forum.opennet.ru

"Уязвимость в cups-filters, позволяющая выполнить код на сервере"

Форум Разговоры, обсуждение новостей
Версия для распечатки	Пред. тема \| След. тема

Исходное сообщение

[ Отслеживать ]

Присылайте удачные настройки в раздел примеров файлов конфигурации на WIKI.opennet.ru.

. "Уязвимость в cups-filters, позволяющая выполнить код на серв..."	+1 +/–
Сообщение от Ivan_83 (ok), 23-Май-23, 00:21
Самое очевидное на что не хватает ума хейтерам - это понять что никаких строк в С нет. Есть выделенная область памяти, есть её размер и есть размер данных в ней - вот простое правило для работы с данными которые нужно интепретировать как строки. Но в данном случае ошибка вообще про другое: данные от пользователя не достаточно проверяются/экранируются и это отдаётся в system() - те на запуск. У пхп програмистов такое сплошь и рядом встречается, хотя строки там типа совсем безопасные. В общем то на любом языке такая ошибка возможна, потому что никакой компелятор мамкиному кодеру не подскажет что надо данные полученные неведомо откуда перед вызовом system() проверять.
Ответить \| Правка \| Наверх \| Cообщить модератору

Оглавление

Уязвимость в cups-filters, позволяющая выполнить код на сервере, opennews, 22-Май-23, 22:50 [смотреть все]

Действительно, что же могло пойти не так _-, Анонин, 22-Май-23, 22:50 (1) //
- Так развивай мысль дальше, что там не так scheme 0 0 strncat scheme, u, Ivan_83, 23-Май-23, 00:27 (17)
- Вообще-то это system многострадальный - к си относится только тем что из си эт, Аноним, 23-Май-23, 01:59 (25) //
  - Как будто, из самого правильного языка невозможно вызвать эту злосчастную system, Аноним, 23-Май-23, 11:36 (30) //
    - Собственно исходники на сях имеет смысл прицельно сканировать на наличие вызова , Аноним, 23-Май-23, 19:38 (37)
      - А причём тут С Отсутствие недостаточная фильтрация входных данных - частая болез, Ivan_83, 24-Май-23, 13:24 (43)
        
        Только при том что я его знаю, поэтому знаю что для него сканировать надо Во, Аноним, 24-Май-23, 22:36 (44)
Сишники и строки, том 2023, глава 24805 , Аноним, 22-Май-23, 23:00 (2) //
- Купс это что-то из набора штатных бэкдоров, как и гхостскрипт Сишники тут ни пр, Аноним, 22-Май-23, 23:13 (3) //
  - Канеш ни при чём, они всегда ни при чём , Герострат, 22-Май-23, 23:14 (4) //
    - Смотри кто автор , Аноним, 22-Май-23, 23:53 (8)
      - Код в котором встречается system вообще особого доверия не заслуживает Если к, Аноним, 23-Май-23, 02:05 (26)
    - Он в этом случае виноват только тем что шелл вызвал Шелл на лся на хитром эск, Аноним, 23-Май-23, 19:39 (38)
- Чувак, причём тут С и строки Автор кода получил строку по сети и отправил её в s, Ivan_83, 23-Май-23, 00:23 (14) //
  - Действительно, можно такое написать на чём угодно, но написано на Си И все эти , Аноним, 23-Май-23, 15:16 (34) //
    - Нет Вы сами себе придумали строки а потом жалуетесь что с ними нечем работать По, Ivan_83, 23-Май-23, 16:23 (36)
      - Вот именно про это я и говорю неназванное Очень уж напоминает языки некоторых , Аноним, 23-Май-23, 20:19 (40)
        
        Вы синтаксический сахар нужный для обработки строк возводите в мастхэв максимум , Ivan_83, 24-Май-23, 13:19 (42)
        
        Интересно за какой он синтаксический сахар топит Кто-то заморочился позатыкать , Аноним, 24-Май-23, 22:42 (46)
    - Если вызвать шелл с вон теми закорючками из другого ЯП - результат будет тот же , Аноним, 23-Май-23, 20:12 (39)
      - Если 8230 Эх, вот только если 8230 Но вызвали из Си и получили то, что получ, Аноним, 23-Май-23, 20:20 (41)
        
        Есть полно случаев когда вызывают и не из си, получая то же самое по смыслу Вот, Аноним, 24-Май-23, 22:38 (45)
Я правильно понимаю, у них критическая ошибка в обработчике ошибок 128516 , Герострат, 22-Май-23, 23:16 (5)
а вы думали что просто так оно жепой в интернет смотрит , Аноним, 22-Май-23, 23:23 (6) //
- И кто его жепой в инет выставляет Список в студию , Аноним, 23-Май-23, 11:37 (31)
в сях да и в плюсах работа со строками одно мучение Поэтому меня всегда так ра, хрю, 22-Май-23, 23:51 (7) //
- Есть только ICU В принципе есть только ICU, если ты хочешь юникод ICU не куцая, Аноним, 22-Май-23, 23:59 (9) //
  - нет это вопрос - качаешь исходники, пытаешься сделать патч, чтоб появилось что , хрю, 23-Май-23, 00:21 (13)
  - просто гомерический хохот Особенно когда ждут заврешающие нули, переполняя буфе, Аноним, 23-Май-23, 00:29 (18)
- Чем для тебя std string и std string_view ненормальны и неудобны , ИмяХ, 22-Май-23, 23:59 (10) //
  - Это настолько же удобно, насколько удобны жигули Так ездите на жигулях w w , хрю, 23-Май-23, 00:13 (11) //
    - Это не ответ на вопрос Так чем неудобны то , Аноним, 23-Май-23, 00:26 (16)
      - Тем, что большинство современных писак програмят по принципу Хочу играть на гит, BorichL, 23-Май-23, 15:29 (35)
  - Недостатком доступных методов для работы со строками Жить можно, но неудобно , Аноним, 23-Май-23, 09:13 (28)
  - Тем, что они не позволяют адекватно сделать посимвольный проход по строке ASCII, Челик с гитлаба, 23-Май-23, 09:48 (29)
- Самое очевидное на что не хватает ума хейтерам - это понять что никаких строк в , Ivan_83, 23-Май-23, 00:21 (12) //
  - да-да формировать текстовые строки на сях нельзя, ведь их нет поэтому придётся, хрю, 23-Май-23, 00:24 (15) //
    - В чём претензия то Язык низкоуровневый, если вам охота обмазыватся сахаром и не , Ivan_83, 23-Май-23, 00:36 (21)
      - О, еще один У одного ничего никогда не падало , а у этого никогда за пределы , Аноним, 23-Май-23, 09:08 (27)
  - Но тут вдруг на данные простые вводные накладывается техника работы с завершающи, Аноним, 23-Май-23, 00:43 (22) //
    - Нет, правила не меняются Хотите абстракции - да на здоровье, ищите пишите либу к, Ivan_83, 23-Май-23, 01:05 (23)
    - Оу, а потом программисту поступает задача из Азии, он узнаёт про unicode, UTF-16, Аноним, 23-Май-23, 11:49 (32)
- Пофиксил , YetAnotherOnanym, 23-Май-23, 00:32 (19)
- Вылезай С 20 std u8string, Аноним, 23-Май-23, 12:08 (33)
Что мешало через тот же which сделать ресолвер для exec , Аноним, 23-Май-23, 00:33 (20)
Debian уже пофиксил, Аноним, 23-Май-23, 01:25 (24)

Форумы | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру