Раскрыта информация об уязвимости (CVE-2021-4160) в криптографической библиотеке OpenSSL, вызванной ошибкой в реализации сумматора в функции BN_mod_exp, приводящей к возвращению неверного результата операции возведения в квадрат. Проблема проявляется только на оборудовании на базе архитектур MIPS32 и MIPS64, и может привести к компрометации алгоритмов на базе эллиптических кривых, включая используемые по умолчанию в TLS 1.3. Проблема устранена в декабрьских обновлениях OpenSSL 1.1.1m и 3.0.1...Подробнее: https://www.opennet.me/opennews/art.shtml?num=56604
Что-то любители суидных программ притихли.
SUID не должно быть ваще. Кое где пока надо CAP+DAC настроить.
Да и синефилов не слышно...> уязвимости в графическом драйвере i915 ... из пространства пользователя получить доступ к случайным страницам памяти ... Проблема проявляется на всех встроенных и дискретных GPU Intel.
Так бывает, когда софт огромный, монолитный и уродливый.
И написан на сишке
Тем временем изящные rust-программы линкуются c (g)libc.
Местного тролля - завсегдатая не кормите.
Троллить можно правдой, можно - кривдой.
Мождно использовать libc от Ресдох. Но это очень-очень-очень теоретически.
Линковались бы. Если бы хотя бы существовали (не говоря уже про работоспособность).
> Тем временем изящные rust-программы линкуются c (g)libc.И при этом не работают.
Или на СиПлюсПлюшке.
Местные сектанты не меняются - всё так же полыхают от констатации фактов 😄Ваша война с реальностью бесполезна, манюши мои - люди уже поняли что к чему и планомерно вытесняют дуршлаговую сишку из экосистемы: https://www.phoronix.com/scan.php?page=news_item&px=Rust-Cor...
Новость: вышла версия v0.0.12, несколько утилит стало работать быстрее.
Растаманька: Rust вытесняет дуршлаговую сишку из экосистемы.Okaaay.
> И написан на сишкеИменно, написано и работает.
Толи дело хряст, на котором ничего дальше пре пре пре пре пре пре альфы не вышло и не выйдет
Вон в соседней ветке даже cp и df не осилили.Неосиляторы позорные
> Толи дело хряст, на котором ничего дальше пре пре пре пре пре пре альфы не вышло и не выйдетКакой мощный выброс метана! Так держать!
https://www.opennet.me/opennews/art.shtml?num=56616
> Компания Amazon опубликовала значительный выпуск монитора виртуальных машин (VMM, Virtual Machine Monitor) Firecracker 1.0.0, рассчитанного на запуск виртуальных машин с минимальными накладными расходами.
> Компания Amazon опубликовала систему виртуализации Firecracker 1.0
> Firecracker является ответвлением от проекта CrosVM, используемого компанией Google для запуска приложений Linux и Android в ChromеOS
> Код Firecracker написан на языке Rust"Дополнительно можно отметить публикацию компанией Intel гипервизора Cloud Hypervisor 21.0, построенного на основе компонентов совместного проекта Rust-VMM, в котором кроме Intel также участвуют компании Alibaba, Amazon, Google и Red Hat. Rust-VMM написан на языке Rust и позволяет создавать специфичные для определённых задач гипервизоры."
> Вон в соседней ветке даже cp и df не осилили.
Просто ты прочесть глазами не осилил.
> Неосиляторы позорные
А ты самокритичен!
Вот только модульного и красивого софта на rust'е нет.
А "огромный, монолитный и уродливый" код на Си есть и работает десятилетиями.
Хуже: не только нет, но и не будет.
Растишка с гошечкой как примеры.
Тьфу, растишка, рабишка.
В твоём понимании никто не пишет на сишке, кроме гнутого быдла?
О да, musl - это отличный пример, как можно сделать buffer overflow в функции printf.
> О да, musl - это отличный пример, как можно сделать buffer overflow
> в функции printf.и все же масл хорош :)
Холд он, сынок, холд он. Без гнутых, ты б на протяжении десятилетий не имел чем компилировать опёнок.Неблагодарность превращает человека в скот, а юниксоида в бздуна или лапчатого. Не будь как они.
> Холд он, сынок, холд он. Без гнутых, ты б на протяжении десятилетий
> не имел чем компилировать опёнок.Самая любимая легенда гнутиков. PCC, миниксный ACK - не, не слышали ...
>Самая любимая легенда гнутиков. PCC, миниксный ACK - не, не слышали ...Что первый, что второй бесполезны для сборки даже самой системы, не говоря уже о портах.
