Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
Сообщение от opennews (??), 27-Окт-26, 10:41
В библиотеке zip-rs, написанной на языке Rust и насчитывающей около 10 млн загрузок в неделю, выявлена уязвимость (CVE-2026-115905), позволяющая создавать архивы, которые выглядят безобидными, но при распаковке из них извлекаются другие, изначально не показанные в списке, файлы. Файлы могут быть размещены в архиве вне структуры "Central Directory", из-за чего при просмотре списка файлов показывается одно содержимое, но при распаковке через API ZipStreamReader извлекаются другие файлы. Проблеме присвоен уровень опасности 10 из 10. Уязвимость исправлена в версии zip-rs 9.0.5... Подробнее: https://www.opennet.dev/opennews/art.shtml?num=66555
Ответить | Правка | Cообщить модератору

Сообщения

[Сортировка по ответам | RSS]

1. Сообщение от Аноним (1), 27-Окт-26, 10:41	+22 +/–
Не, ну это 10 из 10
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #46, #89

5. Сообщение от warlock66613 (ok), 27-Окт-26, 10:47	+3 +/–
я надеюсь что подобных уязвимостей будет всё больше, так как это значит что Rust используется всё более активно.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #57, #110

6. Сообщение от Аноним (132), 27-Окт-26, 10:48	–5 +/–
> Для разбора XML-разметки, используемой в SVG-файлах, в librsvg задействованы функции из Си-библиотеки libxml2 Я так понимаю, уязвимость в самой libxml2, а не librsvg, и вопрос - а в  libxml2 это исправлять не стали?
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #9, #69

7. Сообщение от Аноним (7), 27-Окт-26, 10:49	+2 +/–
Странно как-то, уязвимость "позволяющая создавать архивы, которые выглядят безобидными...". Разве тут проблема не в разных методах *извлечения*, из-за чего такие архивы (неважно где и как созданные) могут пройти проверки?
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #55

8. Сообщение от Аноним (8), 27-Окт-26, 10:50	+1 +/–
Нескучные уязвимости. А то заколебали уже сишные дыры в памяти. Скучно.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #44, #115

9. Сообщение от Аноним (1), 27-Окт-26, 10:51	+10 +/–
> Сбой возникает так как библиотека librsvg освобождает память под XML-элементы, которые ещё продолжают использоваться в парсере libxml2. Расто-программисты даже не могут память не могут правильно освободить, когда приходится с другими ЯП взаимодействовать.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6 Ответы: #13

11. Сообщение от Смузихеб забывший пароль (?), 27-Окт-26, 10:54	+3 +/–
> использованием разных заголовков при произвольном доступе > к архиву при помощи API ZipArchive и ... > API ZipStreamReader Но это ведь делается безопасно для памяти и без UB ? > librsvg...происходит обращение > к памяти после её освобождения :)))
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #18, #22

12. Сообщение от Аноним (18), 27-Окт-26, 10:56	+/–
Ошибки были в ансейв-коде?
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #139

13. Сообщение от VVVVVV (?), 27-Окт-26, 10:56	+1 +/–
Сишники не могут правильно освободить память в своем же ЯП
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #9 Ответы: #32, #41, #52, #175

18. Сообщение от Аноним (18), 27-Окт-26, 11:03	+/–
> :))) Что смешного? Сишная проблема протекла в ансейф блок. Растоманы прагматичны и много где базируются (пока что) на существующем коде, на который были потрачены колоссальные человеко-часов и которые вмиг не переписать. Со временем перепишут и все обертки будут ненужны
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11 Ответы: #98, #122

22. Сообщение от Жироватт (ok), 27-Окт-26, 11:04	+4 +/–
Да, RCE должно быть полностью безопасным для пользователя. И всегда иметь полностью предсказуемое поведение
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11

26. Сообщение от Аноним (26), 27-Окт-26, 11:09	+/–
ну как же так-то, а? оказывается, на расте тоже можно плохокодить. им, видимо, надо перед компиляцией, автоматически на ревизию к ИА код отправлять
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #42

32. Сообщение от Аноним (32), 27-Окт-26, 11:12	–2 +/–
Их этого можно сделать вывод, что в растовики не умеют работать с памятью, но компоненты, которым не надо работать с памятью, написать не спешат, и полагаются на код для взрослых людей. При чём тут ЯП не ясно.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13

37. Сообщение от Аноним (37), 27-Окт-26, 11:16	+1 +/–
> Для разбора XML-разметки, используемой в SVG-файлах, в librsvg задействованы функции из Си-библиотеки libxml2. Боже какой позор! Срочно выписать этих недоумков из растеров и приговорить к написанию кода на СИшке на 10 лет. Впрочем показательно - если у тебя в проекте есть СИшный код, то ошибки  памяти обеспечены.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #40

40. Сообщение от Метрика (?), 27-Окт-26, 11:19	+/–
Скажу больше если у тебя под капотом любого ЯП крутится машинный код которому глубоко пофиг на границы массивов и типизацию, ошибки обеспечены
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #37 Ответы: #48

41. Сообщение от Год лунпуса на десктопе (?), 27-Окт-26, 11:21	+2 +/–
100500 разных инструментов давно придумали для выявления таких технических багов (и я говорю не про ИИ - оно часто даже избыточно), просто не пиши код в блокноте.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13 Ответы: #50

42. Сообщение от warlock66613 (ok), 27-Окт-26, 11:22	–1 +/–
Тут ошибки вполне нормальные, на плохое качество кода они не указывают.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #26 Ответы: #95, #104

44. Сообщение от Метрика (?), 27-Окт-26, 11:26	–2 +/–
Ну компилятор недоглядел, бывает, отвлекся или устал, главное верить
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8 Ответы: #45

45. Сообщение от динур (?), 27-Окт-26, 11:26	+3 +/–
Ребенок, когда его ловят на шкодстве, тоже ссылается на маму, на папу, на любого, но только не на себя.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #44 Ответы: #112

46. Сообщение от Метрика (?), 27-Окт-26, 11:27	–4 +/–
Бери выше
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #204

48. Сообщение от Аноним (48), 27-Окт-26, 11:31	+1 +/–
Машинный код под капотом берется из святого духа? Или создается по инструкциям (код), в которых ошибка в типизации или границе массива потом может привести к крешу (в лучшем случае).
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #40 Ответы: #49

49. Сообщение от Метрика (?), 27-Окт-26, 11:34	+/–
Ну так компилятор пишут люди и они в миллионнных кодовых база часто ошибаются, так кто эти инструкции транслирует? Святой дух?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #48 Ответы: #67

50. Сообщение от а (?), 27-Окт-26, 11:35	+/–
как ты смеешь нападать на священный емакс с вскодом
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #41

52. Сообщение от Метрика (?), 27-Окт-26, 11:37	+3 +/–
Жизнь ржавого состоит в том, чтобы юзать си-либы и вопить какие они небезопасные, вечная борьба со здравым смыслом
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13 Ответы: #72

53. Сообщение от xsignal (ok), 27-Окт-26, 11:38	–1 +/–
Ну вот и всё, "волшебная таблетка" оказалась обычным сахаром... Ни от чего раст не избавляет, ни от чего не спасает.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #56, #58, #59

54. Сообщение от Аноним (58), 27-Окт-26, 11:39	–1 +/–
> используемой в SVG-файлах, в librsvg задействованы функции из Си-библиотеки libxml2 Отвратительно! Как они вообще додумались использовать libxml2 на богомерзкой, зная насколько он дыряв. Взяли бы pure-rust аналог и не проблемы бы не было.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #62, #138

55. Сообщение от Аноним (55), 27-Окт-26, 11:39	+2 +/–
это не уязвимость либы, это кривой формат zip-архива, либы правильно работают
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7

56. Сообщение от Метрика (?), 27-Окт-26, 11:40	–2 +/–
Это сразу было ясно, когда ни один крупный производитель софта не пересел на ржавого
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #53 Ответы: #76

57. Сообщение от Аноним (57), 27-Окт-26, 11:43	+11 +/–
То есть важно не отсутствие уязвимостей, а просто чтобы всё было на расте? Ну я догадывался.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5 Ответы: #90

58. Сообщение от Аноним (58), 27-Окт-26, 11:44	+4 +/–
> Ни от чего раст не избавляет, ни от чего не спасает. Как же не спасает? 10 из 10 же логическая, а не с памятью, LOL))
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #53 Ответы: #63, #142

59. Сообщение от Аноним (48), 27-Окт-26, 11:48	–1 +/–
> Ни от чего раст не избавляет, ни от чего не спасает. Совсем-совсем? А как же избавление от СИшников? В новости речь про 2 грубейших ошибки: - игнорирование части данных: логическая или, скорее, архитектураная проблема - использование дырявой либхмл2 К сожалению раст тут бессилен.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #53 Ответы: #64

60. Сообщение от Аноним (60), 27-Окт-26, 11:48	+2 +/–
забавно, кажется rust становится популярным. Матереет однако =)
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #79, #93

62. Сообщение от Аноним (48), 27-Окт-26, 11:49	+/–
Причем pure-rust аналог можно было с̶п̶и̶з̶ позаимствовать прямо их репозитория Хрома. Гугл уже провел работу по выкидыванию дыpяшечной libxml2 и замены на правильную. Вот к чему приводит лень.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #54

63. Сообщение от Аноним (57), 27-Окт-26, 11:50	+/–
> 10 из 10 же логическая, а не с памятью А, ну тогда норм, можно даже и не исправлять, раз не с памятью.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #58 Ответы: #66

64. Сообщение от Аноним (57), 27-Окт-26, 11:51	+1 +/–
То есть от сишников избавились, а других не завезли? То есть раст не про то, чтобы завести хороших программистов, а про то, чтобы избавиться от существующих?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #59 Ответы: #70

66. Сообщение от Аноним (66), 27-Окт-26, 11:53	+1 +/–
> можно даже и не исправлять Так исправили же. > раз не с памятью А на это гарантий и не давали))
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #63

67. Сообщение от Аноним (48), 27-Окт-26, 11:54	+1 +/–
> Ну так компилятор пишут люди и они в миллионнных кодовых база часто ошибаются И чтобы ошибатся меньше, они используют дополнительные инструменты "С 1.1 до 2.4 млн строк кода увеличен охват кодовой базы, вовлечённой в fuzzing-тестирование. Также был расширен используемый для fuzzing-тестирования инструментарий, а число применяемых для проверки fuzzing-движков увеличено с 12 до 15" (opennet.ru/opennews/art.shtml?num=60707) У разработчиков компилятора есть ресурсы это делать и тем не менее находятся ошибки.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #49

69. Сообщение от faa (?), 27-Окт-26, 11:56	+/–
На поддержку libxml2 забили.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6

70. Сообщение от Аноним (119), 27-Окт-26, 11:59	+2 +/–
> То есть от сишников избавились, а других не завезли? Каких других? А кто написал тот убогий код, про который мы читаем новость? Программисты везде одинаковые. Вопрос в средствах их контроля. > То есть раст не про то, чтобы завести хороших программистов, а про то, чтобы избавиться от существующих? Раст про то, чтобы уменьшить кол-во ошибок с памятью. Так как в новости речь про логическую ошибку и ошибку памяти в СИшной либе - то цель вроде выполняется.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #64 Ответы: #107

72. Сообщение от Аноним (72), 27-Окт-26, 12:02	+/–
Именно поэтому дырявые либы переписываются. Но от слова ПЕРЕПИСЫВАНИЕ у СИшников начинаются приступы бешенства и пена у рта. Конкретно в этом случае ничего не мешало взять гугловую либу.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #52 Ответы: #77, #84

75. Сообщение от Аноним (75), 27-Окт-26, 12:05	+/–
> Уязвимость может использоваться для обхода почтовых фильтров, антивирусных сканеров и прочих систем проверки безопасности. Такие скрытые возможности есть у какого-нибудь архиватора, ну, кроме zip-rs? С виду безобидный архив, а на деле... Время от времени может пригодиться.
Ответить | Правка | Наверх | Cообщить модератору

76. Сообщение от Аноним (76), 27-Окт-26, 12:05	+2 +/–
> Это сразу было ясно, когда ни один крупный производитель софта Гугл, не? AWS? Мелкомягкие со своим азуром? Может, НВидия? Про каких производителей софта идет речь?))
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #56 Ответы: #160, #224

77. Сообщение от Аноним (32), 27-Окт-26, 12:10	+/–
Кроме того, что её не сущестововало, и не факт, что она и сейчас имеет требуемую функциональность (и когда-нибудь будет иметь).
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #72

79. Сообщение от xsignal (ok), 27-Окт-26, 12:19	–2 +/–
Да кому он теперь нужен, если ИИ научился находить ошибки и уязвимости в Си-коде?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #60 Ответы: #81

81. Сообщение от Аноним (81), 27-Окт-26, 12:34	+1 +/–
> Да кому он теперь нужен, Куче фирм, которые пишут код, который используют миллионы людей. > если ИИ научился находить ошибки и уязвимости в Си-коде? Денег на токены хвати, запускать проверку после каждого коммита? ps жаль в гугле, амазоне и майкрософте не знают о гениальных опеннетовцев
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #79 Ответы: #87, #214

84. Сообщение от oneMetr (?), 27-Окт-26, 12:37	+/–
У нас на работе принят эвфемизм "улучшаем" или "дорабатываем". Т.е мы не переписываем, а дорабатываем. Мы Бизнесу нервы экономим, а они нам :)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #72 Ответы: #88

87. Сообщение от xsignal (ok), 27-Окт-26, 12:41    Скрыто ботом-модератором	+/–
> Куче фирм Да, тут ты наверно прав - только корпам он и нужен, чтобы запутывать код и делать закладки... > ps жаль в гугле, амазоне и майкрософте не знают о гениальных опеннетовцев Сомнительные ориентиры.. Особенно последний с их образцовым индусским-говнокодом.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #81 Ответы: #91

88. Сообщение от Аноним (88), 27-Окт-26, 12:43	+/–
> У нас на работе принят эвфемизм "улучшаем" или "дорабатываем". Т.е мы не переписываем, а дорабатываем. Мы Бизнесу нервы экономим, а они нам :) Хахаха, отлично! Надо взять на вооружение. У меня лид оформлял задачи переписывания абадонд либы как "глубокий рефакторинг" и "закрытие технического долга"))
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #84 Ответы: #118

89. Сообщение от Аноним (89), 27-Окт-26, 12:43	–2 +/–
Это 100 из 10, а сколько ещё такого нам приготовят растерманы в будущем?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #123

90. Сообщение от warlock66613 (ok), 27-Окт-26, 12:45	–6 +/–
Важно отсутствие undefined behavior, то есть синтаксическая корректность кода. Уменьшение количества и изменение характера уязвимостей -- приятный побочный эффект, а не самоцель. Отсутствие уязвимостей -- это идеал, к которому нужно стремиться, но который не так-то просто достичь, так что некоторое количество уязвимостей -- совершенно нормальная ситуация.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #57 Ответы: #103, #184, #197

91. Сообщение от Аноним (88), 27-Окт-26, 12:46	+/–
>> Куче фирм > Да, тут ты наверно прав - только корпам он и нужен, Не, корпам сферический код в вакуме не нужен. Ему нужен код, который решает задачи их клиентов. > чтобы запутывать код и делать закладки... пошла конспирология? >> ps жаль в гугле, амазоне и майкрософте не знают о гениальных опеннетовцев > Сомнительные ориентиры.. Ну, т.е все уважаемые фирмы которые разрабатывают ядро линукс и для опенсорса сделали больше чем толпа б0мже-горлопанов из Сообщества? Да, на таких стоит ориенироваться. > Особенно последний с их образцовым индусским-говнокодом. Можешь показать кто делает лучше? Вот в хурде наверное код хороший... правда никому не нужный.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #87

93. Сообщение от warlock66613 (ok), 27-Окт-26, 12:51	+/–
Да, скоро будем его ненавидеть (как известно, языки программирования делятся на те, которые все ненавидят, и на те, которые никто не использует). Но я пока ещё люблю.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #60

95. Сообщение от Аноним (89), 27-Окт-26, 12:57	+/–
> Сбой возникает так как библиотека librsvg освобождает память под XML-элементы, которые ещё продолжают использоваться в парсере libxml2.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #42 Ответы: #116

96. Сообщение от МИСАКА (?), 27-Окт-26, 12:58	+/–
Как-то местным растоманам очень нравится указывать на проблему в libxml2, но не очень хочется говорить про первую уязмимость Да, нет ошибок памяти и UB, но зато всплыло множество кривых рук
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #97

97. Сообщение от Аноним (97), 27-Окт-26, 13:13	+/–
> Как-то местным растоманам очень нравится указывать на проблему в libxml2, но не очень хочется говорить про первую уязмимость А что про нее говорить? Чуваки сознательно выкинули кусок информации (метадата). Тут бы даже формальная верификация не помогла, так как в контракт использование метадаты просто бы не добавили. От плохого ТЗ, получается ХЗ. > Да, нет ошибок памяти и UB, но зато всплыло множество кривых рук Очень много? Одна новость на сколько СИшных дыреней?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #96

98. Сообщение от Аноним (98), 27-Окт-26, 13:13	+/–
> Сишная проблема протекла в ансейф блок. А, ну это другое.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #18 Ответы: #149

99. Сообщение от Аноним (26), 27-Окт-26, 13:13	+1 +/–
что характерно, про Go гораздо меньше новостей про баги.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #101, #216

101. Сообщение от Аноним (101), 27-Окт-26, 13:26	+4 +/–
Просто здесь на него всем похер.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #99 Ответы: #105

103. Сообщение от черпало (?), 27-Окт-26, 13:35	–1 +/–
> Уменьшение количества и изменение характера уязвимостей -- приятный побочный эффект Ну точно троллишь же. Это знаешь, как сыночка-корзиночка всегда хорош и все делает правильно, так и ржа, как бы что ни происходило, фанаты будут рассказывать, что "некоторое количество уязвимостей -- совершенно нормальная ситуация" А зачем тогда всё это было? Бггг. > Важно отсутствие undefined behavior, то есть синтаксическая корректность кода И, как обычно, фанат немного в штанах запутался, но это ничего, бывает. Весьма показательный спич :)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #90 Ответы: #132, #229

104. Сообщение от черпало (?), 27-Окт-26, 13:40	+2 +/–
Их ужасные сишные дырени vs вполне нормальные растовые ошибки, не указывающие на плохое качество кода Я слышал, что однажды растовик написал без нейронки и ансейф блоков код, не переписывая что-то популярное, и у него отвалилась жеппаъ
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #42 Ответы: #106

105. Сообщение от Аноним (26), 27-Окт-26, 13:40	+3 +/–
да уж. Go гораздо меньше лулзов генерирует. потому что просто работает и есть не просит.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #101

106. Сообщение от Аноним (106), 27-Окт-26, 13:44	+/–
> Я слышал, что однажды растовик написал без нейронки а что не так с нейронками? Они отлично показали качество кода в ядре. Кажется пока рекорд 2000+ найденных CVE за месяц. Вон Линус тоже приобщился к использованию. > и ансейф блоков код, 80% крейтов не используют unsafe. > не переписывая что-то популярное, и у него отвалилась жеппаъ Но пруфов ты не предоставишь, потому что тогда жёпъ отвалится у тебя?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #104 Ответы: #114, #128

107. Сообщение от черпало (?), 27-Окт-26, 13:44	–1 +/–
Раст про то, чтоб теребить своё вялое моджо, рассказывая в курилке бывшим коллегам-одинэсникам умные слова, половина из которых непонятна, а половина услышана позавчера.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #70 Ответы: #109

108. Сообщение от опеншлёпивпродакшн (?), 27-Окт-26, 13:46	+1 +/–
Область загрузки файлов никогда не размещают там же, где их можно вызвать на испольнение. Как они вообще допускают эту возможность? Это проблема настройки веб-сервера и путей, а не zip-rs. И ничего архив не перезапишет. Таким людям нельзя доверять настройку vsftpd даже.
Ответить | Правка | Наверх | Cообщить модератору

109. Сообщение от Аноним (106), 27-Окт-26, 13:47	+1 +/–
> теребить своё вялое моджо, рассказывая в курилке бывшим коллегам-одинэсникам умные слова, половина из которых непонятна, а половина услышана позавчера. Sad to be you (c) Не₴, реально, если у тебя что-то там вялое, то сходи к врачу. Сейчас медицина весьма продвинулась со времен создания СИшки, может тебе помогут с твоей проблемой.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #107 Ответы: #111

110. Сообщение от опеншлёпивпродакшн (?), 27-Окт-26, 13:51	–5 +/–
> функции из Си-библиотеки libxml2 А виноват Rust. И распаковка в исполняемые области непонятных архивов. Тоже виноват Rust.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5

111. Сообщение от черпало (?), 27-Окт-26, 13:53	+/–
зачем мне к врачу-то? Вот, буквально в этом же треде выше специалисты мешают в одно синтаксис и андефанед бихейва, оправдывают ошибки раста, но не применяют логику эту ж к другим языкам. Такая избирательная слепота -- что-то очень странное.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #109 Ответы: #113

112. Сообщение от опеншлёпивпродакшн (?), 27-Окт-26, 13:55	+/–
Вероятно, потому что перестроение шаблонов поведения энергозатратно. В природе всё на экономии построено.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #45 Ответы: #166

113. Сообщение от Аноним (113), 27-Окт-26, 13:59	+1 +/–
> Такая избирательная слепота -- что-то очень странное. Да, человек явно не специалист в расте, тогда бы знал что в нем тоже есть UB (но конечно не так много как в других языках). Но про "вялое моджо" он не писал. В отличии от тебя. Возможно это просто игры подсознания и ты через шутку пытаешься избавиться от тревожности по поводу своего здоровья.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #111 Ответы: #117

114. Сообщение от черпало (?), 27-Окт-26, 14:00	+/–
С нейронками все так, работают, жужжат. Не о них разговор, а о растовиках. > Они отлично показали качество кода в ядре. > Кажется пока рекорд 2000+ найденных CVE за месяц. Прекрасно же, инструменты всё лучше и лучше! Всё починим -- будем жить. Растовики-то тут при чем? > 80% крейтов не используют unsafe. вот и я говорю > Но пруфов ты не предоставишь Ты понял сам, что сказал? Как я тебе могу предоставить пруфы на что-то не переписанное? Такое вообще есть?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #106 Ответы: #119

115. Сообщение от Аноним (132), 27-Окт-26, 14:06	+1 +/–
> А то заколебали уже сишные дыры в памяти. Тем временем в тексте новости: "из Си-библиотеки libxml2. Уязвимость вызвана"
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8

116. Сообщение от Аноним (132), 27-Окт-26, 14:07	+/–
Ну ты целиком то цитируй - "из Си-библиотеки libxml2"
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #95 Ответы: #140, #194

117. Сообщение от черпало (?), 27-Окт-26, 14:07    Скрыто ботом-модератором	+/–
А как назвать еще вынесение растовиками своей непрофессиональной состоятельности наружу? Улюлюканье про волшебный инструмент, что решит все проблемы? Сходи тред почитай, там прям с самого начала начинаются отмазы и юление. Как бы растишка в штанах не путался, виноват сишник. Кажется, именно так находят русский след во всем, бггг.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #113 Ответы: #120

118. Сообщение от Смузихеб забывший пароль (?), 27-Окт-26, 14:09	+/–
Опять же, "Доработка...", "Актуализация..."[кодовой базы/функционала/итд]
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #88 Ответы: #164

119. Сообщение от Аноним (119), 27-Окт-26, 14:14	+/–
> С нейронками все так, работают, жужжат. Не о них разговор, а о растовиках. Ну так использование нейронки сейчас получается плюс, а не минус? А раз так то если растовик использует нейронку - то он "молодец и не луddит", так выходит? >> Но пруфов ты не предоставишь > Ты понял сам, что сказал? > Как я тебе могу предоставить пруфы на что-то не переписанное? Такое вообще есть? не, это ты читал чем-то, но не глазами. Вопрос про пруф был к "Я слышал, что однажды ..." Может тебе соврали, а может это просто слуховые галюцинации, на фоне вялости чего-то там в курилке с коллегами.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #114

120. Сообщение от Аноним (119), 27-Окт-26, 14:17	+1 +/–
> А как назвать еще вынесение растовиками своей непрофессиональной состоятельности наружу? А с чего ты взял что он вообще растовик, а не троль? > Улюлюканье про волшебный инструмент, что решит все проблемы? Какой волшебный инструмент? Обычно про такое рассказывают те, кто даже растбук не читал -> приходим опять к предположению про троля > Как бы растишка в штанах не путался, виноват сишник. Чушь. Просто растишке не надо было использовать дырявую сишную либу. > Кажется, именно так находят русский след во всем, бггг. Ну если ты животное-маньяк который ворует-убивает-насилует, то логично что при каком-то шухере на тебя будут думать первым. И что удивительное - зачастую они оказываются правы. sad but true
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #117 Ответы: #125

122. Сообщение от Смузихеб забывший пароль (?), 27-Окт-26, 14:22	+1 +/–
это уже напоминает старое юм. выступление из разряда "кто сшил костюм" Получается, что, несмотря на трудозатраты по переписыванию, модули и проги как были дырявыми - так и останутся до тех пор, пока в них есть хоть что-то не на расте. Т.е пока на него всё не будет переписано. Похоже, навсегда. Ибо есть смутное подозрение, что однажды, ещё до того как на раст всё перепишут, придумают и начнут продвигать новый ЯП и переписывать в т.ч растовое уже на него
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #18 Ответы: #126

123. Сообщение от xPhoenix (ok), 27-Окт-26, 14:23	+/–
А при чём тут Rust? Его архитектура решает типовые проблемы с памятью, а не беды с башкой.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #89 Ответы: #137, #235

125. Сообщение от черпало (?), 27-Окт-26, 14:25	+/–
> А с чего ты взял что он вообще растовик, а не троль? Так ты в тред посмотри и скажи, есть тут хоть один не тролль? Или, может, большинство уверовавших ошиблись? > Чушь. Просто растишке не надо было использовать дырявую сишную либу. Жаль, что других нет. Жаль, что время -- это плоский круг, и в переписанном будут логические дырени. Потом все перейдут на пролог и лин, и появятся пространственные дырени, и вот тогда заживем. > Ну если ты животное-маньяк который ворует-убивает-насилует, то логично что при каком-то > шухере на тебя будут думать первым. Недостаточно сказать "логично", чтобы цепочка рассуждений стала истинной. Нужно еще гусей топтать и ждать ответного гудка.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #120 Ответы: #127

126. Сообщение от Аноним (126), 27-Окт-26, 14:29	+/–
> Получается, что, несмотря на трудозатраты по переписыванию, модули и проги как были дырявыми - так и останутся до тех пор, пока в них есть хоть что-то не на расте. Т.е пока на него всё не будет переписано. Да. Получается так. Если хочешь надежности - СИшные либы не используй. > Ибо есть смутное подозрение, что однажды, ещё до того как на раст всё перепишут, придумают и начнут продвигать новый ЯП и переписывать в т.ч растовое уже на него Тоже верно. Если появится что-то что позволит улучшить результат (например со встроенной формальной верификацией), то будут переписывать с раста на него. Это называется прогресс. Переписывали же с ассемблера на СИ, с СИ на С++, с паскаля на обжСИ, с джавы на котлин и тд. И никто не умер. А вот когда с СИ переписывают на раст, то прет какая-то неадекватная агрессия.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #122 Ответы: #131

127. Сообщение от Аноним (126), 27-Окт-26, 14:33	+/–
> Так ты в тред посмотри и скажи, есть тут хоть один не тролль? > Или, может, большинство уверовавших ошиблись? Уверовавших во что? >> Чушь. Просто растишке не надо было использовать дырявую сишную либу. > Жаль, что других нет. Уверен что нет? Гугл как-то решает этот вопрос в хроме. > Жаль, что время -- это плоский круг, и в переписанном будут логические дырени. Так в уже написанном тоже есть логические дырени + проблемы с памятью. > Потом все перейдут на пролог и лин, и появятся пространственные дырени, и вот тогда заживем. Лисп! И лисп машины достанем из музея. >> Ну если ты животное-маньяк который ворует-убивает-насилует, то логично что при каком-то >> шухере на тебя будут думать первым. > Недостаточно сказать "логично", чтобы цепочка рассуждений стала истинной. А она не становится истинной. Мы живем в мире предположений и вероятностей. Но логика подсказывает, что логично рассматривать вещи ранжируя их по вероятности.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #125

