefix=/usr --libdir=/usr/lib64; make; make install; Ну а чё, ни одного BDF шрифта не нашёл, накой хрен оно нужно.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	80. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+2 +/–
	Сообщение от Аноним (??) on 09-Янв-14, 00:49
	> $ ./configure --disable-bdfformat --prefix=/usr --libdir=/usr/lib64; make; make install; Это че? На зло маме отморо^W^W^W поставил LFS?
	Ответить | Правка | ^ к родителю #77 | Наверх | Cообщить модератору

	86. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	–3 +/–
	Сообщение от pavlinux (ok) on 09-Янв-14, 02:09
	Ну а фигли, к тому же оптимизация под мой проц.
	Ответить | Правка | ^ к родителю #80 | Наверх | Cообщить модератору

	91. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+1 +/–
	Сообщение от Sylvia (ok) on 09-Янв-14, 03:31
	в гентах если что тоже обновили ;D зачем же лфсничать
	Ответить | Правка | ^ к родителю #86 | Наверх | Cообщить модератору

	93. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+1 +/–
	Сообщение от Аноним (??) on 09-Янв-14, 04:08
	мяу
	Ответить | Правка | ^ к родителю #91 | Наверх | Cообщить модератору

	112. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	–2 +/–
	Сообщение от pavlinux (ok) on 09-Янв-14, 12:57
	Зато ещё 4 варнинга закрыл (см. выше)
	Ответить | Правка | ^ к родителю #91 | Наверх | Cообщить модератору

87. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	–1 +/–
Сообщение от Аноним (??) on 09-Янв-14, 02:36
Мда, проблемка-то старше меня и подовляющего большинства остальных анонимусов здеся.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

116. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	–3 +/–
Сообщение от linux must _RIP__ on 09-Янв-14, 13:31
1. Многочисленные уязвимости безопасности в ядре Linux   http://securityvulns.ru/news/Linux/kernel/1401.html   Опубликовано: 8 января 2014 г.   Источник:     BUGTRAQ   Тип:          библиотека   Опасность:    9   Описание:     Утечка информации в ptrace, повышение привилегий через функции                  отладки, слабый PRNG генератор в cprng, DoS в сетевом                  функционале, многочисленные целочисленные переполнения,                  переполнения буфера в драйверах USB, WiMax и других                  устройств, кратковременные условия в реализации shared                  memory, неиницилизированная память в UDP fragmentation                  offload.   Продукты:     LINUX: kernel 2.6                 LINUX: kernel 3.11                 LINUX: kernel 3.12
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	128. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+/–
	Сообщение от Led (ok) on 09-Янв-14, 14:52
	Многочисленные высеры MS-табуретки, вызванные хроническим батхэртом.
	Ответить | Правка | ^ к родителю #116 | Наверх | Cообщить модератору

	131. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+/–
	Сообщение от Аноним (??) on 09-Янв-14, 15:28
	> http://securityvulns.ru/news/Linux/kernel/1401.html Внимательно читаем до конца. Оригинальный текст: http://securityvulns.ru/docs30152.html "The problem can be corrected by updating your system to the following package versions: Ubuntu 13.10: linux-image-3.11.0-15-generic   3.11.0-15.23 linux-image-3.11.0-15-generic-lpae  3.11.0-15.23" Усё. Закрыто. Поищи еще чего-нибудь. :)
	Ответить | Правка | ^ к родителю #116 | Наверх | Cообщить модератору

	134. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+/–
	Сообщение от Аноним (??) on 09-Янв-14, 17:26
	Вы процитировали http://www.ubuntu.com/usn/usn-2075-1/ Это сборное обновление к пакету с ядром из состава Ubuntu 13.10, там собраны дыры за несколько месяцев. Например, CVE-2013-2929 поправлена ещё в апреле прошлого года. Все уязвимости минорные (в secunia им присвоен минимальный уровень опасности), т.е. в лучшем случае DoS или возможность получить значения пары байт памяти ядра. Поэтому для пакета их так много накопили, так как нет смысла без повода дергать пользователей ребутить систему.
	Ответить | Правка | ^ к родителю #116 | Наверх | Cообщить модератору

	142. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+1 +/–
	Сообщение от pavlinux (ok) on 09-Янв-14, 22:13
	> 1. Многочисленные уязвимости безопасности в ядре Linux >   http://securityvulns.ru/news/Linux/kernel/1401.html >   Опубликовано: 8 января 2014 г. >   Источник:     BUGTRAQ Баян! Пока вы там бухали! http://www.opennet.dev/opennews/art.shtml?num=38768#48 > Описание:   IPIP - юзают все! , UDP_CORK - если найдёшь софт где оно ваще есть. Alchemy LCD frame-buffer drivers - в каждом доме WiMax - так ваще у каждого. AACRAID - как же без него. Ну и конечно же PTRACE на IA64 > неиницилизированная память в UDP fragmentation offload. Пля, пичаль. У меня юзается патчик который спецом отрубает инициализацию памяти.
	Ответить | Правка | ^ к родителю #116 | Наверх | Cообщить модератору

132. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	–5 +/–
Сообщение от iZEN (ok) on 09-Янв-14, 15:31
Нате вам: http://media.ccc.de/browse/congress/2013/30C3_-_5499_-_en_-_... - "In the past couple of months I've found 120 bugs there, and I'm not close to done." Обсуждение: http://www.rsdn.ru/forum/flame.comp/5422197.all
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	133. "Опасная уязвимость в X.Org, присутствующая с 1991 года"	+1 +/–
	Сообщение от Карбофос (ok) on 09-Янв-14, 16:37
	умиляют камменты всяких баранов, которые никогда не использовали, или почти не использовали cppcheck. у этой утилиты может быть множество ложных срабатываний. например, если инициализация структуры выносится в отдельную подпрограмму. и некоторые другие тонкости. зато такие "спецы" начинают сразу разводить словесный понос, важно почёсывая своё ЧСВ
	Ответить | Правка | ^ к родителю #132 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема