| |
| 2.49, Аноним (49), 15:41, 04/04/2025 [^] [^^] [^^^] [ответить]
| –3 +/– | |
> Уязвимость вызвана обращением к уже освобождённой области памяти (use after free).
Просто XZ Utils писался ненастоящими сишниками. Настоящие сишники такого бы не допустили.
| | |
| |
| 3.51, Аноним (-), 15:46, 04/04/2025 [^] [^^] [^^^] [ответить]
| +1 +/– |
Вы думаете расты такое не напишут? Они мало что такое же могут написать, так ещё не видеть и не проверять нечто подобное, потому что язык у них типо безопастный.
| | |
| 3.53, Аноним (-), 15:56, 04/04/2025 [^] [^^] [^^^] [ответить]
| +/– |
Я вот не сишник, но мне вот честно обидно как русские люди друг к другу относятся. Что вы этим хотите сказать? Что к сишникам нужно хуже относиться? Что не нужна работа на си? Я помню время когда рассказывали что дельфисты не программисты, хотя вот был отличный сайт Королевство Делфи и много книг об этом языке, да и софт был весьма неплохой. У меня вот на телефоне до сих пор есть AIMP. А упаковать самораспаковывающийся архив с выполнением вредоносной программы, да может даже и оформить это как бинарный файл нынче и школьник может после курса "этического" хакинга. Причем некоторые форматы сжатия предполагают выполнение таких сценариев после распаковки.
| | |
|
|
| |
| 2.37, Аноним (-), 13:45, 04/04/2025 [^] [^^] [^^^] [ответить]
| +2 +/– | |
> Jia Tun уже занялся переписыванием на соседнюю новость
В смысле, это где он бэйсик чтоли выложил? А бэкдор там где?
| | |
|
| 1.4, Аноним (4), 11:06, 04/04/2025 [ответить] [﹢﹢﹢] [ · · · ]
| –7 +/– |
После прошлого года вообще нет доверия к этому XZ, потому что XЗ что там с безопасностью.
| | |
| 1.6, Аноним (6), 11:16, 04/04/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +/– | |
>приводящая к аварийному завершению при попытке распаковки специально оформленных архивов
Так а где уязвимость?
| | |
| 1.9, Аноним (-), 11:29, 04/04/2025 [ответить] [﹢﹢﹢] [ · · · ]
| –3 +/– |
> Проблема рассматривается как непреднамеренная ошибка, так как
> вызвавшее её изменение было внесено в код задолго до прихода
> в проект разработчика Jia Tan, деятельность которого привела к
> внедрению бэкдора.
Даааааа! Все ошибки непреднамеренные)))
Просто непреднамеренно забыли проверить на NULL.
А потом еще раз непреднамеренно забыли проверить не вышли ли за границы))
+ assert(in != NULL || *in_pos == in_size);
+ assert(out != NULL || *out_pos == out_size);
+ assert(*in_pos <= in_size);
+ assert(*out_pos <= out_size);
Возможно там этих ЖыТянок половина контрибьюторов, просто они за разные фракции играют.
| | |
| |
| |
| 3.19, HyC (?), 12:02, 04/04/2025 [^] [^^] [^^^] [ответить]
| +/– |
Не всегда. Надо смотреть переопределено ли NDEBUG, и если да, то как в релизном билде.
| | |
|
| 2.34, Совершенно другой аноним (?), 13:22, 04/04/2025 [^] [^^] [^^^] [ответить]
| +/– | |
Прошу прощения, но как говорится, "вот Вы говорите, а кажется, что Вы бредите" (с)
Там правка совсем не в assert()-ах, тем более, что assert()-ы вообще не для этого предназначены. Если так интересно, то патч находится по адресу https://tukaani.org/xz/xz-cve-2025-31115.patch
| | |
| 2.58, Neon (??), 21:47, 04/04/2025 [^] [^^] [^^^] [ответить]
| +/– |
За любовь к assert'ам надо жестоко бить ногами.) Проверки надо делать не только в дебаге,но и в релизах тоже
| | |
|
| 1.17, Аноним (-), 12:01, 04/04/2025 [ответить] [﹢﹢﹢] [ · · · ]
| –3 +/– | |
> Проблема рассматривается как непреднамеренная ошибка
Это как, они случайно дырявый язык взяли? С каких пор использование Си - не саботаж, а "непреднамеренная ошибка"?
