Состоялся (http://lists.gnu.org/archive/html/info-gnu-emacs/2017-09/msg...) релиз текстового редактора GNU Emacs 25.3 (http://www.gnu.org/software/emacs/), развиваемого проектом GNU. Вплоть до выпуска GNU Emacs 24.5 проект развивался под личным руководством Ричарда Столлмана, который передал (https://www.opennet.me/opennews/art.shtml?num=43264) пост лидера проекта другому участнику только осенью 2015 года.
Выпуск носит внеплановый характер и экстренно подготовлен для устранения опасной уязвимости (http://openwall.com/lists/oss-security/2017/09/11/1), которая позволяет организовать выполнение кода при разборе текста c разметкой "Enriched Text" (RFC 1896 (https://tools.ietf.org/rfc/rfc1896.txt)). Так как почтовые клиенты на базе Emacs по умолчанию выполняют декодирование сообщений с "Content-Type: text/enriched", то уязвимость можно эксплуатировать удалённо путем отправки пользователю специально оформленного сообщения.
Уязвимость вызвана ошибкой (https://debbugs.gnu.org/cgi/bugreport.cgi?bug=28350) в обработчике 'x-display', при помощи которого осуществляется подстановка параметров 'display', которые, в свою очередь, могут быть заданы в виде динамических форм, оформленных на языке Lisp. Таким образом может быть осуществлено встраивание в текст произвольных исполняемых блоков на List.В качестве обходного пути защиты можно запретить декодирования "Enriched Text", добавив в ~/.emacs, ~/emacs.d/init.el или
site-start.el:(eval-after-load "enriched"
'(defun enriched-decode-display-prop (start end &optional param)
(list start end)))
URL: http://openwall.com/lists/oss-security/2017/09/11/1
Новость: http://www.opennet.me/opennews/art.shtml?num=47179
в любой операционке есть свои дыры...
А в этой операционке есть пакетный менеджер чтобы их патчить?
Это лисп, тут не нужен пакетный менагер, чтобы править уязвимости. В тексте новости написаны строчки, которые надо скопировать в *scratch* и выполнить, чтобы пропатчить дыру. Ещё их можно засунуть в ~/.emacs, чтобы не после перезагрузки компьютера не надо было бы снова патчить.
есть, чтобы патчить лисповые модули:
https://www.emacswiki.org/emacs/ELPAдля обновления ядра придётся пересобирать сишную часть или обновлять её средствами "загрузчика"
А новый лидер параноик не меньше старого. Это хороший знак. :)
Блин, я уж думал они закрыли разработку VIM и всех VIM-like редакторов и плагинов.
> Блин, я уж думал они закрыли разработку VIM и всех VIM-like редакторов
> и плагинов.Это такой наброс и провокация флейма? :D
> Это такой наброс и провокация флейма? :DУчитывая, как он написал слово believer, это наверное оскорбление чувств верующих. ;)
Оскорбление чувств любителей ливерной колбасы.
Мне кажется его ник буквально переводится как "Wayland, будь живым", а в переносном "Wayland, оживи!"
Wayland, будь печёнкой. Омномном.
>beliver
>liverМожет он просто алкоголик :)
Быть вайланду печенью, если я правильно понял ваш ник?
> Блин, я уж думал они закрыли разработку VIM и всех VIM-like редакторов
> и плагинов.1. В новости нет ни слова про vim. Читайте новость.
2. Emacs не есть Vim, читайте справку.
3. Vim не будут закрывать из-за одного неосилившего его ребёнка. Смиритесь.
"произвольных исполняемых блоков на Lisp" не для школоты
я прекрасно умею копировать скобочки мышкой - точно так же, как и буковки.
Ох уж эти сказочки, про вклад Столлмана в развитие Emacs)
> Ох уж эти сказочки, про вклад Столлмана в развитие Emacs)Аншлаг! Аншлаг!
Вот подтянулись личности, которые знают "как всё было на самом деле". Расскажите, поведайте нам.
> Ох уж эти сказочки, про вклад Столлмана в развитие Emacs)И правда, какое он вообще имеет отношение к Emacs. Он же ничего для Emacs не сделал!
Он просто его создал. ;)
> Он просто его создал. ;)Авраам родил Исаака. Исаак родил Иакова. ... Столлман родил Емакса.
<ohohoho>
На чём написан Емакс? И кто писал, говорят не уеб-макаки?
</ohohoho>
ребенок не заметил впопыхах, что про платформенную невозможность написать уязвимый код хвастливо рапортовали именно жабисты, на примере сишечки, плюсов. Так что увы и ах, к сожалению, детские каки не долетели до цели, упали на самого метателя. Явисты команды "ява мой первый и последний язык, ведь он лучший" немного предсказуемы.
А мне казалось это сишкины во всех ветках про Раст, Жабу и Го гадят про "нунужно" и "хипсторы кроме дартаньянов"Дык чё, можно писать на жабке? Решeто одинаковое, а скорость разработки хотя бы выше будет, раз так в 10?
> А мне казалось это сишкины во всех ветках про Раст, Жабу и Го гадят про "нунужно"А что не так, почему сразу гадят-от? Ну нужно же, даже ежу понятно. :)
> Дык чё, можно писать на жабке? Решeто одинаковое,
А не ты ли давеча говорил, что жаба pешeто, потому что на сях написана, и "от яблони далеко не укатишься"?
Так вот, с такой логикой можно назвать рeшетом всё.
> а скорость разработки хотя бы выше будет, раз так в 10?
В зависимости от задачи, скорость разработки и качество выходного продукта сильно зависят от используемого языка.
Вот напиши мне на жабке за полчаса программку, создающую и подписывающую debian-репозиторий, я посмотрю на тебя. А потом я тебе покажу скрипт на баше, который делает всё то же самое, но быстрее и лучше.
>Дык чё, можно писать на жабке?А что если запрещу - бросишь? :-)
Писать то можно ... но иногда 143 миллиона пиплов будут очень хотеть тебя убить :-)))))
Компьютеры - лютое шерето.
Так, погодите. Текстовый редактор выполняет произвольный код с редактируемого текста.
Феерично. Это если как бы IDEA при открытии исходников зловреда на scala (не смейтесь, я для примера) тут же его выполняла. Хоть и не совсем корректно сравнивать.
Но что закрыли — хорошо.
> Так, погодите. Текстовый редактор выполняет произвольный код с редактируемого текста.вас обманули. emacs - это такая операционная система со встроенным в нее лиспом.
Вот текстовый редактор в ней, традиционно, х..вый. Ну, извините, не до него как-то было.
А что, на лисп-е можно даже текстовый редактор забацать? И чего? Работает? Во здорово!!!!!!
ну раз можно целые операционные системы - чего ж редактор-то не.
Другое дело, что, как-то, в суматохе, никто не взялся... Так по сей день лучше того недоразумения, что встроено в emacs, ничего и не родилось. Ну, зато вот почту в никем неподдерживаемом "enriched"-формате в нем можно читать... А в _rich_ формате - пока не очень ;-)
Бесполезная вещь. Зато уязвимость пофиксили! Это правильно.
>Бесполезная вещь.Ты путаешь. это - у тебя между ушами :-)
> вас обманули. emacs - это такая операционная система со встроенным в нее
> лиспом.Вы чуть-чуть путаете. Это будет ОСью, когда его с GRUB2 скрестят, чтоб уж далеко не ходить :D.
> то будет ОСью, когда его с GRUB2 скрестят, чтоб уж далеко не ходить :DА полноценной осью когда systemd заэмбеддят.
set -o emacs
links opennet.ru
PWNED???!!!!1111пишу с мобилы ребята, камп ...
Интересно, Столман просматривает почту в GNU Emacs? Приватные ключи для доступа к серверам хранит на том же компе? А то можно же написать такое письмо которое при обработке в GNU Emacs сформирует ответное письмо в которое будут вложены ..., и фотки с котиками!
Вот поэтому и рулит unixway, а не эти комбайны со скриптовыми движками. Я вот просто взял ed 1987-го года от Brian Beattie, Kees Bot и других, и прикрутил морду на readline (не только с возможностями редактирования строки, но и с историей команд). Получился лёгкий, шустрый и удобный текстовый редактор (да, однобайтный), который так просто никто не поломает. gopher://sdf.org/9/users/saahriktu/filez/notbyme/ed-1987-0.3.tar.lzma
Похвастался? Ползай обратно, вот тебе дежурная порция внимания.
> gophergopher не обязательно нужен, иногда достаточно передавать файлы дискетой. Вышли мне пожалуйста этот файл 8"-дискетой по адресу: 420140 г. Казань, Советский р-н, проспект Победы, д. 100, кв. 25. Рудольфу Варфоломееву Петровичу. Предпочтительная файловая система -- FAT12 (FAT16 не всем нужен).
> FAT12 (FAT16 не всем нуженСогласен, а КОИ-8Р в движке опеннета - это расточительство. КОИ-7 хватает на всё!
А разве ФАТ16 вообще кто-то в здравом рассудке использовал на дискетах?
> -- FAT12 (FAT16 не всем нужен).к сожалению, FAT12 на 8" записать не можем - наша операционная система считает что он ненужен. Из доступного для 8" можем предложить только ТМОС (хрен знает, что у нее там за файловая система и была ли она вообще) - может, вам лучше на перфокартах? Элитно, надежно, проверено временем. Почта, правда, этот ящик принимать отказывается, но "Деловые линии" сказали - нивапрос, оплата получателем возможна, только вперед.
>Я вот просто взял ed 1987-го года от Brian Beattie, Kees Bot и других, и прикрутил морду на readline (не только с возможностями редактирования строки, но и с историей команд)Ты понимаешь, что ты УЖЕ слепил комбайн? Должен был отдельно ed, отдельно программа для редактирования строки, и отдельно программа для поддержки истории команд. А то вдруг кто-то захочет использовать свою версию ed?
> Вот поэтому и рулит unixwayЭкосистема Еmacs в целом соответствует философии Unix Макилроя
> а не эти комбайны
Emacs -- не комбайн, а операционная среда. Платформа для запуска lisp-программ.
> со скриптовыми движками.
Emacs Lisp прекрасно компилируется.
> который так просто никто не поломаетЕстественно не поломает. Он же не умеет в почту. Если ты ещё избавишь свой текстовый редактор от возможности редактировать тексты, то он вообще ставит неуязвимым.
> Естественно не поломает. Он же не умеет в почту. Если ты ещё
> избавишь свой текстовый редактор от возможности редактировать тексты, то он вообще
> ставит неуязвимым.Не факт. Вот перед самым носом пример специально уязвимой программы. Ломается через дрянь в командной строке. На самом деле это всего лишь тест asan, конечно, но так можно же.
>> Естественно не поломает. Он же не умеет в почту. Если ты ещё
>> избавишь свой текстовый редактор от возможности редактировать тексты, то он вообще
>> ставит неуязвимым.
> Не факт. Вот перед самым носом пример специально уязвимой программы. Ломается через
> дрянь в командной строке. На самом деле это всего лишь тест
> asan, конечно, но так можно же.Текстовый редактор, который не умеет редактировать тексты выглядит так:
_start:
movq $60, %rax
movq $0, %rdi
syscallЯ не верю, что тут возможно найти какую-либо уязвимость.
> gopher://sdf.org/9/users/saahriktu/filez/notbyme/ed-1987-0.3.tar.lzmaА может у тебя и BBSка есть? Как раз модем попался под руку, V.34+, все дела.
У меня нету. А так живые BBS'ки, вроде, продолжали быть. Некоторые доступны прямо через интернет.