>>Самая любимая легенда гнутиков. PCC, миниксный ACK - не, не слышали ...
> Что первый, что второй бесполезны для сборки даже самой системы, не говоря уже о портах.Естественно, что _сейчас_ они бесполезны - ведь их никто не развивал и систему сборки под них не делал.
>>>Самая любимая легенда гнутиков. PCC, миниксный ACK - не, не слышали ...
>> Что первый, что второй бесполезны для сборки даже самой системы, не говоря уже о портах.
> Естественно, что _сейчас_ они бесполезны - ведь их никто не развивал и
> систему сборки под них не делал.Ну не гнутые же виноваты в этом, не так ли? Хотели "здесь и сейчас", хотели стабильный "power to serve", хотели больше архитектур, и т.д. Я это понимаю. Не понимаю скотской неблагодарности. Тем более сейчас, когда гну пинает каждая корпоративная подстилка.
Монолитный и уродливы код на Си есть и в нем баги десятилетиями находят.
А не монолитный и вполне себе элегантный код на Си тоже есть и вполне себе радует своих пользователей.
И раст тут ни при чем.
Два чая этому господину!
Пруфы.
>Монолитный и уродливы код на Си есть и в нем баги десятилетиями находят.
>А не монолитный и вполне себе элегантный код на Си тоже есть и вполне себе радует своих пользователейИ в нём багов даже не ищут?
> Вот только модульного и красивого софта на rust'е нет.MFEK ( https://github.com/MFEK/docs ) же: https://www.youtube.com/watch?v=Y1Gkkx1f3uY
> Так бывает, когда софт огромный, монолитный и уродливый.Как системда или раст.
Ну надо же, в божественную Glibc закрались уязвимости! Еще и с переполнением буфера.
Которая старше чем половина анонов на опеньке. Кто там бузил про уязвимость в rust-lib с версии 1.0, ваш выход))
Да только в случае glibc достаточно обновить glibc. А в случае rust-lib - надо пересобрать все, что эту rust-lib использует.Алсо, никто не орет про супер безопасность C и Glibc, в отличие от.
> Да только в случае glibc достаточно обновить glibc. А в случае rust-lib - надо пересобрать все, что эту rust-lib использует.Ну да, а собирать динам. линковкой вместо статики не давали ССЗБ кор-тим растоманы лично.
> Алсо, никто не орет про супер безопасность C и Glibc, в отличие от.
Интересно, эти крики кто нибудь, помимо Военов Антирастового Сопротивления, слышал?
> Ну да, а собирать динам. линковкой вместо статикираст так умеет?
>> Ну да, а собирать динам. линковкой вместо статики
> раст так умеет?Причем изначально. Проблемы были как раз со статикой.
https://github.com/rust-lang/rfcs/blob/master/text/0404-chan...
> Start Date: 2014-11-01
> Long ago rustc used to only be able to generate dynamic libraries and as a consequence all Rust libraries were distributed/used in a dynamic form.
> Over time the compiler learned to create static libraries (dubbed rlibs). With this ability the compiler had to grow the ability to choose between linking a library either statically or dynamically depending on the available formats available to the compiler.
А че бинарники такие жирные? Рантайм стока тянет или кодегенератор?
cat hello.rs && rustc hello.rs -O -C prefer-dynamic -C link-args=-s && wc -c hello
pub fn main() {
println!("hello opennet");
}
6608 hello
> А че бинарники такие жирные? Рантайм стока тянет или кодегенератор?Не, это ты по ошибке зеркало глянул.
>>6608 hello$ cat <<EOF | gcc -xc -; du a.out
#include <stdio.h>
int main() {
printf("hello opennet\n");
}
EOF
32 a.outНу вот я и спрашиваю, чё жирный такой? :-D
>Не, это ты по ошибке зеркало глянул.
Мааааам...
>>>6608 hello
> $ cat <<EOF | gcc -xc -; du a.out
> 32 a.out
> Ну вот я и спрашиваю, чё жирный такой? :-DОтойди уже от зеркала, почитай заодно man du
cat hello.rs && rustc hello.rs -O -C prefer-dynamic -C link-args=-s && du hello
pub fn main() {
println!("hello opennet");
}
8 hello>>Не, это ты по ошибке зеркало глянул.
> Мааааам...О, этот АнтиРастоВоен спекся, давайте следующего!
> О, этот АнтиРастоВоен спекся, давайте следующего!Кстати, дорогие Воены, приготовте лед и огнетушитель и смотрите внимательно, будет фокус!
$ cat <<EOF | gcc -xc - && ./a.out >> /dev/full
#include <stdio.h>
int main() {
printf("hello opennet\n");
}
EOF
<пусто>$ cat hello.rs && rustc hello.rs -O -C prefer-dynamic -C link-args=-s && du hello && ./hello >>/dev/full
pub fn main() {
println!("hello opennet");
}
8 hello
thread 'main' panicked at 'failed printing to stdout: No space left on device (os error 28)', library/std/src/io/stdio.rs:935:9
>> О, этот АнтиРастоВоен спекся, давайте следующего!
> Кстати, дорогие Воены, приготовте лед и огнетушитель и смотрите внимательно, будет фокус!Это прекрасно, вот что значит безопастность :-D
https://github.com/uutils/coreutils/issues/2925
Кстати, это таки интересный вопрос, какое поведение более правильное:
- или сделать непойми что втихую и отрапортовать об успехе (сишка)
- или честно упасть с ошибкой при невозможности записи в место, куда писать не получится никак (раст)
Какое более правильно в вакууме? Когда не спрашивают? )) Если как на расте по умолчанию правильно, чо ж растамани с гитхаба создали тикет? Почему не наслаждаются безопастностью? :-D
май фолт.Повторяю твой шаг на дебе, получаю:
14384 hello
Никак не 6608.
Дальше смотрю:
$ ldd hello
linux-vdso.so.1 (0x00007ffdaf1d0000)
libstd-80e93fdce0e07191.so => /lib/x86_64-linux-gnu/libstd-80e93fdce0e07191.so (0x00007f2491730000)
libc.so.6 => /lib/x86_64-linux-gnu/libc.so.6 (0x00007f2491567000)
libgcc_s.so.1 => /lib/x86_64-linux-gnu/libgcc_s.so.1 (0x00007f249154d000)
libpthread.so.0 => /lib/x86_64-linux-gnu/libpthread.so.0 (0x00007f249152c000)
libm.so.6 => /lib/x86_64-linux-gnu/libm.so.6 (0x00007f24913e9000)
libdl.so.2 => /lib/x86_64-linux-gnu/libdl.so.2 (0x00007f24913e2000)
/lib64/ld-linux-x86-64.so.2 (0x00007f24918e7000)Ого, гэцэцэшный рантайм? Ого, либц?! Раст что, и тут без сишечки никак?
> май фолт.
> Повторяю твой шаг на дебе, получаю:
> 14384 hello
> Никак не 6608.Май фолт - не учел кривых рук Военов. Прошу прощения :(
> Дальше смотрю:
> $ ldd hello
> linux-vdso.so.1 (0x00007ffdaf1d0000)
> libstd-80e93fdce0e07191.so => /lib/x86_64-linux-gnu/libstd-80e93fdce0e07191.so
> (0x00007f2491730000)
> Ого, гэцэцэшный рантайм? Ого, либц?! Раст что, и тут без сишечки никак?теперь читай man syscall
https://man7.org/linux/man-pages/man2/syscalls.2.html
> System calls are generally not invoked directly, but rather via wrapper functions in glibcВы же первые опять взвоете "тянут свои либы, вместо использования готовых!"
Но так и быть:
https://www.opennet.me/openforum/vsluhforumID3/123953.html#424
$ cat nostd.rs
#![no_std]
#![no_main]
use core::panic::PanicInfo;
use syscall::syscall;#[panic_handler]
fn panic(_info: &PanicInfo) -> ! { loop {} }#[no_mangle]
pub extern fn _start() -> ! {
let message = "sometext\n".as_bytes();
unsafe {
syscall!(WRITE, 0, message.as_ptr(), message.len());
syscall!(EXIT,0);
}
loop {}
}
$ ll nostd
-rwxr-x--- 496B 16 Apr. 16:24 nostd*
$ readelf -d nostd
There is no dynamic section in this file.
>> май фолт.
>> Повторяю твой шаг на дебе, получаю:
>> 14384 hello
>> Никак не 6608.
> Май фолт - не учел кривых рук Военов. Прошу прощения :(Ну или подзвиздел малёха. Бывает.
>[оверквотинг удален]
> syscall!(WRITE, 0, message.as_ptr(), message.len());
> syscall!(EXIT,0);
> }
> loop {}
> }
> $ ll nostd
> -rwxr-x--- 496B 16 Apr. 16:24 nostd*
> $ readelf -d nostd
> There is no dynamic section in this file.
>
Красиво, выразительно. Снимаю шляпу. :-D
>>> май фолт.
>>> Повторяю твой шаг на дебе, получаю:
>>> 14384 hello
>>> Никак не 6608.
>> Май фолт - не учел кривых рук Военов. Прошу прощения :(
> Ну или подзвиздел малёха. Бывает.Ты по себе-то не суди. Скажи куда (без регистрации и смс) - и я тебе закину готовоый, рабочий бинарь.
Дурачек чтоли? Каким образом у тебя код то получился меньше чем количество символов в выводимой строке?? Растоманы реально на божественное провидение надеяться, ничерта не понимая вообще в архитектуре компьютера.
> *Пук*? Каким образом у тебя код то получился меньше чем количество символов в выводимой строке?? Растоманы *пук* надеяться, ничерта не понимая *пук-пук* компьютера.Классический анти-расто-воен: "ЧСВшен и ламероват - это Rust все виноват!"
> man du
> The du utility displays the file system block usage
>
А вам действительно интересно или просто спросить?Если интересно, вкратце, много занимают функции форматирования, читабельные сообщения об об ошибках, размотка стека, jemalloc по умолчанию. На больших прогах это незаметно и можно оставить, но в какой-то эмедщине можно все повыпиливать. Еще можно сделать cargo-strip (тоже что делается напр. для кути).
Подробнее можно почитать тут
https://github.com/johnthagen/min-sized-rust,
https://oknozor.github.io/blog/optimize-rust-binary-size/,
https://docs.rust-embedded.org/book/unsorted/speed-vs-size.html
>А вам действительно интересно или просто спросить?Никогда еще Штирлиц не был так близок к провалу...
>много занимают функции форматирования, читабельные сообщения об об ошибках, размотка стека, jemalloc по умолчанию.
функции форматирования, Карл :')
Так что, зирокост не зирокост получается?
> Так что, зирокост не зирокост получается?Какой неудобный вопрос :)
>> Так что, зирокост не зирокост получается?
>> А вот Си форматируют с помощью магии и либастрала! Вот!
> Какой неудобный вопрос :)
cat helloc.c && gcc -O2 -flto -static -s helloc.c -o hello && wc -c hello
#include <stdio.h>
int main (void) {
printf("hello opennet\n");
return 0;
}579128 hello
Какой громкий (но абсолютно бессмысленный) пук!
Хахахахахаха, спасибо, посмешил! А чо кути сразу не прилинковал статически? Прости, но твой натянутый жалкий пук не отменяет тот факт, что zero-абстракции в расте оказались отнюдь не zero. Если же от них избавится, встает мрачный для растишек вопрос - на кой нужен новый язык, если существующий справляется не хуже или лучше?
Э? Что значит не зирокост? Ты вообще понимаешь что это? По вопросу получается что нет...
Такое ощущение что ты слышал где-то краем уха про зирокост и решил блеснуть знаниями.
Не прокатило :( На, почитай https://doc.rust-lang.org/stable/embedded-book/static-guaran...Если у тебя есть какой-то core::fmt::float::float_to_decimal_common_shortest, которые дает тебе нормальное форматирование при выводе, то как он может не занимать память в объем в бинаре?
Тебе он не нужен - выкинь его.
Все еще много - замени unwind на panic.
Хочешь еще - замени аллокатор, откажись от std вообще.
> Если у тебя есть какой-то core::fmt::float::float_to_decimal_common_shortest, которые
> дает тебе нормальное форматирование при выводе, то как он может не
> занимать память в объем в бинаре?
> Тебе он не нужен - выкинь его.
> Все еще много - замени unwind на panic.
> Хочешь еще - замени аллокатор, откажись от std вообще.А от llvm отказаться можно? :-P
Чувак, ну что же ты с темы съезжаешь... Я думал тебе интересно :(
А по llvm - может вы и от gcc откажитесь?
>Чувак, ну что же ты с темы съезжаешь... Я думал тебе интересно :(Да обсосано это, чувак, уже тыщупицот раз. Скучно. Я сразу к финишу: бэкенду, за счёт которого организован банкет.
> А по llvm - может вы и от gcc откажитесь?
Ну, если уж сишники не имею выбора в компиляторах, то растамани я не знаю :-D
Так напиши для GCC имплементацию, в чем проблема?У тебя же бесконечно времени / денег. Все open-source.
О, я понял, что ты уже не знаешь к чему прикопаться)) Впрочем это было предсказуемо.
Может еще попросить D lang отказаться от LDC и GDC? И вообще все языки для которых написаны фронтенды для llvm или gcc? Haskell, Scala, Kotlin, Objective-C, Swift, Ruby не бросились пилить свой компилятор? Какой же ты унылый...
И да, llvm написан на плюсах, а не на сишке.
> О, я понял, что ты уже не знаешь к чему прикопаться)) Впрочем
> это было предсказуемо.
> Может еще попросить D lang отказаться от LDC и GDC? И
> вообще все языки для которых написаны фронтенды для llvm или gcc?
> Haskell, Scala, Kotlin, Objective-C, Swift, Ruby не бросились пилить свой компилятор?
> Какой же ты унылый...
> И да, llvm написан на плюсах, а не на сишке.Можешь косить под дурачка, безусловно, но откуда "коровья суперсила" у растишки в принципе не секрет. :^)
jemalloc уже давно не используется по-умолчанию.
Ты красавчик. Дико плюсую за "Воинов Антирастового Сопротивления". Веет чем-то из Терминатора.Каждый раз ржу с их новых прозвищь.
Сам себя не похвалишь, никто не похвалит.
Я другой аноним. Но с этого прозвища дико угораю.Это даже покруче "смузихлебов", "макакообезьян" и т.п. Нашелся и достойный ответ.
>Это даже покруче "смузихлебов", "макакообезьян" и т.п. Нашелся и достойный ответ.Нашелся достойный ответ :'D
Ну, скоро rust-lib будет в каждом дистре кроме маргинальных, а пока что есть, то есть.Про супербезопасность раста орет только группа упоротых хейтеров (обычно добавляя букву Т, за что их хочется ударить пл голове словарем Ожегова)
Остальные прекрасно понимают какие гарантии дает язык и от чего защищает, а от чего нет.
Растохейтеры - это просто в противовес растофанатикам, которые кричат про то, что нужно абсолютно всё переписать на раст.
> Растохейтеры - это просто в противовес растофанатикам, которые кричат про то, что
> нужно абсолютно всё переписать на раст.Правда, "кричащие" растофанатики существуют только в головах первых, но это нисколько не мешает им приплетать Раст по поводу и без, чтобы затем, с чувством глубокого морального удовлетворения, успешно отражать Нашествия Растоманов и спасать голактеку от Ржавого Вторжения.
Да, то что растаманы часто предлагают переписать проекты на Rust уже стало мемом. Впрочем, то же самое относится к Go, хоть и в меньшей степени.
И это здорово. Во-первых - работа для программистов, и будущим хватит.Во-вторых, рано или поздно переписывать придётся. Новые архитектуры, новые API ядра и syscall, новые концепции, NUMA архитектуры, Non-Volatile Memory и т.п.
А вы как хотели? Написал на Сишке 30лет назад под древнючее ядро и чтобы на всю жизнь?
Пока что за переписывание на раст платят не особо, как я посмотрю. В основном строчат забесплатно. А к тому времени как назреет реальная необходимость переписать вот прям все, появятся новые языки, молодые и дерзкие не хуже Раста, например тот же Zig созреет, успевший за несколько лет стать полноценным развитым языком и во многом учесть ошибки Раста.С перечисленными задачами Си справлялась на отлично и нет причин, почему не сможет справится в будущем.
=Написал на Сишке 30лет назад под древнючее ядро и чтобы на всю жизнь?
Да, ДА! Написал, отладил, верифицировал насколько это возможно и пользуйся, пиши прикладной софт, развивай цивилизацию ввысь, а не копошись как червь в корнях.
И от чего-то компании продолжают тратить ресурсы на разработку новых алокаторов типу jemalloc, mimalloc, и т.п., новых файловых систем, новых баз данных, новых алгоритмов сжатия, обработки видео, новых рендеров ...Вот неймётся им.
Верифицировал?! Are you serious? Причем под новостью про баг, которому 26 лет? Ахахаха!
Возможно ты имеешь в виду что годы исправления крешей и багов заставили это говнище работать правильно на неком подмножестве стандартных случаев, а не верификацию?
Почитай про validation & verification, формальные методы, что такое настоящая верификация и не позорься больше!Мы уже увидели как Си справляется на отлично, спасибо, больше не повторяйте такое, пожалуйста.
Ну будет и будет, как и сотни других библиотек, о существовании которых типичный пользователь даже не догадывается.
> Ну надо же, в божественную Glibc закрались уязвимости!Именно. И их исправят. А про Дот-Нот и не узнаете, т.к. заглянуть даже таким не дадут.
Попробуй загляни: https://github.com/dotnet/runtime
дык разница в том сишники не кукареють на весь интернет какие они безопасные by design, модные, молодёжные и толерастные
поэтому мимо
Да, не кукарекают. Они всё ещё думают как бы скомпилить Hello World на С, но без ошибок и уязвимостей.Я уже понял что тут не то что крутых Сшников нет, вообще никаких. Даже днищенских.
Тут походу в основном администраторы localhost-а с фантомными болями как они завалили Лабу по С в универе.
Tvrtko Ursulin <tvrtko.ursulin@intel.com>
drm/i915: Flush TLBs before releasing backing store
все поддерживаемые kernel.org ядра уже зарелизились час назад.
Тааак, usbview у меня нет но надо бы от PolKit полностью избавится. Чет не понимаю даже зачем он нужен.
Никто не понимает.
Ща объясню: кароч это ракета. Все остальное -- телега и лошади. Телега работает просто и понятно как. А вот рокетсаенс понимаешь? Вот тото и оно!Эх вы, деревня! Это ж бубль^W прогресс! 21 век! Закатанные штаны!
> надо бы от PolKit полностью избавится.https://www.opennet.me/openforum/vsluhforumID3/126607.html#37
> Чет не понимаю даже зачем он нужен.
Чтобы те кому положено имели рут к твоей *опе.
К тебе бежит (педобиржпг) чувак по имени Хэнлон. Я бы на твоем месте насторожился - он что-то бритвой на бегу машет...
Офигеть, 1995й год!
Это было еще до того как:
- Пу стал президентом
- Мелкософт зохавал мир своим Win98
- в Буша кинули ботинок
- и еще куча всего начиная от "доллара по 30" до ковидлыА она все это время преспокойно там жила на миллионах серверов и ПК, и никто (кроме тех, кому это положено) о ней не знал.
Впечатляет, правда?
> Для вызова переполнения достаточно в отдельном пространстве имён точек монтированиятак что в твоем 95м году эта проблема была бы просто высосанной из пальца.
Но ненужные улучшайкеры таки добились что она стала реальностью. Причем, разумеется, под видом безопасТности.
В каком "его"? Судя по характеру офигения (вместо понимания), ещё и в проекте близко не было...
>начиная от "доллара по 30"Доллар до 30-ти стал расти с августовского 1998 года кризиса. А до того он долгое время держался около 6 р.
> ... с августовского 1998 года кризиса. А до того он долгое время держался около 6 р.У тебя с хронологией проблема, за период 1991-2000 инфляция была 100 тыс раз, зарплаты выросли от рублей до миллионов, плюс деноминацию в 1000 раз не забывай, которая разорвала шкалу вообще на две части, надо говорить, в которых рублях ты в 90-х что-то озвучиваешь.
>У тебя с хронологией проблема, за период 1991-2000 инфляция была 100 тыс раз, зарплаты выросли от рублей до миллионов, плюс деноминацию в 1000 раз не забывай, которая разорвала шкалу вообще на две части, надо говорить, в которых рублях ты в 90-х что-то озвучиваешь.Ну, ошибся человек. Тяжко ему понимать, как это может быть: на декабрь 1997-го 1 доллар стоил 5990+ рублей, но с января 1998 - 5,9+ рубля/долл или те же 5990+ рублей.
> Впечатляет, правда?Меня больше впечатляет мысль о том, что скорее всего там есть ещё более древняя бага, которая ещё лет десять там будет жить. Вот где-то она там есть, но хрен найдёшь. Вот это реально щекочет нервы азартом.
> Проблема вызвана ошибкой, присутствующей с 1995 года.Вот что опенсорс животворящий творит, ага. Всего-то четверть века на обнаружение потребовалось, это не гнусная проприетарщина в которой без отладчика с дизассемблером не обойтись
>> CVE-2022-23220Я не понял, это что, за неполный январь уже 23000 дыр нашли? По 700 дыр в день?
Это (скорее всего) id запроса/бланка на регистрацию (как бы) уязвимости. Не все регистрируются, или регистрируются позже, бывает - лет через 10
Это как с IPv4 адресами? Выкупают блоками оптом?
https://www.cvedetails.com/cve/CVE-2016-3735/> Publish Date : 2022-01-28 Last Update Date : 2022-01-28
Тогда набо ещё "/" ввести для задания размеров блоков :)
Резервируют блоками.
Шерето!1!1!!1!
Щито?1?1?1?
> выполнить код с правами root, из-за наличия в правилах PolKit настройки (allow_any=yes) для запуска утилитыПоддержу мнение, что: systemd, dbus, polkitd+JS необходимо выкинуть!
https://www.opennet.me/openforum/vsluhforumID3/126553.html#89
Welcome to OpenBSD!
Есть и GNU/Linux дистры без systemd, dbus, polkitd+JS.
Мне приходят на ум только Slackware, Crux и Alpine.Последние вменяемые дистрибутивы.
В Gentoo можно пробовать с
USE="-systemd -dbus -polkit -jit -orc ..."
Как оно там живётся, без дбаса? Любое взаимодействие между программами сегодня это дбас и он уж точно не хуже хала с фамом. Вяленый так вообще без вариантов. Полкит мешает удалить удискс и его штатно не удалить точно. Если ты конечно не будешь сидеть в голых иксах с вайном.
> Любое взаимодействие между программами сегодня это дбасДа, некоторые программы не обновляю, сижу на старых версиях которые еще можно собрать без dbus.
Если сильно надо обновить ковыряюкод и выпиливаю dbus.
Сижу на классических иксах.
>Как оно там живётся, без дбаса?Удивительно, но лучше чем с дбасом.
>Любое взаимодействие между программами сегодня это дбас и он уж точно не хуже хала с фамом.
И дбас, и хал с фамов, и программы требующие взаимодействия друг с дружкой как-то кроме сигналов и юникс-сокета -- идут в куй. Это же просто.
>Вяленый так вообще без вариантов
Иксы были вариантом еще до появления вейланда. Угадай что с ними? Они работают, пока вейланд нет.
>Полкит мешает удалить удискс и его штатно не удалить точно.
Шта-шта? udisks? :'D Это какая-то замена autofs от братишек из фридрисктоп в буромалиновых штанах?
Да, но dbus и работает через unix domain socket, в чем проблема?
> Да, но dbus и работает через unix domain socket, в чем проблема?В том что что не нужен, очевидно же!
О, ещё один теоретик.
И как будут общаться два разных приложения?
> О, ещё один теоретик.
> И как будут общаться два разных приложения?Дядь, чё ты пристал с таким зрением? Через 9p! Иди скомпилируй пару хелловордов на растишечке лучше.
Также как и общались раньше, до потеринга:UNIX сокет с контролем доступа стандартным DAC.
Или через сеть lo по tcp, ... сокету.
И как я узнаю к какому сокету присоединяться? Какие сокеты с какими сервисами? Может описаны протоколы взаимодействия?Ах... ничего этого нет...как жаль. Придется что-то изобретать поверх, например d-bus.
> И как я узнаю к какому сокету присоединяться?Из либастрала, ясен пень.
> Какие сокеты с какими сервисами?
Брутфорсь, ясен пень.
> Может описаны протоколы взаимодействия?
Нет канеш, надо реверсить.
> Ах... ничего этого нет...как жаль. Придется что-то изобретать поверх, например d-bus.
Ах, как жаль, придётся выкинуть вслед за дбасом очередное поделие от васянов-фридрисктопщиков.
Был бы ты моим студентом, за такие ответы, вылетил бы из ВУЗа.На ЛОРе тебя бы обозвали "темным безграмотным бЫЫЫдлом" и очень грубо послали "курить маны до полного просветления".
> И как я узнаю к какому сокету присоединяться? Какие сокеты с какими сервисами? Может описаны протоколы взаимодействия?Это шутка или вопрос рерьезен?
В конфигурационный ТЕКСТОВЫЙ файл: /etc/prog/prog.conf
Для сети устанавливают обычно:
Server=
Port=
Доступ определяется:
Иногда в: /etc/prog/prog.conf
Желательно в: /etc/host.*
Всегда iptables ... Реализовать DAC возможено в таблице OUTPUT, а MAC в SECURITY.А для сокета:
Socket=/run/prog/prog.sock
Доступ определяется:
chown -R ... /run/prog
chmod -R ... /run/progПри сборке ПО выбирается протоколы которые должна знать проги для общения:
./configure ... --with-libprog
> Любое взаимодействие между программами сегодня это дбасНет.
Для десктопа - да.
> Для десктопа - да.нет.
И для десктопа он тоже ненужно.
Вот смотри - в десяточке нет никакого дбаса. А десктоп есть.А вы и в десктоп нормально не смогли, и систему как набор инструментов и технологий потеряли.
Потому что ничего, кроме как у нас копипастить идеи, не умеете, но, поскольку 300 долларов за нормальную винду вам кому мамка, кому жабка не дает - то даже это делаете через перепевы рабиновича криво и дыряво.
Какие 300 баксов, родной?
12$ лицензионная Windows 10 Pro, да ещё обновился до Windows 11 Pro.За 300$ только отчаянные будут покупать.
И у кого "у вас"? Твоих идей в Windows ровно 0.
Ну попробуй запусти свой швятой Firefox без dbus.
А что, опцию --disable-dbus убрали уже? Если да -- не удивлен, это в любом случае должно случиться.
Та же слака намного проще и надёжнее.
USE="-systemd -dbus -polkit -jit -orc - QT5 - Qt6 - certificate-prizm - mozila - kybernetis ..."
>AlpineГлаза разуй.
Из Polkit нужно выкинуть JS. Сделать ему конфиг вида ключ=значение.
у него был декларативный конфиг. Не поверишь, local root в той версии тем же самым эксплойтом с LD_PRELOAD добывается.
Так что не в выкидывании js счастье, а в выкидывании разработчиков, способных притащить js во враппер отвечающий за предоставление рутового доступа.
Можно еще до того как притащат.
Лично выкинул polkit сразу: polkitd требует выделения памяти в режиме WX.
Если бы было написано на Zig не было бы никаких переполнений.Буду топить тут за Zig!
Лучший язык! Zig file!
> не было бы никаких переполнений.А если [s]найду[/s] запихну?!
Тогда скажем, что вы неправильно поняли гарантии безопасности и никто их не заявлял.
и вообще, там сэйфети, тут секурити, но когда там секурити, тут сэйфети, и сейфети тут когда секурити там, а не тут. В общем понимать надо!!!!
>сэйфети секуритиСпаси и сохрани!
Мой лучший друг из Германии в своё время тоже много красивых вещей написал на данном языке.Самая известная его софтина это Mein Kampf.
> Самая известная его софтинаСлишком много императивщины, сейчас модно декларировать.
Сейчас весь мир на раст переписывают, а он предупреждал о последствиях засилия растоманов в культуре, политике и бизнесе.
> засилияУ кого громкоговоритель, тот и кричит, то есть, того и слушают. Не важно, что кричать и что слушать - усилитель найдет свой резонанс.
А вот это очень мудрая и глубокая мысля.Удивительно её найти на opennet в потоках кала.
Что лично меня повергает в грусть - что даже для таких г-чипсетов как i915 баги правят, а для даже более новых AMD - краааааайне редко. (
так этот чипсет для виртуальных машин используется
Да задрали уже. Elbrus наше всё, там такое вообще невозможно на аппаратном уровне.Шигорин, передай вопрос братве - когда начнут продавать Elbrus 16S? Я бы купил штук 16 серверов и пяток станций.
Хочешь, чтобы они присели всей дружной командой за измену Родине?
> когда начнут продавать Elbrus 16S?В этом году должны приехать первые 2000 серийных экземпляров, инженерок вроде не осталось -- одна у нас: http://sdelanounas.ru/blogs/145143
> Я бы купил штук 16 серверов и пяток станций.
Маякните на sales@mcst.ru +/- norsi-trans.ru и bitblaze.ru, предзаказ тоже поможет. Для станций готовят http://mcst.ru/elbrus-12c и запускают в серию 2С3, если пары ядрышек достаточно.
PS: а тем временем уже вовсю есть 8СВ.
> PS: а тем временем уже вовсю есть 8СВ.Да есть-то есть, а чего Сбер ноют, что с Java он в 30 раз медленнее, чем Intel?
Товарищи, кто шарит в SecOps, объясните плз, как всякие переполнения буфера всё ещё работают последние лет 10, когда компиляторы в связке с операционными системами в качестве превентивных мер против уязвимостей, основанных на некорректной работе с памятью, предоставляют проверку стека на пролом (канареечные значения всякие), рандомизацию адресного пространства и контроль целостности потока исполнения?
В сишке нет понятия разделения памяти раз. Программа на си думает, что ей доступно бесконечно много всей абсолютно памяти системы.И два. Нету системы типов.
Эти две особенности позволяют беспрепятственно писать что угодно в какие угодно области памяти и никакой анализатор этого исправить не может, потому что это главная особенность языка как такового.
Чтобы с этим бороться внезапно написали целый юникс, для запуска си программ. А в си процессоры ввели режим эмуляции си процессоров чтобы си программы могли думать что они на своём персональном си процессоре работают б...ь.
Но толку в итоге мало.
Как бы проблема в аппаратной архитектуре. На любом языке будет так из-за плоской модели памяти. Начиная с 286 была попытка это исправить, но критическая величина монкей кодеров была уже набрана и поэтому не взлетело.
Тут типичная проблема курицы-яйца.Но так то можно запускать на железе виртуальную машину-ос, по типу дотнета, а прикладное ПО уже на ней будет крутиться.
И можно из цп всю эту дичь с разными режимами и юнит управления памятью выкинуть.
А можно частично или полностью такую машину прямо в ЦП интегрировать, да.