Крис Эванс (Chris Evans), известный эксперт по компьютерной безопасности и автор защищенного FTP-сервера vsftpd, продолжил демонстрацию незащищённости мультимедийного фреймворка Gstreamer и представил (https://scarybeastsecurity.blogspot.ru/2016/12/redux-comprom...) новую 0-day уязвимость, позволяющую организовать выполнение кода при попытке обработки специальным образом оформленного мультимедийного контента. В момент публикации эксплоиты позволяют организовать стабильно повторяемую атаку против Ubuntu 16.04 LTS и Fedora 25 с самыми свежими обновлениями.Подготовлено два эксплоита. Первый оформлен в виде файла с расширением mp3 и позволяет выполнить код атакующего при копировании на рабочий стол или открытии каталога с файлом в файловом менеджере. Второй эксплоит поставляется как flac-файл, который в Fedora достаточно открыть в браузре Chrome (файл автоматически сохраняется на рабочем столе). В первом случае атака проводится через процесс gnome-video-thumbnailer, создающий эскиз с пиктограммой,
а в втором случае используется процесс tracker-extract, автоматически собирающий метаданные новых файлов. Индикатором успешной атаки в предложенных эксплоитах является запуск приложения с калькулятором (эксплоит может быть изменён для выполнения любого кода).Особого внимания заслуживает техника атаки, основанная на ошибке в коде обработки музыкального формата SNES (Super Nintendo Entertainment System). Как оказалось gstreamer-плагин воспроизводит SNES через..... эмуляцию машинных кодов звукового процессора Sony SPC700 при помощи эмулятора Game Music Emu (http://www.slack.net/~ant/libs/audio.html). В предложенных эксплоитах задействованы две ранее неизвестные уязвимости в эмуляторе, приводящие к переполнению буфера и позволяющие добиться выполнения кода процессором основной системы.
В серии своих (https://www.opennet.me/opennews/art.shtml?num=45543) исследований (https://www.opennet.me/opennews/art.shtml?num=45632), на примере подготовки рабочих эксплоитов, Крис Эванс пытается привлечь внимание к проблеме с плачевным уровнем безопасности в плагинах Gstreamer и показать, что возможно создание гарантированно работающих эксплоитов, использующих проблемы в обработчиках контента и успешно обходящих защиту механизмов ASLR (Address Space Layout Randomization) и DEP (Data Execution Prevention). Напомним, что в конце ноября Крис представил работающий в Fedora Linux эксплоит, использующий уязвимость в обработчике формата FLAC. После чего подготовил пример нового работающего эксплоита для этой же уязвимости, некорректно исправленной в Fedora Linux. Далее Крис опубликовал (http://scarybeastsecurity.blogspot.ru/2016/12/1days-0days-po...) сведения об ещё шести уязвимостях в декодировщиках форматов FLIC и vmnc, позволяющих организовать выполнение кода при открытии специально оформленных файлов.
Для успешного проведения атаки достаточно добиться обработки специально оформленного мультимедийного файла в системе, что можно сделать без явного открытия файла - в популярных дистрибутивах для новых файлов автоматически запускаются различные индексаторы метаданных (GNOME Tracker) и генераторы миниатюр для файлового менеджера. Также атака может быть совершена через web-браузер, путём автовоспроизведения подготовленного злоумышленником файла - несмотря на применяемые в браузерах средства изоляции предлагаемый для воспроизведения поток будет обработан уязвимым внешним кодеком или, в случае Chrome, сохранён на рабочий стол (для нового файла GNOME автоматически запустит обработчик метаданных).URL: https://scarybeastsecurity.blogspot.ru/2016/12/redux-comprom...
Новость: http://www.opennet.me/opennews/art.shtml?num=45700
> В первом случае атака проводится через процесс gnome-video-thumbnailer, создающий эскиз с пиктограммой
> в втором случае используется процесс tracker-extract, автоматически собирающий метаданные новых файлов.Опять гном. Кушайте не обляпайтесь.
Я тоже не люблю гном. Но в данном случае проблема не с ним, а с плагинами.Не все, как мы, согласятся 95% времени в терминале сидеть. Юзер-казуал в самом деле ждёт превьюшек всяких картинок и видео-файлов. И Гном обязан иметь этот пресловутый трекер, которые оные картинки создаёт.
ЧСВ еще не распирает черепную коробку? ГУИ - дефолт. точка.
К тому же тебе хватит и 1% времени чтобы эта уязвимость сработала.
Проблема в гстримере, который есть набор костылей с эмуляторами какого-то мусора для неиспользуемых форматов и просто рeшето. Там же синим по зеленому написано.
Гуя гуе рознь. Вот i3wm, например, гуя?
i3wm это гуйня
А ты в терминале не слушаешь mp3? Или у тебя там слаще vim нет ничего? А то обработчики форматов штуки навороченные и внимание их безопасности стали уделать только недавно. Когда народ начал fuzzing'ом баловаться и проч.
Человек, послушай меня, человек, я пробовал i3 всего лишь раз, я хз откуда такой хайп бешенный на эти тайловые недо-рабочие столы, но нормальный пользователь хочет видеть в 2017 году на линукс десктопе нормальный consistent полноценный десктоп, не слепленный из кусков разного г???на, как на самом деле обстоит сейчас в пока еще грядущем 2016 году. Мне для того, чтобы просто поменять темы того-сего и курсор + темы для браузера на Numix'овские пришлось открывать 5-6 разных окошек настроек, что на винде 95, 98, ХРюше и так далее делается в 2х местах, либо по тем временам, народ качал всякие украшалки для тамошнего window manager'а так называемого. Так что не надо грешить тут на гнум, он тормозной конечно да, но и кеды такой же лагодром, если нет нормального дискретного видео, либо интегряхи уровня современных встроек интела/амд. Ни то ни другое мне особо не нравилось, все наличествующие производные от gnome-shell на данный момент это "вид сбоку" на то же самое. Но оригинальный gnome-shell это меньшее из зол для меня на данный момент, а на слабых машинах это xfce, lxde, lxqt, и они тоже надо сказать, далеки на данный момент от идеала. А wayland просто не закончен и даже тестовая сессия его не может запустить например тот же aliensrl и прочую ASCII лажу в консоли нормально, так что Xorg еще ооочень долго будет жить.
> Xorg еще ооочень долго будет жить.Он будет жить ровно столько сколько его кто-то готов поддерживать. Разработчики графики в лине вполне себе хотят отвертеться от майнтенанса древнего кода который обладает кучей проблем и который невероятно сложно допиливать под современные реалии. А современные реалии могут быть и 4K * 4K да еще 64bpp (fp16 на канал). Там железячники то "pushed to their limits" и придумывают невероятные костыли. А уж крап типа иксов по любому будет тормозом прогресса.
> Человек, послушай меня, человек, я пробовал <вставить любой непривычный инструмент> всего лишь раз,fix. Особенно когда нет "историй успеха" перед глазами, то частенько виноград оказывается зелен.
> я хз откуда такой хайп бешенный на эти тайловые недо-рабочие столы,
А мусью в курсе, что i3wm (Window Manager), совершенно внезапно, НЕ рабочий стол и тем более НЕ окружение рабочего стола? Да и сам WM вполне нормально заменяется в тех же кедах, крысе или гнуме:
http://blog.hugochinchilla.net/2013/03/using-gnome-3-with-i3.../
http://feeblenerd.blogspot.de/2015/11/pretty-i3-with-xfce.html
> что на винде 95, 98, ХРюше и так далее делается в 2х местах,Правда, при этом скромно умалчивается, что кроме темок ничего больше и нельзя было менять - ни менеджер окошек, ни убогую панельку, ни тем более декорации.
Да и выбор темок был не очень -- предполагалось, что пользователь для этого приобретет "Windows Plus" за полсотни баксов.> либо по тем временам, народ качал всякие украшалки для тамошнего window manager'а так называемого
Для win 9x не помню, доступ к тырьнетам по диалапу тогда был редок и дорог, а вот насчет качания ХРюшных украшателей таки да, было дело:
"ты сегодня занят? можешь глянуть, чего это мой компютер сильно тормозит?" или "караул, помоги! я тут только темку хотел поменять, все делал по инструкции, а теперь не могу залогинится! Что делать?".
Оно и не очень удивительно - ведь украшалки были "левыми", да и сделаны методом научного тыка и обратной разработки, плюс обычная окошечная практика "бинарник онли", что очень привлекало скрипткидизов со своими троянами и угонщиками паролей.
> Да и сам WM вполне нормально заменяется в тех же кедах, крысе или гнуме:Кстати, а в чём вот суть замены xfwm на i3wm? Посмотрел одну вашу ссылку: там выпиливыют всё касающееся xfce и xfwm, и оставляют только конфиг i3. Как следствие, вопрос: не легче ли тогда взять за основу чистый i3wm и добавить к нему xfce-panel?
Если ещё точнее, то мне, пожалуй, не совсем ясно, какой именно функционал добавляет DE к оконному менеджеру. Я вот пока вижу только панель и всякие плагинчики к ней. А больше ничего такого DE-специфичного..
> Кстати, а в чём вот суть замены xfwm на i3wm? Посмотрел одну
> вашу ссылку: там выпиливыют всё касающееся xfce и xfwm, и оставляют
> только конфиг i3. Как следствие, вопрос: не легче ли тогда взять
> за основу чистый i3wm и добавить к нему xfce-panel?Кому-то видимо нравится. Навскидку - сессии и всякие конфигурялки xfce.
Я помню, одно время в крысе kwin (KDEшный ВМ) использовал.> Если ещё точнее, то мне, пожалуй, не совсем ясно, какой именно функционал
> добавляет DE к оконному менеджеру. Я вот пока вижу только панель
> и всякие плагинчики к ней. А больше ничего такого DE-специфичного.Не стоит искать какой-то глубокий смысл. Это просто первая попавшаяся "более-менее" приличная ссылка ;)
Целью было показать заменяемость компонентов ДЕ (в отличии от прибитых гвоздями окошечных).
> Я вот пока вижу только панель и всякие плагинчики к нейА я не понимаю зачем эти извращения в иксах вашему брату вообще нужны, когда tmux/screen тыщу лет как. Или прописывать floating для каждого ГУИ-приложения составляет особое удовольствие? )
tmux/screen - это конечно вещь нужная, но уж извините, i3 поддерживает смену хоткеев при входе в особые режимы работы, в отличие от wmii3 без плясок с бубном поддерживается кириллица в заголовках окон, а также многомониторные конфигурации заводятся с полпинка.PS: А floating, кстати, я так и не прописал ни одному приложению. :)
> Но в данном случае проблема не с ним, а с плагинами.Если что, "gnome" в репе - это вообще пустой пакет, но с кучей зависимостей. По такой логике, на него ни один баг повесить нельзя, он безглючен как программа с нулевым размером.
Реальность же в том, что трекер и гстример пишут ТЕ ЖЕ макаки, что и прочие гномоприложения. Думают при это тем же самым межушным ганглием, и пишут теми же самыми кривыми руками.
Иными словами - для вхождения в общество разработки гнома тебе нужно (и/или): быть фанатом редхата, быть хипстером/дизайнером/вые6щиком, быть фанатом мобильного убожества, или просто быть содомитом (там любят двигать всякие outreach program). А лучше всё и сразу.
Эта добрая традиция поддерживается уже больше 15 лет. См также CADT (https://www.jwz.org/doc/cadt.html)
Перекатился на KDE со времён третьеГНОМА и на VLC тогда же и не дую.
> Перекатился на KDE со времён третьеГНОМА и на VLC тогда же и не дую.Держи в курсе. Но какое это отношение имеет к этой статье. По дефолту в том же KDE много завязано и на gstreamer.
По поводу сабжа, я где-то наверно полтора года назад здесь писал про падучий gstreamer, что раз он используется активно и на входящих файлах, то и вектор вполне хороший. Но принцип неуловимого Джо работает и ни кому не надо. Но естественно не думающей аудитории это не понравилось :)
А с KDE тут еще к сожалению печальнее, учитывая что их даже уже Suse перестала дефолтом пихать в свое Suse Enterprise. Худой забор на пустыре не имеет меньше дырок, если через него никто не лезет.
И это круто. Этак с пять лет назад, я вообще вряд ли себе такое мог представить. Чтоб кто-то подобного уровня проводил работу на десктопном линуксе, да и пруф концепт в виде запуска калькулятора. Автору зачет, а вот фантики всегда одно и тоже кричат бессмысленное "XXX не нужно есть YYY", "а вот на венде" - но на то они и фанатики.
> По дефолту в том же KDE много завязано и на gstreamer.Я больше скажу: monodevelop на гстримере завязан. Нахрена козе боян?
Чего хайп развели то? На Linux нет же вирусов! Вот и не паримся...
VLC в свое время был лучшим, сейчас mpv рулит, но его интерфейс и управление отбивает все желание им пользоваться. Подумываю перейти на SMPlayer, или что-то другое с mpv в качестве бэкэнда, но с классическим интерфейсом.
> VLC в свое время был лучшим, сейчас mpv рулитВсе бы ничего но ни тот ни другой как таковые не мультимедийные фреймворки для встраивания в другие программы. Хотя у vlc еще есть libvlc, но чтобы им пользоваться для обработки мультимедии в софте - а софт который так делал бывает вообще? :)
Кажется, меня не поняли. Я имею в виду бэкэнд vlc, а не проигрыватель.
Все тебя поняли. Ты почему-то считаешь, что кому-то есть какое-то дело до того, каким софтом ты пользуешься. Отзывчивое сообщество предложило тебе и дальше всем рассказывать о том, какими проигрывателями ты пользуешься, какой туалетной бумагой подтираешь свой зад, и всю прочую инфу тоже рассказывать.
А, ты, наверно, ГНОМер :-) Тогда понятен твой бугурт.
А я, кстати, реализую своё право на свободу слова.
Лол, эти борцы за свободу слова, которые считают что кому-то кроме них есть дела до того, что им причиняет баттхёрт существование какой-то там DE, иногда становятся даже забавны.Я не пользуюсь ни гномом, ни кедами. Для меня лучший IDE -- терминал. И wm при этом я выбираю по принципу чем проще тем лучше, лишь бы модель фокуса переключаемого наведением мышки была бы реализована нормально.
> А, ты, наверно, ГНОМер :-) Тогда понятен твой бугурт.
> А я, кстати, реализую своё право на свободу слова.Эээ... Во-первых он точно не гномер.
Во-вторых бугурт - это когда латник врывается в строй врага. хз почему лурковцы стали использовать его как синоним баттхёрта.
В-третьих, свобода свободой, а людям конечно же оооооочень есть дело до того, каким софтом Вы пользуетесь.
> Перекатился на KDE со времён третьеГНОМА и на VLC тогда же и
> не дую.Я вас поздравляю, но реализация кед и пакетирование ее под разные дистры в т.ч. интеграция с конкретным дистрибутивом очень страдают у всех дистро-строителей современных, а с gnome-shell ни у кого таких проблем не наблюдается, сказать почему? Потому что большая фрагментация пакетной базы у КДЕ, об этом еще говорил мэйнтэйнер федоры, когда сваливал и мотивировал свой съ?б как раз тем, что не находит в себе сил поддерживать все это г?вно.
USE="-gnome -gstreamer"
> -gstreamerВы думаете в других мультимедийных фреймворках с этим сильно лучше? Или ваша идея в том, чтобы вообще на компьютере музыку не слушать и фильмы не смотреть?
>> -gstreamer
> Вы думаете в других мультимедийных фреймворках с этим сильно лучше? Или ваша
> идея в том, чтобы вообще на компьютере музыку не слушать и
> фильмы не смотреть?Не одним Govnostreamer'ом единым мир полнится, есть ещё ffmpeg (можно с -networking для мамкиных параноиков).
> Не одним Govnostreamer'ом единым мир полнится, есть ещё ffmpeg (можно с -networking
> для мамкиных параноиков).Тогда проще взять топор и в подъезде кабель перерубить. Вот тогда "защита" будет, ога.
Как это поможет от уязвимостей в демуксерах и кодеках? Думаете их там нет? Куча обработчиков весьма сложных форматов, написанных на Си, и все это без единой уязвимости?В том-то и дело, что это не проблема гстримера, это системная проблема, и поменять шило на мыло — не решение.
> Как это поможет от уязвимостей в демуксерах и кодеках? Думаете их там
> нет? Куча обработчиков весьма сложных форматов, написанных на Си, и все
> это без единой уязвимости?Там еще и ассемблер есть. А ява которая в виртуалочке и типа-безопасная но тормозит в 3 раза веселее и лагает gc'ом - такой фреймворк только автор и будет использовать.
Ну и вообще, тут не столько ЯП влияет сколько общая парадигма. Если кто пишет работу с внешними данными, код надо писать как будто вокруг сплошь враги и саботажники. А большинство прогармеров пишут как будто все обязались вести себя именно так как они предписали. И ЯП тут не очень поможет сам по себе. Вон сервера через вебню оптом хакают и без всякого си. Потому что програмеры считают что юзер будет себя вести так как они себе это вообразили. А юзер возьми да и пришли нечто непотребное.
>[оверквотинг удален]
> но тормозит в 3 раза веселее и лагает gc'ом - такой
> фреймворк только автор и будет использовать.
> Ну и вообще, тут не столько ЯП влияет сколько общая парадигма. Если
> кто пишет работу с внешними данными, код надо писать как будто
> вокруг сплошь враги и саботажники. А большинство прогармеров пишут как будто
> все обязались вести себя именно так как они предписали. И ЯП
> тут не очень поможет сам по себе. Вон сервера через вебню
> оптом хакают и без всякого си. Потому что програмеры считают что
> юзер будет себя вести так как они себе это вообразили. А
> юзер возьми да и пришли нечто непотребное.Нет, Вы упустили одну мысль, потому что в 2000х не было никаких хакеров ;)...и человеку который что-то строит в голову не придет, что кто-то придет и взорвет этот дом ;)
> Нет, Вы упустили одну мысль, потому что в 2000х не было никаких
> хакеров ;)...и человеку который что-то строит в голову не придет, что
> кто-то придет и взорвет этот дом ;)Вообще-то червяк морриса довольно баянная штука. Замки в дверях тоже придумали вроде бы далеко не вчера. А некоторые жили в мире розовых пони, искренне полагая что принцессы не какают, а хакеры не пришлют их программе carefully crafted данные, нацеленные на то чтобы логику программы сломать, с тем или иным профитом.
Так я Джаву и не предлагал, да сама JVM и ОС под ней написаны на C/C++.Мы слишком давно и глубоко зашли не туда, решением может быть только принципиально другая ОС на принципиально другом железе.
>> -gstreamer
> Вы думаете в других мультимедийных фреймворках с этим сильно лучше? Или ваша
> идея в том, чтобы вообще на компьютере музыку не слушать и
> фильмы не смотреть?
>Особого внимания заслуживает техника атаки, основанная на ошибке в коде обработки музыкального формата SNES (Super Nintendo Entertainment System).Да будет сильно лучше, если использовать то-же deadbeef/audacious/mocp/mpd, то поддерживаемые форматы вынесены в качестве плагинов, которые можно при желании отключить или заменить на безопасные, а gstreamer - это большое неповоротливое гуано, куда напихали бездумно все подряд, его вероятно можно пересобрать без поддержки SNES, но это займет порядком больше времени.
Вообще-то в gstreamer тоже плагины и их тоже можно удалять индивидуально и без пересборки.
Ну да, только в большинстве дистрибутивов они разбиты на good/bad/base, хочешь иначе - иди пересобирай.
> Ну да, только в большинстве дистрибутивов они разбиты на good/bad/base, хочешь иначе
> - иди пересобирай.Так это же и плагинов mpd касается.
Ну и вообше, gstreamer это фреймворк которым можно пользоваться из других программ. А mpd это просто программа. Которую из своей программы вызывать криво и нерезультативно.
>>> -gstreamer
>> Вы думаете в других мультимедийных фреймворках с этим сильно лучше? Или ваша
>> идея в том, чтобы вообще на компьютере музыку не слушать и
>> фильмы не смотреть?
>>Особого внимания заслуживает техника атаки, основанная на ошибке в коде обработки музыкального формата SNES (Super Nintendo Entertainment System).
> Да будет сильно лучше, если использовать то-же deadbeef/audacious/mocp/mpd, то поддерживаемые
> форматы вынесены в качестве плагинов, которые можно при желании отключить или
> заменить на безопасные, а gstreamer - это большое неповоротливое гуано, куда
> напихали бездумно все подряд, его вероятно можно пересобрать без поддержки SNES,
> но это займет порядком больше времени.Проще ограничить себя интернет радио и не качать всякую муть с браузеров, а юзать там торренты скажем + проигрыватели, да и все.
> Проще ограничить себя интернет радио и не качать всякую муть с браузеров,ИМХО это недостаточно радикально. Лучше ограничить себе сеть локалхостом. И его потом забанить на фаере, согласно заветам роскомпозора. Хотя более надежно наверное ограничить себя в электричестве. Без электричества компьютеры не работают - враг не пройдет.
> а юзать там торренты скажем + проигрыватели, да и все.
А это, кто гарантирует отсутствие дыр в торрент клиенте и проигрывателях? А также то что торрент и его данные - не malicious?
Сохранять файлы на рабочий стол - чисто вендузятническая привычка.
Не важно, т. к это только один возможных из вариантов эксплуатации.
Только неполноценные используют ПО не так как им удобно, а так как в в каких-то гайдах написано.p.s. Рабочий стол - обычная папка в системе.
Скажи, что можно засунуть на рабочий стол такое, для чего не найдется место в других xdg user dirs? Документы? Но им место в... папке "Документы". Изображения? Но им место в... папке "Изображения". Скачанные наспех файлы? Но им место в... папке "Загрузки". И так далее. Нужность папки "Рабочий стол" неопределенна. Разве что для ярлыков программ, но это опять вендовенько.
>"Вендовенько"Ну мам, ну скажи им что я особенный, я не такой как вся эта серость.
Мам, ну зачем мне порядок? Мам, ну зачем класть ложки сюда, тарелки сюда, а пылесос сюда? Мам, ну давай просто сделаем один большой склад всегО на балконе? Мам, гении управляют хаосом, пойми.
> Скажи, что можно засунуть на рабочий стол такое, для чего не найдется
> место в других xdg user dirs? Документы? Но им место в...
> папке "Документы". Изображения? Но им место в... папке "Изображения". Скачанные наспех
> файлы? Но им место в... папке "Загрузки". И так далее. Нужность
> папки "Рабочий стол" неопределенна. Разве что для ярлыков программ, но это
> опять вендовенько.xdg-user-dirs вообще ненужная опухоль. Адекватный пользователь сам знает какие каталоги ему нужно создать и для чего. А эта хрень на столько въелась в систему, что продукты от Mozilla создают ~/Desktop и ~/Downloads при запуске, абсолютно игнорируя тот факт, что xdg в системе отсутствует.
> xdg-user-dirs вообще ненужная опухоль. Адекватный пользователь сам знает какие каталоги
> ему нужно создать и для чего.Тормозилла вообще не такая как все. И xdg она вообще не умеет по назначению использовать. Потому что в стандарте чётко написано, что и где хранить. Только многие пренебрегают этим фактом. В стандарте прописано, что хранить настройки, кеш и какие-то долгосрочные файлы в ~/.config, ~/.cache и ~/.local соответственно. Мне не нравится, когда весь софт гадит в ~/, но увы. Я писал для себя пару патчей, а потом забил. Весь софт сложно переучить, а особенно когда это какой-нибудь gnome, которого у тебя в помине нет, но что-то упорно создаёт ~/.gnome-*. Куда копать - непонятно. А ещё этим страдают alsa, bash и Xorg.
И для полного счастья - ещё и с большой буквы. Вот уж убогая идея.
> вендовенько.
> папкаВот ты и спалился.
> Скажи, что можно засунуть на рабочий стол такое, для чего не найдется
> место в других xdg user dirs? Документы? Но им место в...
> папке "Документы". Изображения? Но им место в... папке "Изображения". Скачанные наспех
> файлы? Но им место в... папке "Загрузки". И так далее. Нужность
> папки "Рабочий стол" неопределенна. Разве что для ярлыков программ, но это
> опять вендовенько.Как это не определенна? Все инсталляторы GOG игр ложат ярлыки туда, тот факт, что линуковые нэйтив программы обновляют только дефолтную менюшку и не запихивают ярлыки как софт центр убунты на панель юнити по дефолту, не говорит о том, что в других ДЕ пользователь сам не пихает себе ярлыки туда, я например, постоянно ярлык терминала там держу и т.д. До указанных вами папок нужно запустить ФМ и дойти еще, либо с тулбара квик фолдером пройти и открыть, а большинство людей хайпящих линукс в современном мире свалили на него как раз из виндов, так что не надо ля ля, все популярные ДЕ xfce, lxde, lxqt никогда от этих принципов не отказывались, тот же gnome 2 был виндовенький, другое дело что 3й сделали через жопу на посмотреть, адаптируются ли хомячки или нет, в итоге по результатам они сделали fallback режим, это говорит о востребованности данной функции и папки Рабочий стол. Напротив то как это сделано в Plasma (а оно там сделано просто не удобно) говорит о том, что они пошли в разрез и наперекор пользователям, ломая привычный уклад дел. (хотя там есть возможность сделать тот же фолдер рабочим столом..., но, мне не нравится ни фаллбэк gnome-shell ни этот псевдо рабочий стол папка в Plasma, а вот интерфейс ХР был идеальным и это обуславливает существование таких дистров как Zorin и так далее, копирующих морду хрюши).
Накатал целую простыню, оправдывая свое неумение пользоваться хот-кеями.
Угу. И ведь ярлыки-то использовать не удобно. Искать ещё эту хренотень глазами по экрану.
Вот то ли дело dmenu. Вызвал его хоткеем, набрал имя нужной программы, она запустилась. Куда как проще.
> уязвимости-то работают в любом случае, куда бы не сохранили. Просто журнашлюхи этого
> не понимают.Чтобы сработало - должен случиться thumbnailing. И если сложить абы куда, он может и случиться. Но когда-нибудь потом. Когда юзер забредет в диру, или какие там критерии.
А если на десктоп вывалить - thumbnail потребуется немедленно. И вот тут то и будет ололо.
Ну а сказ про то что без превьюшек можно обойтись - да конечно моно, но сейчас камеры у каждой собаки в ошейнике, не то что у каждого чудака в смарте. И когда у вас образуется этак штук 500 мувиков, без превьюшек становится галимо.
Собственно, как ни наличие "рабочего стола" в принципе. Но вот индексация - штука очень даже осмысленная.
Читайте новости целиком, пожалуйста.>> или открытии каталога с файлом в файловом менеджере
wmaker рулит
рулит неописуемо! На Фряхе и Солярке в том числе!
> рулит неописуемо! На Фряхе и Солярке в том числе!На реактос надо портировать. Система вообще не загрузится и проблема с уязвимостями мультимедийных фреймворков отпадет сама собой.
Еще i3 и fluxbox.
> Еще i3 и fluxbox.А ещё Openbox, Awesome, etc. 1000 их.
> привлечь внимание к проблеме с плачевным уровнем безопасности в плагинах Gstreamerтолько не "в плагинах Gstreamer" а в десктопных дистрибутивах линукса
очень правильно делает, побольше ему разнонаправленных дырок чтоб до народа дошло что надо кроме латания кротовых нор ещё и сам огород забором огораживатьзы: уязвимость в эмуляторе звукового проца порадовала
> Крис Эванс (Chris Evans), известный эксперт по компьютерной безопасностиПо этому поводу заметил, что он ушёл-таки из Microsoft (а вот как он туда попал -- уже толком и не помню, припоминается только, что его лавочку купили SuSE-шники и потащили наработки в дистрибутив, а затем их купил Novell и всё это выкинул). Уже хорошо, т.к. очень грамотный дядька.
Вы путайте, он в MS никогда не работал. Работал в Oracle, Google и Tesla Motors.
А вообще он с чувством юмора и на вопрос, где работает в анкетах указывает "Senior builder of Lego".
Последние уязвимости это уязвимости парсеров в любых проявлениях, от музыки и картинок до архивов...
> Последние уязвимости это уязвимости парсеров в любых проявлениях, от музыки и
> картинок до архивов..."Последние" не при чём. Тащуть в копьютер чего не попадя -- а все болезни от грязых рук!
Википедия учит нас, что недостаточная проверка входных данных... источник:
Примеры уязвимостей--https://ru.wikipedia.org/wiki/%D0%A3%D1%...
Распространённые типы уязвимостей включают в себя:
[...]
* Ошибки проверки вводимых данных, такие как:
[...]Causes
[...]
* Unchecked user input: The program assumes that all user input is safe. Programs that do not check user input can allow unintended direct execution of commands or SQL statements (known as Buffer overflows, SQL injection or other[...]
--https://en.wikipedia.org/wiki/Vulnerability_%28computin...И да, "известный специалист по безопасности" в таком контексте -- человек проверяющий проверки входных данных в программах лучше/тщательнее авторов этих програм. Вплоть до: даже знающий их вх.данные лучше тех самых авторов.
У меня dwm. На рабочем столе только паяльник, платы и куча разного барахла валяется.
stumpwm+emacs+firefox(для опеннета). На рабочем столе - пиво, вобла и пяток книг.
Вот дырище а говорили что это только в винде.
> Вот дырище а говорили что это только в винде.Ты хоть ложку-то в рот -- сам доносишь? А то то, что ты там услышал, кричит: с такими сложностями не живут. Береги себя!
http://www.opennet.me/opennews/art.shtml?num=43730
http://www.opennet.me/opennews/art.shtml?num=42677
помню такие дыры были в винде лет 5 назад, может 10.. с тех пор давно не слышно было.
А линукс получается только входит в эту зону.. лет на 10 отстает.
Если я на свой десятилетний комп поставлю линукс, то он будет себя вести так, будто ему 20 лет? =)
вспоминая недавний ping death в линуксе - то соглашусь с вами. в винде такую ошибку фиксили в 95м.. 20 лет назад.
> вспоминая недавний ping death в линуксе - то соглашусь с вами. в
> винде такую ошибку фиксили в 95м.. 20 лет назад.Главное, что фиксят, а в венде некоторый софт от этих дыр зависит. И там это либо не фиксится, либо эмулируется.
> вспоминая недавний ping death в линуксе - то соглашусь с вами. в
> винде такую ошибку фиксили в 95м.. 20 лет назад.Ты главное не вспопинай, как "такие"ТМ ошибки "в линукс" (да, тебе не понять про Гноме) фиксили 20 лет назад, "какие"Тм в венде в это вториник. А то и не пофиксили (см.выше про "вредоносы и ссылки в них") совсем, да? И вообще не смей думать в ту сторону, а то ни дай Б.Г., диссонанс, завороток и аморальная смерть. Такого ж специалиста по сравнительному анализу потеряем! Не-е-ет.
> помню такие дыры были в винде лет 5 назад, может 10.. с
> тех пор давно не слышно было.
> А линукс получается только входит в эту зону.. лет на 10 отстает.То-то по нескольку раз в месяц слёзные письма от интерпрайзной техподдержки: мол, участились отдельные случаи обнаружения в почте вредоносных ссылок, если видишь вредоносную ссылку в почте -- удали её и не открывай. И скриншотик в jpeg-е с аутглюком -- вот он какой вредонос и ссылка в нём.
Да-да, расскажите нам больше про "десяточка стала лучше"...
Не имею ничего против конкуренции между GNOME и KDE. Однако я уверен, что если бы Red Hat вместо вбухивания кучи денег в аналог KDE - вбухала эту же кучу в развитие KDE, то ничего бы этого не было. GNOME оставался бы маргинальщиной, как и остальные программы авторства Мигеля.
Не, ну реально, нафига столько прослоек и абстрацкий? Мало того, что это жрёт память - так это ещё и привносит целую кучу уязвимостей в каждой прослойке!Нахрена нужен Totem поверх Gstreamer поверх ffmpeg поверх liblamemp3? И ещё пульса там где-то посередине. Я бы понял если бы Totem был навороченным комбайном с кучей крутилочек и всяких фильтров - но нет же, он обладает возможностями Windows Media Player времён Wineows 95.
RH болеет NIH-синдромом. Впилила KDE, чтобы потом выпилить. Впилила Xen только потому, что не успевала доделать KVM к релизу RHEL5, а рынок не ждёт. Впилила upstart в Fedora 9 и RHEL6, чтобы потом... ну вы знаете.
> RH болеет NIH-синдромом. Впилила KDE, чтобы потом выпилить. Впилила Xen только потому,
> что не успевала доделать KVM к релизу RHEL5, а рынок не
> ждёт. Впилила upstart в Fedora 9 и RHEL6, чтобы потом... ну
> вы знаете.Навар с оборота. Движуха! Чем хуже, тем виндовее. Сверьхдоходы сами себя не получат. Не давать клиету расслабиться -- пусть платит. Спасибо Гейтсу, О'Райли и Вайтхёрсу за наш опенсорсик, ура!1
> Не имею ничего против конкуренции между GNOME и KDE. Однако я уверен,
> что если бы Red Hat вместо вбухивания кучи денег в аналог
> KDE - вбухала эту же кучу в развитие KDE, то ничего
> бы этого не было. GNOME оставался бы маргинальщиной, как и остальные
> программы авторства Мигеля.как ни странно, но Мигель был автором mc, который маргинальщиной ну никак назвать нельзя. А вот GNOME3 вроде вообще без его участия делается(могу ошибаться) и да, он должен помереть или уйти с десктопов на планшеты, где ему самое место.
Печально всё с парадигмой автоматического сбора информации о файле из файла...Когда-то я считал что если файл имеет расширение mp3, то в нём может лежать только mp3 в определённом формате, и если формат не подходит, то приложение не должно пытаться любыми способами его распарсить. Но оказывается так многим неудобно, и у нас появляются .mp3 файлы в которых лежит совсем другое содержимое, которое мне вероятно никогда в жизни и не понадобилось, но для "нужд пользователей", миллион распознавателей запихали в систему.
Мне нравится так смотреть директории "found.000". Там внутри file0000.chk и задолбаешься переименовывать, чтобы понять что это. А Linux показывает: ZIP-архив, mp3-файл, видео. Или "Не распознано, BIN".
fidentify, которая от testdisk/photorec прекрасно решает эту проблему.
> fidentify, которая от testdisk/photorec прекрасно решает эту проблему.В большинстве пингвинов сразу есть банальный file и он таки большинство файлов распознает. А проблема с упомянутыми файлами в том что они могут быть не полные. И тут уже ой.
Калькулятор при это не запускается?
> Калькулятор при это не запускается?Нет, libmagic ищет "магические числа".
Потому что если этого не делать - нужно учитывать мешок вариантов. Для того же mp3 это, может, и ограничится приведением регитсра расширения, а вот для джипега мне вариантов 5 точно попадалось. .jpeg, .jpg, .jpe, .jfif - было что-то ещё, но не помню. И это не единственный случай, у DJVU несколько расширений. В этом плане определение по содержанию - способ, избавляющий от привязки к фиксированному списку. Плюс ещё как именно сохранится скачанный из сети файл - интересный вопрос, можно и MP3 с расширением .html получить, или любым другим.
> Печально всё с парадигмой автоматического сбора информации о файле из файла...
> Когда-то я считал что если файл имеет расширение mp3, то в нём
> может лежать только mp3 в определённом формате, и если формат не
> подходит, то приложение не должно пытаться любыми способами его распарсить. Но
> оказывается так многим неудобно, и у нас появляются .mp3 файлы в
> которых лежит совсем другое содержимое, которое мне вероятно никогда в жизни
> и не понадобилось, но для "нужд пользователей", миллион распознавателей запихали в
> систему.расширения реально удобно использовать в файловых менеджерах для сортировки файлов, при открытии грамотнее оперировать HEX/ASCII заголовками
В юниксе (и потомках) нет расширений. Такая вот парадигма - есть имя файла и в нем может быть точка.
> В юниксе (и потомках) нет расширений. Такая вот парадигма - есть имя
> файла и в нем может быть точка.Технически оно как бы так, однако ж миднайт командер умеет сортировку по расщирению :). Ну то-есть расширение это сейчас скорее человеческий convention нежели что-то еще.
А просто потому что не удобно когда есть допустим
aba
bac
daf
acbИ поди догадайся кто из них что.
А если хочется лулзов срубить - можно в имя файлов 0x0d или 0x0a засунуть. Или все и сразу. Алсо не менее годно засунуть в навание файла пробелы, кавычки, > | < и проч. В этом месте шеллскриптеры могут конкретно откушать, да и любители командлайна могут наипаться от души :)
> засунуть в навание файла пробелы, кавычки, > | < и проч. В этом месте шеллскриптеры могут конкретно откушать, да и любители командлайна могут наипаться от души :)какой там от души, на вот почитай на досуге
> Особого внимания заслуживает техника атаки, основанная на ошибке в коде обработки музыкального формата SNES (Super Nintendo Entertainment System). Как оказалось gstreamer-плагин воспроизводит SNES через эмуляцию машинных кодов звукового процессора Sony SPC700 при помощи эмулятора Game Music Emu. В предложенных эксплоитах задействованы две ранее неизвестные уязвимости в эмуляторе, приводящие к переполнению буфера и позволяющие добиться выполнения кода процессором основной системы.Ну вот и зачем это тащить в умолчательной поставке? Кому это нужно, тот сам поставит.
> tracker-extractвот эта нужная программа очень глючная. Сначала вроде работает. А через некоторое время, смотришь системные логи и диву даешься сколько она гадит, а потом смотришь монитор ресурсов - и охреневаешь от занятых ей ресурсов. А потом сносишь её и живешь без быстрого поиска.
Ну, есть там synapse, кстати, полуживой. Уже хорошо.
> flac-файл, который в Fedora достаточно открыть в браузре ChromeНно… зачем?!
А какого, простите, хера, эти превьюшкосоздавалки не запускаются под строгими профилями AppArmor или SELinux?
Им ведь писать надо только в директорию с превьюшками, запускать всё подряд им не требуется (только что-то вспомогательное для превьюшек).
> А какого, простите, хера, эти превьюшкосоздавалки не запускаются под строгими профилями
> AppArmor или SELinux?
> Им ведь писать надо только в директорию с превьюшками, запускать всё подряд
> им не требуется (только что-то вспомогательное для превьюшек).Затем что
1 АНБ нужны дырки
2 это всё не поможет - в таком случае будет задействованы эксплоиты в рендеринге картинок в de и вообще исполнения произвольного кода в ядре
Скорее - какого там никто дыры искать и чинить не пытался. Надо посмотреть, но у меня сильное подозрение, что половина там тупо статическим анализатором поймается, а две трети от оcтавшегося - gcc-шными санитайзерами.
>Им ведь писать надо только в директорию с превьюшками, запускать всё подряд им не требуется (только что-то вспомогательное для превьюшек).Да ладно?
Смотрим, чего нужно keneric-у:
unzip, ffmpegthumbnailer, convert_palette.py, blender-thumbnailer.py, gsf-office-thumbnailer, convert…
Т.е. софт из /usr/bin и скрипты из ~/bin (к примеру).
> unzip, ffmpegthumbnailer, convert_palette.py, blender-thumbnailer.py, gsf-office-Если нечто писано на бидоне то оно почти гарантированно не обрабатывает ошибки и считает что принцессы не какают, в том плане что форматы файлов будут правильные, имена файлов всегда будут без подлян, а какой-нибудь system() сделанный на невалидированные юзерские данные - ничем как бы и не чреват.
>Если нечто писано на бидонеК сожалению, бывает так, что если что-то не написано на Питоне, то оно не написано вовсе.
> А какого, простите, хера, эти превьюшкосоздавалки не запускаются под строгими профилями
> AppArmor или SELinux?
> Им ведь писать надо только в директорию с превьюшками, запускать всё подряд
> им не требуется (только что-то вспомогательное для превьюшек).А такого, что они должны правильно работать. А не быть дырами в системе, норовящими запустить чей-то зловредный код.
В сертифицированном RedHat работает?
Ну вашу ж мать, теперь ещё и плеер через firejail запускать придётся.
Да ну тебе, ничего не придется. Просто дождись, когда обновы прилетят, ну и установи их. Думаю, ментейнеры разберутся, че там как организовать.
> Да ну тебе, ничего не придется. Просто дождись, когда обновы прилетят, ну
> и установи их. Думаю, ментейнеры разберутся, че там как организовать.что делать тем у кого mitm?
tracker - это первое, что отключаю при сборке xfce.
жрать столько ресурсов ради дурацких сабнейлов - моветон. Особенно на слабых машинах.
> trackerЧто это и зачем оно (не)нужно?
Мимопользователь хфце.
tracker? в xfce? rly?Превьюшками там занимается tumbler, вызываемый thunar'ом через dbus, но никак не tracker.
А вот tumbler как раз таки зависит от gstreamer, имеет поганую привычку виснуть и сегфолтится.
Я одного не понимаю. Давно уже известен вагон методик при кодировании в "небезопасных" языках, таких как С, которые возможность скрытого появления таких уязвимостей сводят к минимуму. Но писатели не устают наступать на одни и те же грабли. А ведь по большому счету это просто вопрос дисциплины и всё.
> Но писатели не устают наступать на одни и те же грабли. А ведь по большому счету это просто вопрос дисциплины и всё.я тоже считаю -- надо быть с ними построже.. ато совсем уже распоясались
>gstreamerшо, опять?
Обиднее всего, что многие нужные тулзы тянут жистремер в зависимостях (аудасити, например), из-за чего совсем снести его из системы нельзя
Ubuntu MATE 16.04 - не работает (проверил с мп3-файлом).