| | |
| |
| 2.47, Аноним (47), 15:22, 04/04/2025 [^] [^^] [^^^] [ответить]
| +/– | |
Добро пожаловать, евангелист!
Просветите нас! А то тут все темные, священного слова не знают!
| | |
|
| 1.21, Аноним (-), 12:05, 04/04/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +/– | |
> XZ Utils 5.8.1 стал первым значительным выпуском после инцидента с выявлением бэкдора, организующего вход через sshd.
debian 11
$ xz --version
xz (XZ Utils) 5.2.5
liblzma 5.2.5
| | |
| |
| 2.33, Аноним (33), 13:21, 04/04/2025 [^] [^^] [^^^] [ответить]
| +/– |
>> XZ Utils 5.8.1 стал первым значительным выпуском после инцидента с выявлением бэкдора, организующего вход через sshd.
> debian 11
> $ xz --version
> xz (XZ Utils) 5.2.5
> liblzma 5.2.5
Ну и к чему этот пост? К тому что в Debian более старые версии, ну так об этом знают все кто знает про Debian чуть больше, чем то что на нём основана их Убунточка.
| | |
| 2.38, Аноним (38), 13:47, 04/04/2025 [^] [^^] [^^^] [ответить]
| +/– | |
5.2.5-2.1~deb11u1 < 5.4.0 < 5.6.0
Всё верно. Проблемы не применимы. Работает, не трожь. А мелочи и патчем поправить можно.
| | |
|
| 1.22, Аноним (22), 12:27, 04/04/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +/– | |
> декодировщик LZMA/LZMA2 добавлена возможность использования инструкций SSE2 вместо функции memcpy() на 32- и 64-разрядных системах x86.
Когда-нибудь они дойдут до SSE3 и SSE4.
Лет через 20.
Но это не точно.
| | |
| |
| 2.29, Аноним (29), 12:58, 04/04/2025 [^] [^^] [^^^] [ответить]
| +1 +/– |
memcpy не реализует те же самые инструкции, тем более с включёнными уровнями оптимизаций и встроенным в компилятор memcpy?
| | |
| |
| 3.50, Ivan_83 (ok), 15:44, 04/04/2025 [^] [^^] [^^^] [ответить]
| +/– |
 Это сильно зависит от компелятора и libc.
Для той же FreeBSD там внутри memcpy есть уже код для более свежих SSE/AVX и куча других оптимизаций.
| | |
|
|
| 1.31, Аноним (31), 13:13, 04/04/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +/– | |
>Уязвимость устранена в выпуске XZ Utils 5.8.1, а также перенесена в стабильные ветки 5.4 и 5.6
К этому не мешало бы добавить:
The bug has been fixed in XZ Utils 5.8.1, and the fix has been committed to the v5.4, v5.6. No new release packages will be made from the old stable branches, but a patch is available
| | |
| 1.39, RM (ok), 13:47, 04/04/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
 > Уязвимость устранена в выпуске XZ Utils 5.8.1, а также перенесена в стабильные ветки 5.4 и 5.6.
прааальна, перемещаем уязвимости в старые версии...
прикольная опечатка
| | |
| 1.54, Аноним (-), 16:00, 04/04/2025 [ответить] [﹢﹢﹢] [ · · · ]
| –1 +/– |
> Уязвимость вызвана обращением к уже освобождённой
> области памяти (use after free).
Как же так вышло??
Неужели лучшие умы человечество опять допустили такую банальную ошибку!
| | |
|