128. Сообщение от Смузихеб забывший пароль (?), 27-Окт-26, 14:33	+/–
Конечно хорошо. И раст, кстати, вполне неплохо с нейронками дружит. Может только так получиться, что потребность в проггерах на раст исчезнет до того как встанет в полный рост как раз по вышеупомянутой причине А сишники как кодили - так и продолжат
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #106 Ответы: #130

130. Сообщение от Аноним (-), 27-Окт-26, 14:40	+/–
> Конечно хорошо. И раст, кстати, вполне неплохо с нейронками дружит. У него есть плюс - малая кодовая база. Нейронки "отлично" натренировались на плохом коде, так что могут иногда выдавать просто феерический бред. (по опыту работы с С++). И closed loop который использует выдачу ошибки компилятора тоже ИИшка оценит. > Может только так получиться, что потребность в проггерах на раст исчезнет до того как встанет в полный рост как раз по вышеупомянутой причине Что значит в полный рост? Раст уже в ядре (второй разрешенный ЯП, тут плюсовикам слегка обидно), используется гуглом и майрософтом, амазоном и клоудфларей, нвидией и амд. Сейчас гит или MESA уже без него не соберешь. И это без учета кучи польтзовательского софта. Что должно случиться, чтобы раст встал в полный рост? Государственное требование на написание только на нем))? > А сишники как кодили - так и продолжат Примерно как кобольщики) Останутся только неподьемные проекты типа ядра. Вроде код еще пишется, но из кучи ниш уже выкинули, а из кучи выдавлевают постепенно. И то не факт что с нейронками это перестанет быть проблемой.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #128 Ответы: #133

131. Сообщение от черпало (?), 27-Окт-26, 14:45	+1 +/–
> Да. Получается так. > Если хочешь надежности - СИшные либы не используй. получается, ничего в мире нет надежного? и не было до появления б-гоизбранно раста и приспешников евойных? > Если появится что-то что позволит улучшить результат (например со встроенной формальной > верификацией), то будут переписывать с раста на него. А просто так нельзя, без встроенного? сел4 юзаешь или в опасносте сидишь? > Это называется прогресс. > Переписывали же с ассемблера на СИ, с СИ на С++, с паскаля > на обжСИ, с джавы на котлин и тд. И никто не умер. > А вот когда с СИ переписывают на раст, то прет какая-то неадекватная > агрессия. Здравый смысл у тебя умер. Не припомню, чтобы хоть кто-то из перечисленных тобой был настолько неадекватен и необразован, как современные растишички, так громко орал про дырени, проблемы джавы, и тд. Ничего подобного я никогда не видел. Нет никого более громкого, чем служители этого культа. И как так получается, что еще и очень недалеких? Агрессия понятна, к языку она не относится
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #126 Ответы: #134, #135, #154

132. Сообщение от Аноним (132), 27-Окт-26, 14:49	–2 +/–
Не, наиболее показательно то, что протекла си-библиотека libxml2, а накинулись на растовую librsvg. Подстава подстав для сишников.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #103 Ответы: #183

133. Сообщение от черпало (?), 27-Окт-26, 14:52	+/–
> Раст уже в ядре (второй разрешенный ЯП, тут плюсовикам слегка обидно), используется > гуглом и майрософтом, амазоном и клоудфларей, нвидией и амд. > Сейчас гит или MESA уже без него не соберешь. > И это без учета кучи польтзовательского софта. Ты уверен, что никакая студия инклюзивности и разнообразия не приложила к этому свою руку, что это не квоты? > Что должно случиться, чтобы раст встал в полный рост? > Государственное требование на написание только на нем))? Это шутка или ты и правда такого не слышал? Агрессивное толкание этого в массы -- еще одна причина любви и уважения. Да и зачем вообще все эти стандарты и спеки, можно вечно в альфа-версии сидеть. >> А сишники как кодили - так и продолжат > Примерно как кобольщики) Останутся только неподьемные проекты типа ядра. > Вроде код еще пишется, но из кучи ниш уже выкинули, а из > кучи выдавлевают постепенно. Все как кодили, так и продолжат, и только эти вот ведут себя как байкеры из саус-парка
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #130 Ответы: #141

134. Сообщение от Аноним (132), 27-Окт-26, 15:21	–1 +/–
> настолько неадекватен и необразован, как современные растишички Но use-after-free и прочие приколы почему-то именно у сишников. Неудобно получается...
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #131 Ответы: #136

135. Сообщение от Аноним (136), 27-Окт-26, 15:22	+/–
> получается, ничего в мире нет надежного? Абсолютно? Нет. С приемлимой надежностью - да. > и не было до появления б-гоизбранно раста и приспешников евойных? Как в анекдоте - мне не надо бежать быстрее медведя, мне надо бежать быстрее тебя. > А просто так нельзя, без встроенного? Если без встроенного, то программер скажем "мне лень ждать пока оно сторонним инструментом проверит" > сел4 юзаешь или в опасносте сидишь? Смотря где. На дестопе обычное дырявое ядро. На работе sel4. > Здравый смысл у тебя умер. Смелое утверждение. Уверен что ты добавишь пруфов. > Не припомню, чтобы хоть кто-то из перечисленных тобой был настолько неадекватен и необразован, как современные растишички, Ты наверное молодой смузихлеб и не застал холивары СИ против Плюсов (там еще некий Линус отличился). А еще был классный "на микроконтроллерах надо писать только на ассемблере". И С++ vs Java тоже было довольно весело. > так громко орал про дырени, проблемы джавы, и тд. Если не орать, то дырени исчезнут? "если я закрою глаза, то проблема исчезнет" (с) > Ничего подобного я никогда не видел. Нет никого более громкого, чем служители этого культа. И как так получается, что еще и очень недалеких? Ты придумал себе какой-то культ, и теперь выдаешь отборный бред. Я же привык оперировать с фактами, а не с эмоциями. И факты таковы, что большая часть CVE в ядре - это проблемы с памятью. Если раст помогает решить хотя бы часть проблемы - значит его стоит попробовать. Думаю что лица принимавшие решения в корпорациях думали так же. Просто посчитали, увидели выгоду, начали внедрение. > Агрессия понятна, к языку она не относится Агрессия понятна, потому что для СИшников это грозит отправкой мести улицы.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #131 Ответы: #231

136. Сообщение от Аноним (136), 27-Окт-26, 15:23	–1 +/–
>> настолько неадекватен и необразован, как современные растишички > Но use-after-free и прочие приколы почему-то именно у сишников. Неудобно получается... Ты не понимаешь! Это другое!! (с) Достаточно просто открыть cvedetails.com/vendor/33/Linux.html и посмотреть сколько CVEшек связано с памятью, с сколько с другими проблемами. К сожалению в логику могут не все)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #134 Ответы: #193

137. Сообщение от Аноним (89), 27-Окт-26, 15:27	+/–
> библиотека librsvg освобождает память под XML-элементы, которые ещё продолжают использоваться И правда, при чём тут раст? Библиотека же написана ... ой, на расте.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #123 Ответы: #146, #147, #242

138. Сообщение от Аноним (132), 27-Окт-26, 15:29	–1 +/–
Скорее всего, после этой новости код на Си станет совсем маргинальным, и его не будут переиспользовать в новых проектах.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #54

139. Сообщение от Аноним (89), 27-Окт-26, 15:31	+1 +/–
> Ошибки были в ансейв-коде? Ошибки есть в головах программистов на расте.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12 Ответы: #158

140. Сообщение от Аноним (89), 27-Окт-26, 15:32	+/–
Странно, что растерманы не смогли написать на расте эту часть, и используют готовое. Это нормально для них писать лишь обёртки. Вот только не умеют вызывать готовый код, освобождая память раньше, чем она перестанет использоваться.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #116 Ответы: #230

141. Сообщение от Аноним (141), 27-Окт-26, 15:34	+/–
> Ты уверен, что никакая студия инклюзивности и разнообразия не приложила к этому свою руку, что это не квоты? Уверенным быть в этом мире очень сложно. Но если ты предоставишь существенные доказательства своего утверждения, то я наверняка с ним соглашусь. >> Что должно случиться, чтобы раст встал в полный рост? >> Государственное требование на написание только на нем))? > Это шутка или ты и правда такого не слышал? Есть закон или подзаконный акт? Если ты про то отчет АНБ, то там в списке даже Паскаль есть. Паскаль, Карл! Ну и любимица американской военки - АДА. Examples of memory safe language include Python®, Java®, C#, Go, Delphi/Object Pascal, Swift®, Ruby™, Rust®, and Ada. ПРУФ: media.defense.gov/2022/Nov/10/2003112742/-1/-1/0/CSI_SOFTWARE_MEMORY_SAFETY.PDF Т.е наличие раста в списке из 9 языков не делает его каким особенным или говорит о его исключительной поддержке. > Агрессивное толкание этого в массы -- еще одна причина любви и уважения. Нет никакого агрессивного толкания в массы. Массы вообще ничего не решают, что людские, что каловые. Просто крупные фирмы пришли к выводу, что дырки обходятся слишком дорого. > Да и зачем вообще все эти стандарты и спеки, можно вечно в альфа-версии сидеть. Интернет существует и работает на RFC. Все эти RFC 791, RFC 1112 и тд. Нет ISO стандарта на интернет (кроме модели OSI). Но тем не менее, мы можем общаться на этом самом форуме. Раст тоже работает с RFC, это здравый подход который доказал свою работоспособность. СИ придумали в 70х, а стандартизировали в каком году? Как же они десятилетиями без стандарта писали?) > Все как кодили, так и продолжат, и только эти вот ведут себя  как байкеры из саус-парка Ты про 🤡 которые в теме начинают про борова шутить?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #133 Ответы: #180

142. Сообщение от Аноним (89), 27-Окт-26, 15:35	+/–
> 10 из 10 же логическая, а не с памятью Сбой возникает так как библиотека librsvg освобождает память под XML-элементы, которые ещё продолжают использоваться
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #58

144. Сообщение от Аноним (144), 27-Окт-26, 15:44	+/–
> В искупление, в светлое будущее (без усилий), в мир без дыреней. Видно эти люди про CompCert не слышали. > Это искушение от диавола, и растишки -- приспешники его. Ты осознаешь какой бред ты несешь? > Уверен, что кладби́щще проектов гугла уже тянет свои заскорузлые пальцы. Кладбища заброшенных проектов нет только у тех, кто нифига не делает, а только с дивана советует. >> И лисп машины достанем из музея. > И джобса не пустим в ксерокс, и яна слоота научим бекапы делать... Где вы были 8 килобайт!
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #150

146. Сообщение от Аноним (146), 27-Окт-26, 15:46	+2 +/–
> Библиотека же написана ... ой, на расте. библиотека libxml2? На расте? Советую тебе завязывать с алкоголем. Это очень плохо влияет на мозг.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #137

147. Сообщение от Аноним (147), 27-Окт-26, 15:50	+1 +/–
авторы zip-а придумали метаинфу хранить в двух несинхронизированных местах, а виноват раст.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #137 Ответы: #148, #162

148. Сообщение от Аноним (148), 27-Окт-26, 15:54	+/–
> авторы zip-а придумали метаинфу хранить в двух несинхронизированных местах, а виноват раст. Не, виноваты программеры которые не разобрались. К сожалению в ИТшке есть просто море нелогичны, странных или просто тyпых вещей, которые так сложились исторически. Типа как нуль-терминированные строки, породившие просто море багов и уязвимостей. Но так как "обратная совместимость" это священная корова - то приходится тащить поддержку. Предположу что эти гаврики совершили бы такую же ошибку и на другом ЯП.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #147 Ответы: #163

149. Сообщение от Аноним (149), 27-Окт-26, 16:02	+/–
Молодец, что понимаешь
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #98

150. Сообщение от черпало (?), 27-Окт-26, 16:19	+/–
> Ты осознаешь какой бред ты несешь? Вопрос, очевидно, риторический. Ты обратился уже, отрекся от дыреней, или только от подмножества их? Я за разнообразие дыреней, жыви и дай жить другим! > Кладбища заброшенных проектов нет только у тех, кто нифига не делает, а только с дивана советует. А дырени в диване?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #144

154. Сообщение от Аноним (149), 27-Окт-26, 16:23    Скрыто ботом-модератором	+/–
> получается, ничего в мире нет надежного? Да. И с этим никто не спорит. Даже растоманы не утверждают. А вот сишники почему-то утверждают, что растоманы это утверждают. > и не было до появления б-гоизбранно раста и приспешников евойных? А, ну вот, сишник утверждает, что растоманы утверждают... У некоторых слишком кратковременная, наверное, забывают - гугломикрософты уже давно всем рассказали про статистику ошибок, про те пресловутые 70/30 процентов ошибок "памяти"/"логических", но почему-то некоторые напрочь забывают про эти "оставшиеся" 30% ошибок. Т.е. "абсолютной безопасности" никто никогда не обещал и не обещает. Или другой случай - ожидают, что сам язык будет ещё и правильно кастомные заголовки каких-то архивов обрабатывать или обходы каталогов делать и т.п. Прямо из разряда "...- А есть вы тоже за меня будете? - Ага!.."). Или делают еще смешнее - подразумевают или даже утверждают, что этих "логических" ошибок в растопрограммках (почему-то) будет не меньше, а может и больше, чем общее кол-во ошибок в сишных программах (больше чем всех этих 70/30 процентов сишных ошибок).
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #131

155. Сообщение от Аноним (163), 27-Окт-26, 16:23	+2 +/–
это надо же так ошибиться :))) Ошибки в Сишном коде как мы выяснили легко находятся когда 1000500 глаз трезвые и не красные все потому, что Сишный код легко читается порой если не шаманить с синтаксисом (макросами) и обфускацией. А вот и главная причина проталкивания раста с его избыточным синтаксисом под соусами типизации и мемори сейфа. Код на расте тупо никто читать даже не будет чтобы искать в нем баги (бэкдоры) и самые опасные - архитектурные бэкдоры, как пример из новости. Это как надо так удачно постараться? Может это бэкдор в спеке самого zip-а?
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #172

158. Сообщение от Аноним (149), 27-Окт-26, 16:25	+1 +/–
Ошибки есть в головах программистов на любом языке
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #139

160. Сообщение от Аноним (149), 27-Окт-26, 16:27	+/–
" - Сдается мне, джентльмены, это был сарказм!"
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #76

162. Сообщение от Аноним (163), 27-Окт-26, 16:30	–1 +/–
в том то и дело это фактический бэкдор заложенный в спеку zip-а, а вот любители раста его заимплементировали, кто виноват в закладке бэкдора? Ровно тот кто и продвигает этот раст, это новый виток запуска старых бекдоров и так по кругу, с каждым новым "язычком". Бэкдор в спеке куда полезней чем явный бекдор в каком-либо коде.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #147

163. Сообщение от Аноним (163), 27-Окт-26, 16:33	–1 +/–
> Предположу что эти гаврики совершили бы такую же ошибку и на другом ЯП. эти гаврики сделали ровно то, что надо было, активировать бэкдор!!! Напомните мне, в любой популярной сишной реализации именно такая "бага" была? Если нет, то это же очевидный бэкдор, и все переписывание ровно на это и расчитанно.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #148

164. Сообщение от _ (??), 27-Окт-26, 16:35	+/–
Ну вот опять у кожаных вместо работы - ИБД... Всех уволить к ипеням! :-)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #118

166. Сообщение от _ (??), 27-Окт-26, 16:38	+/–
Вот в случае с тобой сразу видно на чём мать-природа сэкономила :)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #112

171. Сообщение от Ivan_83 (ok), 27-Окт-26, 16:45	+1 +/–
Щас прайд растовиков-затейников подвергнет авторов и сопричастных острокизму - скажут это не правильные, не наши и вообще это Сшники нам тут всё испортили.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #178

172. Сообщение от нах.. (?), 27-Окт-26, 16:45	+/–
> Код на расте тупо никто читать даже не будет и тут иишечка всем подгадила... ей пофиг на чем код читать.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #155 Ответы: #179

175. Сообщение от Ivan_83 (ok), 27-Окт-26, 16:50	+/–
Память принадлежит не языку а процессу в ОС. И в отличии от программ на чистом С, рабирать кашу из руст+с+с++ не будет даже ЫЫ.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13

178. Сообщение от Аноним (72), 27-Окт-26, 16:54	+/–
> Щас прайд растовиков-затейников подвергнет авторов и сопричастных острокизму - скажут > это не правильные, не наши и вообще это Сшники нам тут всё испортили. Конечно, дырень в libxml2 - значит виноваты явно не СИшники! ps ванька, "острокизм" пишется через А, давай лучше книжки читай, а не коменты строчи.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #171 Ответы: #192, #195, #232

179. Сообщение от Аноним (163), 27-Окт-26, 16:54	+/–
вот тут кучка таких багов //github.com/zip-rs/zip2/security > ей пофиг на чем код читать. нет не пофиг, хочешь сказать искать баги в строго типизированном ЯП легче/труднее чем в менее типизированном?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #172

180. Сообщение от черпало (?), 27-Окт-26, 16:59	+/–
>> Ты уверен, что никакая студия инклюзивности и разнообразия не приложила к этому свою руку, что это не квоты? > Уверенным быть в этом мире очень сложно. > Но если ты предоставишь существенные доказательства своего утверждения, то я наверняка > с ним соглашусь. Власти скрывают, увы. > Нет никакого агрессивного толкания в массы. Ещё как есть. Лишь бы существующее не улучшать, а переписывать. А то бизнес встанет. > Просто крупные фирмы пришли к выводу, что дырки обходятся слишком дорого. Ну тооочно, может, они не только на дырках экономят, но еще и на коксе? > Интернет существует и работает на RFC. > Все эти RFC 791, RFC 1112 и тд. > Нет ISO стандарта на интернет (кроме модели OSI). > Но тем не менее, мы можем общаться на этом самом форуме. Шеф, заглядывая в дырень: -- я вас вижу, Коллега! Получается, ничего не мешает ничему? Так и живем, заплата на заплате? > Ты про 🤡 которые в теме начинают про борова шутить? Да там столько подвидов, что Дроздов даже заинтересованно читает.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #141 Ответы: #185

183. Сообщение от черпало (?), 27-Окт-26, 17:06	–1 +/–
> Не, наиболее показательно то, что протекла си-библиотека libxml2, а накинулись на растовую > librsvg. Подстава подстав для сишников. Ты бы читал, что ли, на что отвечаешь. Каноничный мастер написал следующее: > Важно отсутствие undefined behavior, то есть синтаксическая корректность кода и вот так вот "шарит" большая часть этих вредителей. Явно же, что человек обладает недюжинной эрудицией.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #132

184. Сообщение от Аноним (163), 27-Окт-26, 17:07	+/–
> Важно отсутствие undefined behavior, то есть синтаксическая корректность кода. синтаксически некорректный код тупо не скомпилируется!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #90 Ответы: #189, #196

185. Сообщение от Аноним (185), 27-Окт-26, 17:08	+/–
>> Но если ты предоставишь существенные доказательства своего утверждения, то я наверняка >> с ним соглашусь. > Власти скрывают, увы. Т.е в заговоре к которому причастны десятки компаний, корпорации на сотни и тысячи сотрудников, а так же государственные чиновники и клерки никто не проболтался, не отправил письмо по неправильному адресу и даже не выкинул секретные документы на помойку? Дааааа, верим-верим! /s > Лишь бы существующее не улучшать, а переписывать. А то бизнес встанет. Что значит улучшать существующее? Разве не СИшники сидят в комитете разработки стандарта СИ? Кто им мешает добавить новые фичи в СИ? Может они просто не хотят? >> Просто крупные фирмы пришли к выводу, что дырки обходятся слишком дорого. > Ну тооочно, может, они не только на дырках экономят, но еще и на коксе? Если экономить на дырках, то может хватит не только на кокс, но и на девочек. > Шеф, заглядывая в дырень: -- я вас вижу, Коллега! Но работает ведь! (с) > Получается, ничего не мешает ничему? Так и живем, заплата на заплате? Да. Шутка про программистов строивших дома появилась задолго до раста. В самом первом юниксе (для переписывания которого собственно СИ придумали) отцы основатели бракодельной религии, сразу зафигачили CVE с переполнением. И не потому что они не знали. Им просто было наcpaть на результат. Но постепенно ситуация меняется. Люди, компании, государство начинает интересоваться "а чего сайт не грузится? что там про ПХП написано?", "а почему деньги с моего мобильного банка спepли? я всего лишь открыл картинку с котиком", "а почему наши гос-сайты на вордпресе положили какие-то школьники и нарисовали пuсюнов на главной?" Это вызывает постепенное ужесточение требований.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #180

189. Сообщение от warlock66613 (ok), 27-Окт-26, 17:16	–1 +/–
> синтаксически некорректный код тупо не скомпилируется! К сожалению нет. Несмотря на то, что программа с undefined behavior не является синтаксически корректной программой, компилятор имеет право этого не заметить и пропустить её как корректную. Но в этом случае -- поскольку синтаксически некорректная программа не имеет никакого смысла -- результирующий бинарник может быть любым: он может не быть валидным бинарником, а может и быть, может стирать все файлы с диска при запуске, а может и не стирать, может вылетать, а может завершаться без ошибок.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #184 Ответы: #202

192. Сообщение от черпало (?), 27-Окт-26, 17:20	+/–
> Конечно, дырень в libxml2 - значит виноваты явно не СИшники! А запятую после вводного слова кто забыл? Опять сишники тебе гумус в портки подбросили? Или, раз это не орфографическая, а пунктуационная ошибка, то, значит, нормально? (ой, штош так похоже на собирательный образ сочувствующих хайповому расту)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #178

193. Сообщение от Аноним (1), 27-Окт-26, 17:22	+/–
>>> настолько неадекватен и необразован, как современные растишички >> Но use-after-free и прочие приколы почему-то именно у сишников. Неудобно получается... > Ты не понимаешь! Это другое!! (с) > Достаточно просто открыть cvedetails.com/vendor/33/Linux.html > и посмотреть сколько CVEшек связано с памятью, с сколько с другими проблемами. > К сожалению в логику могут не все) Ой, да легко мы можем в логику, что ты шлангом то прикидываешься? Плюсовики, к примеру, аж целую джаву написали. А по поводу use-after-free и прочих приколов у сишников - ну дак попроси растакодера написать что-то сложнее helloworld'а и где нужна работа с динамической памятью + потоки + адресная арифметика и тд на Си - он ровно точно так же 1-в-1 обделается. Ну просто потому что он еще тупее типичная Сишника и именно поэтому и пользуется растом (или не пользуется, а только на форумах пишет).
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #136 Ответы: #198

194. Сообщение от Аноним (1), 27-Окт-26, 17:24	+/–
> Ну ты целиком то цитируй - "из Си-библиотеки libxml2" Цитировать целиком - код на расте освобождал память, которая еще используется в libxml2.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #116

195. Сообщение от Ivan_83 (ok), 27-Окт-26, 17:24	+1 +/–
> Сбой возникает так как библиотека librsvg освобождает память под XML-элементы, которые ещё продолжают использоваться в парсере libxml2. Да да, это libxml2 принудила librsvg освободить себе память, пограмист на хрусте не причём!!!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #178 Ответы: #228

196. Сообщение от Аноним (196), 27-Окт-26, 17:26	+1 +/–
>> Важно отсутствие undefined behavior, то есть синтаксическая корректность кода. > синтаксически некорректный код тупо не скомпилируется! Вам доводилось читать "ISO/IEC 9899 Information technology — Programming languages — C" ? Там есть классный раздел "4. Conformance". В котором черный по белому говорится: 4. A strictly conforming program shall use only those features of the language and library specified in this document. It shall not produce output dependent on any unspecified, undefined, or implementation-defined behavior, and shall not exceed any minimum implementation limit. 7. A conforming program is one that is acceptable to a conforming implementation. Т.е если у вас в программе есть UBшка, которую вы не обработали правильно, то у вас... как бы это сказать повежливее, есть "кусок кода". Который что-то делает. Но стандарту не конформит. Ну т.е какая-то писянина на СИ-подобном синтаксисе, которая по счастливому стечению обстоятельств может скомпилиться и даже работать. А может и нет.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #184 Ответы: #218

197. Сообщение от Bottle (?), 27-Окт-26, 17:31	+/–
Ну да, у тебя всего лишь есть ботнет на компьютере, или его нет. У тебя всего лишь сворованы пароли или нет. Отсутствие взломов — лишь приятный побочный эффект, идеал, к которому надо стремиться.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #90 Ответы: #201

198. Сообщение от Аноним (196), 27-Окт-26, 17:31	+/–
> Ой, да легко мы можем в логику, что ты шлангом то прикидываешься? Правда? > А по поводу use-after-free и прочих приколов у сишников - ну дак попроси растакодера написать что-то сложнее helloworld'а и где нужна работа с динамической памятью + потоки + адресная арифметика и тд на Си - он Будет эффективнее СИшников, будет делать меньше ошибок. Вот результат гугла который пишет сложный код с потоками и адресной арифметикой: blog.google/security/rust-in-android-move-fast-fix-things/ "With roughly 5 million lines of Rust in the Android platform and one potential memory safety vulnerability found (and fixed pre-release), our estimated vulnerability density for Rust is 0.2 vuln per 1 million lines (MLOC)." "1000x reduction in memory safety vulnerability density compared to Android’s C and C++ code" "For medium and large changes, the rollback rate of Rust changes in Android is ~4x lower than C++. " > ровно точно так же 1-в-1 обделается. Бездоказательный бред. > он еще тупее типичная Сишника и именно поэтому и пользуется растом (или не пользуется, а только на форумах пишет). Бред продолжается. Ты сначала найди какие-то пруфы, а потом начинай рассказывать свои фантазии.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #193

201. Сообщение от warlock66613 (ok), 27-Окт-26, 17:35	+/–
Вы смотрите с точки зрения пользователя. Пользователю важно работает программа или нет. Пользователю важно, есть ли в ней уязвимости или нет. Пользователю обычно не важно, какой у программы код. А я смотрю с точки зрения программиста. Программисту не важно работает программа или нет, полезна она или нет, есть в ней уязвимости или нет. Программисту важен код. Чем он ближе к идеалу, тем лучше, но идеал недостижим.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #197 Ответы: #207

202. Сообщение от Аноним (163), 27-Окт-26, 17:40	+1 +/–
> Несмотря на то, что программа с undefined behavior не является синтаксически корректной программой, компилятор имеет право этого не заметить и пропустить её как корректную. Откуда вы взяли, что UB, хоть как-то имеет отношение к синтаксису и его проявления в коде является делает программу "синтаксически" некорректной? Программа некорректна тогда и только тогда, когда она не соответствует спецификации, и это так же как и корректность - доказано! пс: Делить на 0 - синтаксически корректно!!! Этот код, компилируется и исполняется. Но такая программа может быть некорректна по отношению к спецификации, но зависит от спецификации. В спецификации если явно не запрещено деление на ноль и описано как UB, тогда программа в таком случае так же будет считаться корректной, так как это UB определено явно в спецификации и никак не запрещено. > Но в этом случае -- поскольку синтаксически некорректная программа не имеет никакого смысла Не "не имеет смысла", а тупо не скомпилируется, не будет у вас бинарника!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #189 Ответы: #206, #208

204. Сообщение от Аноним (204), 27-Окт-26, 17:42	–1 +/–
Это целенаправленный саботаж. Люди, которые не могут писать без ошибок памяти на Си, специально написали неправильно чтобы подорвать репутацию языка, который позволит сделать системы несокрушимыми.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #46

206. Сообщение от warlock66613 (ok), 27-Окт-26, 17:45	–5 +/–
Синтаксические ошибки бывают двух видов. Те, что компилятор обязан ловить и те, что может ловить, но не обязан. Вот эти вторые и называются UB. Нет, делить на ноль синтаксически некорректно. Компилятор имеет право не скомпилировать это. Но имеет право и скомпилировать, отдав на выход абсолютно произвольный набор байт, который может быть будет что-то делать, а может быть и нет. UB к спецификации никакого отношения не имеет. Программа с UB не является корректным текстом на соответствующем языке программирования. Поэтому для неё не определён смысл, семантика. В этом случае со спецификацией сравнивать просто нечего.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #202 Ответы: #217

207. Сообщение от черпало (?), 27-Окт-26, 17:45	+/–
Ты смотришь не с точки зрения программиста, а с птичьей, не знаю, баклан, удод или дятел ли. Ты же буквально прилюдно бравируешь своей необразованностью, профан
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #201

208. Сообщение от черпало (?), 27-Окт-26, 17:47	+/–
жесть, просто жесть, челы семантику с синтаксисом путают, тычут нагугленным, но не понимают его. Боже, за што, за што
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #202 Ответы: #212, #221

212. Сообщение от Аноним (163), 27-Окт-26, 17:55	+/–
это говорит о том, что это нейрослоупоки, реальный человек понимает это с полуслова. > Боже, за што, за што За то, что какой-то "редиска" думает, что может научить машину мыслить, а кучка "д**чков" на это ведется.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #208

214. Сообщение от Аноним (163), 27-Окт-26, 17:58	+/–
> ps жаль в гугле, амазоне и майкрософте не знают о гениальных опеннетовцев батрачить на фаанг это показатель гениальности? :)))) не была бы жизнь легка, если бы не было - вас :))))
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #81 Ответы: #225

216. Сообщение от Инопланетянин (?), 27-Окт-26, 18:04	+/–
Да ладно? Там поток cve тоже большой. Взять хотя бы недавние про forgejo https://www.opennet.dev/opennews/art.shtml?num=66253
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #99

217. Сообщение от черпало (?), 27-Окт-26, 18:17	–1 +/–
> Синтаксические ошибки бывают двух видов. Те, что компилятор обязан ловить и те, что может ловить, но не обязан. Вот эти вторые и называются UB. Ты совсем, что ли? Зачем ты изобретаешь новую компухтер сайнс? Просто какой-то невероятный, запредельный уровень воинствующего невежества. AST Для 10 / 0 и 10 / 2 одинаково корректное, синтаксис не нарушен. Грамматика в порядке, синтаксис оперирует структурой текста, а не значениями переменных или констант. Делить на ноль синтаксически корректно. Это кошмар. Ты не только образовываться не хочешь, ты бравируешь необразованность. И ведь если тебя отослать читать что-то, ты этого и не поймешь, будешь упорствовать.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #206 Ответы: #220

218. Сообщение от черпало (?), 27-Окт-26, 18:21	–1 +/–
О, ты опять принес то, что не понимаешь? Узнаю нахватавшегося по верхам специалиста. Если компилятор  успешно принял и скомпилировал программу с UB -- эта программа по определению является conforming. Она не является strictly conforming, но она легитимна с точки зрения синтаксиса. Какой цирк, и эти вот люди еще про дырени говорят И правильно тебе говорят, что ты correct от conforming не отличаешь. Не в первый раз тебе говорю, что ты пытаешься лезть в дискуссии, в тематике которых вообще не понимаешь. Так сложно понять, что нагуглить -- это мало? Теоретик диванный.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #196 Ответы: #222

219. Сообщение от Ананоним (?), 27-Окт-26, 18:51	+/–
Я ж говорил, нужно было писать на Си!
Ответить | Правка | Наверх | Cообщить модератору

220. Сообщение от warlock66613 (ok), 27-Окт-26, 18:56	+1 +/–
Вы согласны, что ошибки делятся на синтаксические и семантические? Вы согласны, что компилятор не может, никак не может ловить семантические ошибки и отказываться компилировать программу если в ней семантическая ошибка? Если согласны, то берём стандарт Си и читаем > Possible undefined behavior ranges from ignoring the situation completely with unpredictable results, to behaving during translation or program execution in a documented manner characteristic of the environment (with or without the issuance of a diagnostic message), to terminating a translation or execution (with the issuance of a diagnostic message).
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #217 Ответы: #223, #227

221. Сообщение от Аноним (221), 27-Окт-26, 19:07	+/–
> жесть, просто жесть, челы семантику с синтаксисом путают, тычут нагугленным, но не понимают его. Лол, ты пишешь бред, да еще и огрызаешься. > Боже, за што, за што За то что ты такой тугой, вот за что)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #208

222. Сообщение от Аноним (223), 27-Окт-26, 19:13	+1 +/–
> Если компилятор  успешно принял и скомпилировал программу с UB -- эта > программа по определению является conforming. Она не является strictly conforming, но > она легитимна с точки зрения синтаксиса. Цитату из стандарта, г-н специалист. > Какой цирк, и эти вот люди еще про дырени говорят А дыреней типа нет? > Не в первый раз тебе говорю, что ты пытаешься лезть в дискуссии, в тематике которых вообще не понимаешь. Ну пока ты ничего ценного кроме своего балаболинья не написал) > Так сложно понять, что нагуглить -- это мало? Теоретик диванный. Пф, а сам то кто?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #218 Ответы: #234

223. Сообщение от Аноним (223), 27-Окт-26, 19:14	+1 +/–
> Если согласны, то берём стандарт Си и читаем Не мечи бисер перед "ценными специалистами". Они стандарт не читают, дыреней не видят, зато в комментах щеки надувают.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #220

224. Сообщение от Аноним (224), 27-Окт-26, 19:15	+/–
Google, Amazon, Nvidia - не являются производителя ПО. Azure это вообще облако.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #76 Ответы: #226

225. Сообщение от Аноним (223), 27-Окт-26, 19:16    Скрыто ботом-модератором	+/–
>> ps жаль в гугле, амазоне и майкрософте не знают о гениальных опеннетовцев > батрачить на фаанг это показатель гениальности? батрачить? кажется кто-то слышал про фаанг только по рассказам пацанов за гаражами. Но это нормально для постсовка. > не была бы жизнь легка, если бы не было - вас :)))) э? а чего сказать хотел?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #214 Ответы: #236

226. Сообщение от Аноним (226), 27-Окт-26, 19:18	+/–
> Google, Amazon, Nvidia - не являются производителя ПО. Гений, а что такой по твоему хром, AOSP или дрова для видяхи? > Azure это вообще облако. Такое белое и пушистое? Или программное обеспечение который обеспечивает работу виртуалок, вычислений и тд?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #224

227. Сообщение от черпало (?), 27-Окт-26, 19:30	–1 +/–
Ты согласен, что ты профан и ложку к уху несешь? Ты согласен, что прилюдно поддал подливы, сказав, что синтаксически корректная программа не содержит UB? Ты согласен, что ты выше в сообщениях неоднократно спутал семантику и синтаксис, противоречил прямо тому, что нагуглил? Ты согласен, что ты гуглишь стандарт, не понимая, что там написано? > Синтаксические ошибки бывают двух видов. Ты согласен, что твои вольные трактовки терминов никому не вперлись вообще, и что, если бы ты понимал, о чем говоришь, ты бы такой бред не писал? > Те, что компилятор обязан ловить и те, что может ловить, но не обязан. Ты согласен, что не отличаешь грамматику от смысла? > Вот эти вторые и называются UB. Ты согласен, что такое определение UB -- это полный вперед, и не говорит о тебе ничего хорошего, как о профессионале? Ты согласен, что примитивное понимание того, что написано, не дает тебе возможности рассуждать на должном уровне? > Нет, делить на ноль синтаксически некорректно. Делить на ноль синтаксически корректно, тебе это сказали много раз. И в том же стандарте описана грамматика операции и операндов деления, и что 1/0 -- это корректная с точки зрения синтаксиса конструкция. Результатом будет грамматически корректное синтаксическое дерево. Ты согласен, что если ты настолько деревянный, что не в состоянии понимать даже такие простые вещи, то тебе лучше не пытаться высказываться? > Компилятор имеет право не скомпилировать это. Но имеет право и скомпилировать, отдав на выход абсолютно произвольный набор байт, который может быть будет что-то делать, а может быть и нет. Байки из склепа. Корректное синтаксическое дерево скомпилируется в инструкции. Не произвольные, а корректные. А что будет в рантайме, зависит от данных. Ты согласен, что если ты заявляешь о себе что-то, ты должен этому соответствовать, а если ты путаешься в паре слов, вольно обращаешься с терминологией, не можешь понять, что нагуглил, демонстрируешь настолько воинствующее невежество, то тебе ничего не поможет? Ты согласен, что подобное говорит о тебе как о недалеком и необразованном крикливом упертом недоучке? Что ты это принес сейчас? Для начала научись читать и понимать написанное, потом научись признавать ошибки, научись не вихляться, когда тебя тыкают в твое невежество.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #220 Ответы: #233

228. Сообщение от morphe (?), 27-Окт-26, 19:32	+/–
Сишные библиотеки обычно крайне плохо документирует кто памятью владеет и должен её освобождать (проверяльщика владения на них нет) Посмотри как фикс выглядит
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #195

229. Сообщение от Sem (??), 27-Окт-26, 19:32	+/–
Про то, что уязвимостей не будет вообще, никто не заявлял никогда, это придумали хейтеры раста. Я не любитель раста, но ради уменьшения вектора атак готов и потерпеть.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #103 Ответы: #240

230. Сообщение от Sem (??), 27-Окт-26, 19:42	+/–
Библиотека libxml2 появилась 23 сентября 1999 года. Разработка началась в 1998 году как проект Дэниела Вейярда. Через 2 года будет 30 лет, как ее пилят. Мало кто решится переписывать это всё. И есть не иллюзорный шанс, что пока перепишешь, XML уже вообще отовсюду выпилят.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #140 Ответы: #237

231. Сообщение от черпало (?), 27-Окт-26, 19:46    Скрыто ботом-модератором	+/–
> С приемлимой надежностью - да. Ну, получается, приемлемая надежность -- это всё, что у нас есть. Так было и так будет. > Если без встроенного, то программер скажем "мне лень ждать пока оно сторонним > инструментом проверит" Сначала сишникам дали полную свободу стрельбы, потом растовикам-затейникам дали ансейф. Этот порочный круг не порвать. > Смотря где. На дестопе обычное дырявое ядро. > На работе sel4. Ого! Можно, получается, дырени зашпаклевать и нормально. Где, кстати? Сколько запустил на геостацинар железяк? > Ты наверное молодой смузихлеб и не застал холивары СИ против Плюсов (там > еще некий Линус отличился). > А еще был классный "на микроконтроллерах надо писать только на ассемблере". > И С++ vs Java тоже было довольно весело. Смузи я бы щас испил, бггг. Я память ферритовую не застал, да. Но застал чудо досовского консольного огня во многих окошках в полуоси, джаву без дженериков, выход второй делфы и смену лого фряхи, дистрибутив blackcat, да много чего. (эх, что же с нами стало) Но если ты сам это помнишь, скажи, отличается ли уровень современных воителей? (я ведь только об этом) > Если не орать, то дырени исчезнут? > "если я закрою глаза, то проблема исчезнет" (с) Ненене, если _просто_ орать, то дырени не исчезнут. Или вон, как выше "сишные дыры vs нормальные ошибки" > Ты придумал себе какой-то культ, и теперь выдаешь отборный бред. Не придумал, путаюсь в слоях иронии от мастеров раста. И смотрю на утят, которые считают факт пользования инструментом уже достаточным для вот такого вот происходящего из раза в раз. Или я предвзят к поколению тик-тока? > выдаешь отборный бред спасибо, вы замечательная публика *<:^) > Я же привык оперировать с фактами, а не с эмоциями. > И факты таковы, что большая часть CVE в ядре - это проблемы > с памятью. > Если раст помогает решить хотя бы часть проблемы - значит его стоит > попробовать. Да много чего решает часть проблем. Оказывается, можно верифицировать! > Агрессия понятна, потому что для СИшников это грозит отправкой мести улицы. Что за предвзятое отношение к труду? Отдельно повторю вопрос про место работы, бггг. Где, о, Анон?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #135 Ответы: #238

232. Сообщение от Sem (??), 27-Окт-26, 19:47	+/–
Как вы новости то читаете? По ключевым словам что ли? Дырень не libxml2, а в обвязке.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #178

233. Сообщение от Аноним (233), 27-Окт-26, 19:48    Скрыто ботом-модератором	+1 +/–
Ух как подгорело. А кроме пуканья "ты согласен" ты можешь выдать что-то осмысленное? Ну например цитату из стандарта?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #227

234. Сообщение от Аноним (163), 27-Окт-26, 19:49	–1 +/–
> Цитату из стандарта, г-н специалист. в приведенной тобой цитате есть хоть слово "syntactic" или "correctness"? Нет? О чем речь, нейрослоупок?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #222

235. Сообщение от Аноним (235), 27-Окт-26, 19:51	+1 +/–
>А при чём тут Rust? Его архитектура решает типовые проблемы с памятью, а не беды с башкой. В том и прикол, что беды с башкой решаются накаткой опыта хотя бы на тех самых типовых проблемах с памятью, ещё запилом велосипедов и другими, не почитаемыми профессиональными программистами (тм) методами.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #123

236. Сообщение от Аноним (163), 27-Окт-26, 19:54	+/–
> батрачить? > кажется кто-то кажется кто-то не открывал толковый словарь и не знает значение слова "батрачить". > э? а чего сказать хотел? куда там ЫЫ понимать человека с полу слова :))))
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #225 Ответы: #241

237. Сообщение от sunjob (ok), 27-Окт-26, 20:14	+/–
> XML уже вообще отовсюду выпилят. ну дак логично, надо думать наперед! т.е. не использовать XML! :о)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #230

238. Сообщение от Аноним (238), 27-Окт-26, 20:23    Скрыто ботом-модератором	+/–
> Ну, получается, приемлемая надежность -- это всё, что у нас есть. > Так было и так будет. Но степень надежности - это вполне измеряемая величина. Например "N ошибок на 1 Cloc". > Сначала сишникам дали полную свободу стрельбы, потом растовикам-затейникам дали ансейф. Ансейф это печальная необходимость. Чтобы получить данные из либы напписанной при цпре горохе и про safe ничего не знающей. Или чтобы обратиться к железке, которая может и отвалиться. > Этот порочный круг не порвать. Можно уменьшить до приемлемого значения. (Приемлемое в разные времена определяется по разному. В темные века было норм чтобы к совершеннолетию доживало выживал каждый второй, а сейчас уже нет). >> Смотря где. На дестопе обычное дырявое ядро. >> На работе sel4. > Ого! Можно, получается, дырени зашпаклевать и нормально. Дорого. Почитай сколько стоило сделать формальную верификацию 6к-8к строк сишного кода. Спойлер: примерно 20 человеко-лет. > Где, кстати? Сколько запустил на геостацинар железяк? Ноль. У меня другая специфика. Не прям супер интересно, но мне нравится. >> Ты наверное молодой смузихлеб и не застал холивары СИ против Плюсов > Но если ты сам это помнишь, скажи, отличается ли уровень современных воителей? (я ведь только об этом) Почти ничем. Cpaчи и оскорбления на ровном месте, отсутствие аргументации, игнорирование документации, деды-пepдеды которые кричат "раньше было лучше". Просто раньше мы были "о я почитал про новый С++! он лучше СИ! Давайте попробуем!!", а деды были "я в БЭСМ тумблерами код вводил, щеноk!!". А сейчас молодежь "я решил переписать корутилсы на раст", а диды "да как ты посмел!!" > Ненене, если _просто_ орать, то дырени не исчезнут. Так они не просто орут. Они методично переписывают целые куски и подсистемы. Был себе такой OpenCL-фронтэнд Clover в Mesa. Вылезли какие-то васяны-смузи... а нет, Кэрол Хербст из красношапки (разработчик Mesa, драйвера Nouveau и OpenCL) представил Rusticl. В 2021 году все посмеялись. Сравнивали с ' "нанотехнологии" и "инновации" времен конца 2000-х'. Можешь почитать комменты opennet.me/opennews/art.shtml?num=55827 В 2022 была обеспечили поддержку OpenCL 3.0. В этом же году прошли сертификацию. В 2025 кловер деприкейтнули и дропнули. > Или вон, как выше "сишные дыры vs нормальные ошибки" Ну и? Дешевой защиты от логических ошибок пока не придумали. Если тебе предложат инструмент, который решит 50-70% проблем ты им будешь пользоваться? > Не придумал, путаюсь в слоях иронии от мастеров раста. Где ты мастеров увидел?)) > И смотрю на утят, которые считают факт пользования инструментом уже достаточным для вот такого вот происходящего из раза в раз. Или я предвзят к поколению тик-тока? Думаю предвзят. Ты наверное забыл поколение 90х с их увлечениями (гопота, драки стенка-на-стенку, клей в пакетиках) или 2000х с имиджбордами и дегенеративными сайтами типа двача (а ведь в тот момент они иногда  казались прикольными) и т.д. > Да много чего решает часть проблем. Оказывается, можно верифицировать! А камаз денег на такой мув ты дашь? Если ты скажешь "у меня есть магический шар который делает верификацию за 10% от стоимости", то к тебе выстроится очередь. А пока "Less is more". >> Агрессия понятна, потому что для СИшников это грозит отправкой мести улицы. > Что за предвзятое отношение к труду? Не знаю. В комментах люди, утверждавшие что пишут на СИ, говорили что растеры хотят их лишить работы. Как я могу не верить анонимным СИшникам 🤷🏻‍♂️. > Отдельно повторю вопрос про место работы, бггг. Где, о, Анон? Вот потому и Анон. Да ХРюш у меня линкедин есть) ps ты кстати тоже не представился, и про свои рабочие подвиги не рассказал. хотя в новости устроил срач.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #231

239. Сообщение от Аноним (239), 27-Окт-26, 20:25	+/–
Это что же получается, причастность раста установлена, но вина опять не доказана?
Ответить | Правка | Наверх | Cообщить модератору

240. Сообщение от черпало (?), 27-Окт-26, 20:29	+/–
> Про то, что уязвимостей не будет вообще, никто не заявлял никогда Дык и я не заявлял обратного, и не говорил, что кто-то заявлял :/ > Я не любитель раста, но ради уменьшения вектора атак готов и потерпеть. "Раст хороший, бояре плохие". Тут весь сыр-бор, что носятся с ним, как с писаной торбой. Вопросы исключительно к юзерам-хвалителям. Я вот тоже чего много готов терпеть, но не воинствующее невежество (аж забрало падает). Через што, собственно, начался сущий кошмар. Смешались в кучу тролли, люди...
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #229

241. Сообщение от Аноним (241), 27-Окт-26, 20:43	+/–
> кажется кто-то не открывал толковый словарь и не знает значение слова "батрачить". Толковый словарь Ефремовой: 1. Работать в качестве батрака. 2. перен. разг. Трудиться много, не щадя сил. Толковый словарь Даля: Батрак - наемный работник, особ. в деревне, для полевых работ; Ну так вот я не помню чтобы гугл или фейсбук вывозил сотрудников на сбор картошки. Это тебе не совковые НИИ. Да и средние несколько лет работы, это тебе не поработать на барина сезон. Итого: ты не только не читаешь словари, но еще и пытаешься выкрутиться сев в лужу.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #236

242. Сообщение от bergentroll (ok), 27-Окт-26, 20:43	+/–
> И правда, при чём тут раст? Библиотека же написана ... ой, на расте. И `rm -rf ~` на расте наверное написать нельзя, язык же безопасный.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #137

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема