The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

форумы
правила/FAQ
поиск
регистрация
вход
слежка
RSS


Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы [ Отслеживать ]

Оглавление

В библиотеке xz/liblzma выявлен бэкдор, организующий вход через sshd, opennews (ok), 29-Мрт-24, (0) [смотреть все]

Сообщения [Сортировка по времени | RSS]


11. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  –24 +/–
Сообщение от birdie (ok), 29-Мрт-24, 23:15 
Я уже много лет говорю об этой проблеме и о том, как плохо обстоят дела с безопасностью в Linux. Я знал, что что-то подобное случится, и это случилось.

Почти все дистрибутивы, за исключением, может быть, RHEL, торопятся выложить пакеты из upstream, никогда не проверяя, что исходный код не был затроянен.

Хуже того, независимые мейнтейнеры, назначенные для работы с пакетами, часто даже не являются разработчиками, так что у них нет ни возможностей, ни квалификации, чтобы прочитать код и убедиться, что он по-прежнему заслуживает доверия. Часто сопровождающие отвечают за несколько пакетов, и в то же время это не является их основной работой или тем, за что они получают зарплату, поэтому они практически не заинтересованы в том, чтобы все было правильно.

В то время как крупные корпорации, такие как Microsoft, Google или Apple, одобряют каждую строчку кода, которая попадает к вам как к клиенту, в мире Linux такого не существует. И дело не только в Linux, FreeBSD тоже страдает от этого. Я не уверен насчет OpenBSD/NetBSD, поскольку никогда их не использовал.

Можно ли решить эту проблему? Понятия не имею.

Дистрибутивы Linux должны предпринять согласованные усилия по проверке пакетов и отмечать их как "доверенные". Я никогда не слышал ни о чем подобном, за исключением RHEL, который не является настольным дистрибутивом и, кроме того, сильно ограничил свои связи с сообществом.

Это не проблема XZ. Это проблема всей экосистемы Linux. Вопрос безопасности, надежности, доверия и проверяемости.

Ответить | Правка | Наверх | Cообщить модератору

15. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  +10 +/–
Сообщение от Аноним (15), 29-Мрт-24, 23:27 
Все ок, но про одобрение каждой строчки кода уже слишком жирно
Ответить | Правка | Наверх | Cообщить модератору

24. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  –1 +/–
Сообщение от birdie (ok), 29-Мрт-24, 23:49 
Да, примерно так.

Причём код проверяет не один человек, а несколько.

Жирно - это к open source. На первой странице Opennet это уже вторая (!) новость про то, что ни черта никто не проверяет, а эту уязвимость просто случайно (!) обнаружили, потому что код трояна был кривой и вызывал задержки в работе SSHD.

Ответить | Правка | Наверх | Cообщить модератору

125. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  –2 +/–
Сообщение от Аноним (125), 30-Мрт-24, 10:00 
Ты лично видел, как проверяли всей оргией каждую строчку кода? Готов имена назвать конкретных тимлидов, которые всё-всё проверили и последствия их кодинга никогда не обсуждались на каком-нибудь Black Hat?

Проблема очевидная - недостаток ментейнеров (или их квалификации) в дистрибутивах, раз уж это дошло до апстрима. Хочешь побыть Линусом, одобряя каждую версию пакета, подставляя свою репутацию и убивая в это время? Вперёд, никто не держит. Мы потом всем опеннетом вместе посмеёмся.

Ответить | Правка | Наверх | Cообщить модератору

18. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  +10 +/–
Сообщение от Аноним (18), 29-Мрт-24, 23:29 
Каким боком здесь безопасность линукса? Это не дыра в ядре, не эскалация привилегий, а банальный троян в пользовательском приложении.

В винде же троянов не бывает, а майкрософт лично проверяет код каждого экзешника в интернете. Не забудь принять таблетки.

Ответить | Правка | К родителю #11 | Наверх | Cообщить модератору

19. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  +1 +/–
Сообщение от semester (ok), 29-Мрт-24, 23:33 
ну объективно говоря от этого приложения зависит пол системы. Может я не прав, но получается ты ставишь "winrar" и половина винды от него зависит.
Ответить | Правка | Наверх | Cообщить модератору

27. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  +2 +/–
Сообщение от Аноним (18), 30-Мрт-24, 00:02 
Да, но если так же скомпрометировать популярную библиотеку на винде, разница будет лишь в том, что копия вирусной dll-ки будет лежать в комплекте у каждого отдельного приложения.
Что кстати ЗНАЧИТЕЛЬНО усложняет процесс обезвреживания, ведь нельзя просто обновить 1 пакет, а придется обновлять КАЖДОЕ приложение у которого эта dll в комплекте.
Ответить | Правка | Наверх | Cообщить модератору

148. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  +/–
Сообщение от n00by (ok), 30-Мрт-24, 10:31 
> Да, но если так же скомпрометировать популярную библиотеку на винде, разница будет
> лишь в том

Разница в том, что для верности аналогии тебе придётся скомпрометировать библиотеку advapi32.dll. Так что вперёд.

Ответить | Правка | Наверх | Cообщить модератору

146. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  +/–
Сообщение от n00by (ok), 30-Мрт-24, 10:27 
> ну объективно говоря от этого приложения зависит пол системы. Может я не
> прав

В формулировке ошибка: это компонент системы, а не приложение, как его пытался выставить анонимный тролль. По существу всё верно.

Ответить | Правка | К родителю #19 | Наверх | Cообщить модератору

313. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  +/–
Сообщение от pelmaniac (?), 30-Мрт-24, 18:05 
>объективно говоря от этого приложения зависит пол системы

да откуда вы такие беретесь? не зависит от xz ничего, его даже поставить надо руками.

Ответить | Правка | К родителю #19 | Наверх | Cообщить модератору

327. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  +3 +/–
Сообщение от Аноним (327), 30-Мрт-24, 20:25 
apt autopurge xz-utils
Чтение списков пакетов… Готово
Построение дерева зависимостей… Готово
Чтение информации о состоянии… Готово        
Следующие пакеты будут УДАЛЕНЫ:
  build-essential* dkms* dpkg-dev* g++* g++-13* g++-13-x86-64-linux-gnu* g++-x86-64-linux-gnu* gcc* gcc-13*
  gcc-13-x86-64-linux-gnu* gcc-x86-64-linux-gnu* libalgorithm-diff-perl* libalgorithm-diff-xs-perl*
  libalgorithm-merge-perl* libasan8* libatomic1* libc-dev-bin* libc-devtools* libc6-dev* libcc1-0*
  libcrypt-dev* libdpkg-perl* libfile-fcntllock-perl* libgcc-13-dev* libhwasan0* libitm1* liblsan0*
  libnsl-dev* libquadmath0* libstdc++-13-dev* libtirpc-dev* libtsan2* libubsan1* linux-libc-dev*
  manpages-dev* rpcsvc-proto* sysstat* xz-utils*
Обновлено 0 пакетов, установлено 0 новых пакетов, для удаления отмечено 38 пакетов, и 0 пакетов не обновлено.
После данной операции объём занятого дискового пространства уменьшится на 217 MB.
Хотите продолжить? [Д/н]
Ответить | Правка | Наверх | Cообщить модератору

20. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  –13 +/–
Сообщение от birdie (ok), 29-Мрт-24, 23:46 
> В винде же троянов не бывает, а майкрософт лично проверяет код каждого экзешника в интернете. Не забудь принять таблетки.

Примеры backdoors в продуктах Microsoft в студию. Хотя бы один за 40 с лишним лет, что они существуют.

> а майкрософт лично проверяет код каждого экзешника в интернете

Я говорил про software, который создаёт и распространяет сама MS официально. Мне плевать на то, кто и что "распространяет в Интернет". Начните с умения читать и понимать написанное - у вас с этим проблемы.

> Не забудь принять таблетки.

Попробуй мне это в лицо сказать, анонимный тролль.

Ответить | Правка | К родителю #18 | Наверх | Cообщить модератору

25. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  +4 +/–
Сообщение от Аноним (18), 29-Мрт-24, 23:56 
> Примеры backdoors в продуктах Microsoft в студию.

Сначала ты примеры backdoors в продуктах Linux Foundation в студию.

> Я говорил про software, который создаёт и распространяет сама MS официально. Мне плевать на то, кто и что "распространяет в Интернет".

То есть все люди на винде пользуются исключительно приложениями от MS и никакими другими? Ну-ну.

Ответить | Правка | Наверх | Cообщить модератору

40. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  +/–
Сообщение от Аноним (40), 30-Мрт-24, 00:32 
Ну вот буквально несколько дней назад нашли в Fedora (продукте redhat, платинового спонсора lf). Прув: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi?az=p...
Ответить | Правка | Наверх | Cообщить модератору

45. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  –2 +/–
Сообщение от Fyjy (-), 30-Мрт-24, 00:37 
Да легко!
Как насчет Bvp47 ?
По слухам связан с NSA, но проверить естественно невозможно.
"287 organizations in 45 countries and went largely undetected for over 10 years"

Вот оно качество поделок от линукс фаундейшн, не зря же Линус получай лям в месяц, ну.. от уважаемых партнеров.

А еще можно вспомнить уязвимости в драйверах.
Да практически каждую вторую RCE в ядре с получением рута можно считать бекдором, замаскированным под "сишник опять обделался и вышез за границы буфера"

Ответить | Правка | К родителю #25 | Наверх | Cообщить модератору

51. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  +6 +/–
Сообщение от Аноним (18), 30-Мрт-24, 00:45 
Так падажи, но если считать дыры за умышленные бэкдоры, то винда тогда по этому критерию чемпион вне конкуренции получается. А если еще учесть, что довольно много кода в ядро вносят работники MS...
Тут как говорится, если слишком тщательно расследовать дело, то можно случайно выйти на себя.
Ответить | Правка | Наверх | Cообщить модератору

57. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  –3 +/–
Сообщение от Fyjy (-), 30-Мрт-24, 01:06 
А про Bvp47 есть что сказать?

> то винда тогда по этому критерию чемпион вне конкуренции получается.

Эм... как-то не получается...

Linux Kernel - 3876 vulnerabilities found
cvedetails.com/vulnerability-list/vendor_id-33/product_id-47/Linux-Linux-Kernel.html

Windows 10 - 3080 vulnerabilities found
cvedetails.com/vulnerability-list/vendor_id-26/product_id-32238/Microsoft-Windows-10.html

Windows 11 - 600 vulnerabilities found
сvedetails.com/vulnerability-list/vendor_id-26/product_id-102217/Microsoft-Windows-11.html

Правда если брать CVSS 8+, то ситуация чуть другая - 222 vs 634 vs 125 и ядро занимает уже второе место, а не первое.

Но, это только кернел в сравнении со всей виндой.
Ведь кроме кернела есть еще куча штук, которые есть в любом линуксе. Вроде исков. Или либс.
А вель есть еще куча DE разной степени популярности и качества кода.

Так что твое утверждение совсем неоднозначное.

Ответить | Правка | Наверх | Cообщить модератору

61. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  +3 +/–
Сообщение от Аноним (18), 30-Мрт-24, 01:18 
Здесь стоит опять же учитывать, что например злополучный ядерный модуль ksmbd, в котором уязвимости находят пачками, написан для протокола от MS и сопровождается людьми из того же MS.

Хотя опять же, выдавать уязвимости за умышленные бэкдоры это удел конспиролухов. В такое лучше не скатываться.

Ответить | Правка | Наверх | Cообщить модератору

64. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  –2 +/–
Сообщение от Fyjy (-), 30-Мрт-24, 01:27 
> например злополучный ядерный модуль ksmbd, в котором уязвимости находят пачками, написан для протокола от MS и сопровождается людьми из того же MS.

Ну так не принимайте от них модули.
А то уже был прецедент с деревянным конем в подарок..

> Хотя опять же, выдавать уязвимости за умышленные бэкдоры это удел конспиролухов. В такое лучше не скатываться.

Я и не собирался) Просто почти в каждой теме про RCE в ядре, начинаются споры "а это просто факап или намеренный бекдор".
Понятно что не стоит считать злым умыслом обычную глупость или невнимательность, но даже кол-во обычных ошибок просто удручает.

Ответить | Правка | Наверх | Cообщить модератору

69. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  +2 +/–
Сообщение от Аноним (18), 30-Мрт-24, 01:43 
> Ну так не принимайте от них модули.

Не, это не выход, так можно вообще перестать любой код принимать.

Есть жирный плюс в том, что пока модуль не загружен, наличие в нем дыр не имеет значения. То есть всем кто не пользуется SMB от его существования ни холодно ни жарко. Зато если модуль выкинуть, то прямо пострадают те, кому SMB таки нужен.

Ответить | Правка | Наверх | Cообщить модератору

80. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  +1 +/–
Сообщение от iPony129412 (?), 30-Мрт-24, 03:25 
> злополучный ядерный модуль ksmbd, в котором уязвимости находят пачками сопровождается людьми из того же HMS

Нет. Это не Microsoft пишет его.
И не более злополучен чем остальное ядро.

Ответить | Правка | К родителю #61 | Наверх | Cообщить модератору

67. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  +1 +/–
Сообщение от твёрдый ветер (?), 30-Мрт-24, 01:38 
так уязвимости ведь разные бывают

- DoS (Denial of Service / отказ в обслуживании) ( эксплойт уязвимости приводит к DoS устройства);
- Обход чего-либо (например, пароля для входа в систему);
- Исполнение кода (возможность злоумышленником выполнить какую-то команду на устройстве жертвы);
- Повреждение памяти;
- Доступ к информации (имеется в виду секретная информация, полученная за счет уязвимости);
- Увеличение привилегий (в частности для вредоносного ПО);
- Переполнение (буфера);

у линукса их больше но это по большей части отказ в обслуживании что неприятно но терпимо, в то время как у винды доминирует увеличение привилегий и доступ к информации.

Ответить | Правка | К родителю #57 | Наверх | Cообщить модератору

75. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  –1 +/–
Сообщение от Аноним (-), 30-Мрт-24, 01:54 
> у линукса их больше но это по большей части отказ в обслуживании что неприятно но терпимо, в то время как у винды доминирует увеличение привилегий и доступ к информации.

Если честно, мне лень искать и считать сколько у кого RCE, сколько privilege escalation.
Как это сделать быстро я не нашел. Поэтому поверю вам на слово.
Но в ядре хватает и того и другого. А это только чистое ядро.

Ответить | Правка | Наверх | Cообщить модератору

121. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  +/–
Сообщение от Аноним (121), 30-Мрт-24, 09:44 
Стоп, а почему по Винде ты взял только две последние версии? Опять подгоняешь условия задачи под нужный ответ?
Ответить | Правка | К родителю #57 | Наверх | Cообщить модератору

147. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  +/–
Сообщение от Аноним (147), 30-Мрт-24, 10:30 
Потому что более ранние версии - EOL. Мы же не считаем дырки в ненужном начиная с первоядра 1991 года?
Ответить | Правка | Наверх | Cообщить модератору

28. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  +1 +/–
Сообщение от Аноним (28), 30-Мрт-24, 00:07 
> Примеры backdoors в продуктах Microsoft в студию. Хотя бы один за 40 с лишним лет, что они существуют.

Вы серьёзно? Тут даже сложно комментировать ибо вы похоже очень многое пропустили... Вы хоть знаете фамилию президанта РФ? :)

Ответить | Правка | К родителю #20 | Наверх | Cообщить модератору

286. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  +/–
Сообщение от Вася (??), 30-Мрт-24, 14:51 
это константа
Ответить | Правка | Наверх | Cообщить модератору

36. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  +/–
Сообщение от Аноним (36), 30-Мрт-24, 00:28 
Держи. Не захлебнись только.

https://www.cvedetails.com/vulnerability-list/vendor_id-26/p...

Ответить | Правка | К родителю #20 | Наверх | Cообщить модератору

50. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  +1 +/–
Сообщение от birdie (ok), 30-Мрт-24, 00:45 
Разницу между malware/backdoor и vulnerability чувствуете? Видимо, вообще нисколько.
Ответить | Правка | Наверх | Cообщить модератору

71. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  +/–
Сообщение от Аноним (-), 30-Мрт-24, 01:44 
> Держи. Не захлебнись только.

Linux Kernel обгоняет винду десятку на 796 CVE
cvedetails.com/vulnerability-list/vendor_id-33/product_id-47/Linux-Linux-Kernel.html

Так что пример явно так себе))

Ответить | Правка | К родителю #36 | Наверх | Cообщить модератору

83. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  +/–
Сообщение от Skullnetemail (ok), 30-Мрт-24, 03:44 
Мы не знаем сколько на самом деле CVE в винде, потому что винда не open-source. Скорее всего в 10 раз больше. К тому же доверия closed-source софту, а особенно софту от биг-корпораций нет.
Ответить | Правка | Наверх | Cообщить модератору

110. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  +2 +/–
Сообщение от Аноним (-), 30-Мрт-24, 09:01 
> К тому же доверия closed-source софту, а особенно софту от биг-корпораций нет.

Ну да, а доверие к опенсорс софту  - есть?))

У нас тут новость про бекдор, вообще-то!
Который не заметило ни 'сообщество', ни мейнтейнеры, которые по идее должны быть более компетентные)
Это раз.

Исходники винды закрыты весьма условно.
Во-первых, кому надо их отдают на аудит.
Во-вторых, исходники винды утекали и не раз. Но даже после этого никто не нашел там бекдоров и заявил об этом.
Это два.

Ну а три - твоя оценка в 10 раз с потолка.
Никто не знает сколько багов ядра были потенциальными CVE которые просто исправили.

Это как раз пример, что (и) в опенсорсе никто ни за что не отвечает и доверять им нельзя, не смотря что код дают на блюдечке.

Ответить | Правка | Наверх | Cообщить модератору

127. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  +/–
Сообщение от Аноним (125), 30-Мрт-24, 10:06 
Фишка опенсорса в том, что за тебя сделали работу по реализации функционала и отдали тебе КОД. Берёшь и переписываешь его так, как тебе надо, и никто тебе ничего не сделает, пока как отдельный продукт выставлять не будешь в случае с GPL. Под MIT, BSD и публичным доменом всё ещё проще.

А теперь покажи, как ты поправишь майкрософтский драйвер или сетевой стек под виндовое ядро, без кода то.

Ответить | Правка | Наверх | Cообщить модератору

135. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  –1 +/–
Сообщение от Аноним (-), 30-Мрт-24, 10:13 
> Берёшь и переписываешь его так, как тебе надо
> А теперь покажи, как ты поправишь майкрософтский драйвер

Стоп-стоп. Мы сейчас не про достоинства опенсорса.
А про то что аргумент "опенсорс безопаснее закрытого софта" мягко говоря спорный, хотя его используют практически все визионеры.
Потому что опенсорс - такое же {#}, если не большее.

Ответить | Правка | Наверх | Cообщить модератору

329. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  +1 +/–
Сообщение от Аноним (327), 30-Мрт-24, 20:47 
Это не фишка, а насадка на зависимость )
Ответить | Правка | К родителю #127 | Наверх | Cообщить модератору

214. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  +1 +/–
Сообщение от Skullnetemail (ok), 30-Мрт-24, 12:13 
>> К тому же доверия closed-source софту, а особенно софту от биг-корпораций нет.
> Исходники винды закрыты весьма условно.

Исходники Шрёдингера.

> Во-первых, кому надо их отдают на аудит.

И бекдоры тоже добавляет тот кому надо.

> Во-вторых, исходники винды утекали и не раз.

Ага, утекали исходники, чтобы дураки потеряли бдительность, что в винде всё окей, никаких троянов нет, а на самом деле мы даже и не знаем, потому что бекдоры могут быть только в специальных релизных версиях, которые не комитятся.

Ответить | Правка | К родителю #110 | Наверх | Cообщить модератору

223. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  –1 +/–
Сообщение от Аноним (-), 30-Мрт-24, 12:35 
> бекдоры могут быть только в специальных релизных версиях, которые не комитятся

Ты это про винду?
Или про те бинарники, которые тебе в пакетный менеджер прилетают?
Или про те исходники, которые тебе отдаются в виде tar.gz для компиляции локально и которые ты не сверяешь построчно с оригиналом?

Хватит уже неси параноидальную чушь.
Эта новость - прекрасный пример как открытые исходники спасают от бекдоров))

Ответить | Правка | Наверх | Cообщить модератору

347. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  +1 +/–
Сообщение от Skullnetemail (ok), 31-Мрт-24, 03:09 
> Эта новость - прекрасный пример как открытые исходники спасают от бекдоров))

Спасают, бекдор исправили, а в винде хз, наверное ещё даже не нашли. А про бекдоры там знают те, кому нужно...

Ответить | Правка | Наверх | Cообщить модератору

360. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  –1 +/–
Сообщение от Аноним (360), 31-Мрт-24, 10:44 
И фарфоровый чайник на орбите летает, да?
Ответить | Правка | Наверх | Cообщить модератору

84. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  +5 +/–
Сообщение от Аноним (84), 30-Мрт-24, 04:05 
>Linux Kernel обгоняет винду десятку на 796 CVE

Абсолютно "кривая" логика.
Если сравнивать *конкретную* версию винды (Win10), то надо брать *конкретную* версию ядра, например 4.19.х, выпущенную примерно одновременно с 10-кой. А если хочешь сравнить колличество CVE для всех Linux Kernel, то и для винды надо считать CVE для всех, начиная с Win95.
ИМХО так будет корректно.

Ответить | Правка | К родителю #71 | Наверх | Cообщить модератору

120. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  +1 +/–
Сообщение от Анонин (-), 30-Мрт-24, 09:38 
Абсолютно "кривая" логика.

Сравнивать только ядро с полноценной операционной системой.
Нужно брать конкретную десктоп версию дистрибутива, например Дебиан или Федора.
И суммировать все CVE в софте, который идет из коробки и без которого он неюзабелен.
Потому что в список винды попадает всякая фигня вроде Windows Contacts и Windows Fax Compose Form.
А в список ядра даже уязвимости в иксах/вейланде не попадают.

ИМХО так будет корректно.

Ответить | Правка | Наверх | Cообщить модератору

38. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  +1 +/–
Сообщение от Аноним (38), 30-Мрт-24, 00:28 
"Предполагаемый автор бэкдора" и у MS отметился
https://learn.microsoft.com/en-US/cpp/overview/whats-new-cpp...
Ответить | Правка | К родителю #20 | Наверх | Cообщить модератору

77. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  +/–
Сообщение от birdie (ok), 30-Мрт-24, 01:57 
Ужасы.

С этого момента все его коммиты за последние пару лет раз 10 будут проверять :-)

Ответить | Правка | Наверх | Cообщить модератору

116. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  +/–
Сообщение от ss (??), 30-Мрт-24, 09:27 
"история про неусыпное око миллионов наблюдающее за исходным кодом 2.0"
Ответить | Правка | Наверх | Cообщить модератору

172. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  –1 +/–
Сообщение от Jh (?), 30-Мрт-24, 11:18 
Да вся винда бэкдор для МС. Хотят качают телеметрию от пользователя, хотят ставят рекламу в меню пуск пользователю. Сделать на твоей системе они могут что угодно.
Ответить | Правка | К родителю #20 | Наверх | Cообщить модератору

217. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  –1 +/–
Сообщение от Аноним (84), 30-Мрт-24, 12:20 
>Примеры backdoors в продуктах Microsoft в студию. Хотя бы один за 40 с лишним лет

Как-то утек в открытый доступ сервис пак для NT с неудаленными отладочными символами. Там некоторые ключи назывались NSA_key. Не бекдор, конечно..

Ответить | Правка | К родителю #20 | Наверх | Cообщить модератору

412. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  +/–
Сообщение от Аноним (-), 04-Апр-24, 01:08 
> Примеры backdoors в продуктах Microsoft в студию. Хотя бы один за 40 с лишним лет,
> что они существуют.

Всякие ремотные активации с "customer experience improvement" с отсылкой нажатий кнопок на клаве интеречно что по вашему? Фича чтоли? Ну тогда кардер разувающий вашу кредитку - благодетель, вероятно. А грабитель - так и вообще клевый чувак.

Ответить | Правка | К родителю #20 | Наверх | Cообщить модератору

68. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  +/–
Сообщение от Аноним (68), 30-Мрт-24, 01:39 
Ну да, ядро же оно само по себе существует, ему же вообще ничего не нужно. Прикладное ПО? Зачем оно пользователям линукса?


А пока остаётся только ставить линукс и приговаривать: "This is fine"

Ответить | Правка | К родителю #18 | Наверх | Cообщить модератору

413. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  +/–
Сообщение от Аноним (-), 04-Апр-24, 01:10 
> А пока остаётся только ставить линукс и приговаривать: "This is fine"

Ну так в стабильных дистро - "all systems online". Ну в васяны с роллингами как раз и побегали по минному полю - а они разве не на это подписывались? :)

Ответить | Правка | Наверх | Cообщить модератору

23. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  +1 +/–
Сообщение от твёрдый ветер (?), 29-Мрт-24, 23:48 
>В то время как крупные корпорации, такие как Microsoft, Google или Apple, одобряют каждую строчку кода, которая попадает к вам как к клиенту

можно поподробнее о том как крупные корпорации одобряют каждую строчку кода ?

Ответить | Правка | К родителю #11 | Наверх | Cообщить модератору

118. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  +/–
Сообщение от ss (??), 30-Мрт-24, 09:28 
Джобс считал что так надо делать. Как там сейчас - хз
Ответить | Правка | Наверх | Cообщить модератору

100. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  +1 +/–
Сообщение от Bonbon (?), 30-Мрт-24, 08:04 
> Почти все дистрибутивы, за исключением, может быть, RHEL, торопятся выложить пакеты из upstream, никогда не проверяя, что исходный код не был затроянен.

К вопросу о RHEL:
(1) We built 5.6.0 for Fedora 40 & 41.  Jia Tan was very insistent in
emails that we should update.

(2) We got reports later of a valgrind test failure.  I also saw it
myself in my own projects that use liblzma.  We notified Jia Tan of
this.

(3) Since the valgrind failure pointed to something with ifuncs, using
'./configure --disable-ifuncs' was used to fix this in F40 & F41.

(4) xz 5.6.1 was released with a fix for the valgrind failure.

(5) Fedora 40 was now in beta so we kept 5.6.0 + --disable-ifuncs.
Fedora 41 was updated to 5.6.1 (enabling ifuncs again).

And now with the benefit of hindsight ...

In step (1) we worked in good faith with upstream.  Given how
obfuscated the injection is, it's very unlikely we would have found
the problem even if we'd spent days inspecting the tarball.  (And the
initial step of injection is *not* in git, so forget about reviewing
git commits.)

The valgrind failure (2) was caused by a bug in the back door.

Disabling ifuncs in (3) disabled the back door, because I think it
relies on ifuncs to do its malware, but in any case the obfuscated
injection script explicitly skips injection if ifuncs are disabled.

Step (4) fixed the back door valgrind failure.

The Fedora 40 beta freeze in (5) meant we got lucky for F40, not so
much for F41.

https://lists.fedoraproject.org/archives/list/devel@lis.../

Ответить | Правка | К родителю #11 | Наверх | Cообщить модератору

168. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  +/–
Сообщение от Аноним (40), 30-Мрт-24, 11:14 
Что интересно, в светлой голове мейнтейнера даже мысли не возникло, почему ПРИКЛАДНОЙ код написан так, что верификаторы ругаются на всякие низкоуровневые ifuncs. Даже если бы они там были реально нужны - этот говнокодинг ушёл бы в продакшн без возражений, я так понимаю?
Ответить | Правка | Наверх | Cообщить модератору

117. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  +/–
Сообщение от Аноним (117), 30-Мрт-24, 09:27 
> В то время как крупные корпорации, такие как Microsoft, Google или Apple, одобряют каждую строчку кода, которая попадает к вам как к клиенту, в мире Linux такого не существует.

Ага, наивный. Работал я в крупных компаниях. Строчки там одобряют неглядя(за редким исключением), потому что вчера надо было. И всегда есть с десяток бекдоров как обойти это ревью или прислать изменение от другого сотрудника. Например как-то отклонил ревью у коллеги потому что он делал ерунду, велел все переделать, он нашёл другого коллегу из смежного отдела, который не стал париться и просто заапрувил. Не говоря уже о бекдорах которые сами эти крупные компании вставляют. Что у эппла, что у мелкософта было гораздо больше казусов пожестче xz. Гугл и сам на линуксе сидит.

Очевидно, проблема принципиально не решаема. Как писать простой код который будет легко проверить, собрать и верифицировать - никто не знает. Читать простыни и выискивать трояны никто не согласен, да и с таким объёмом кода невозможно. А от минимализма уже давно отказались.

Ответить | Правка | К родителю #11 | Наверх | Cообщить модератору

199. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  +/–
Сообщение от ProfessorNavigator (ok), 30-Мрт-24, 11:46 
> Очевидно, проблема принципиально не решаема.

Решаемая, просто для начала её стоит правильно сформулировать. Правильная же, на мой взгляд, формулировка в следующем: невозможно людей контролировать, единственный способ заставить всё работать более-менее нормально - сделать так, чтобы люди сами захотели делать как следует. Почему имеем случаи, подобные обсуждаемому? Ответ прост - стремление к личной выгоде. Почему есть стремление к личной выгоде? Опять же ответ прост - конкурентная борьба за ресурсы между людьми. Чем больше ты контролируешь ресурсов, тем меньше шанс оказаться на улице без средств к существованию и сдохнуть от голода. Как это прекратить? Дать каждому уверенность, что чтобы не случилось, его обеспечат работой и гарантированным минимумом необходимых для жизни ресурсов (не только водой и едой, но также жильём, медициной, образованием и т.д.). Как создать подобное общество? Вопрос достаточно сложный, но опять же решаемый - одна попытка уже была. В чём-то успешная, в чём-то - нет, однако правильность подхода можно считать доказанной. Осталось лишь сделать работу над ошибками - разобраться, почему не получилось, и попробовать создать правильную версию.

Ответить | Правка | Наверх | Cообщить модератору

386. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  +/–
Сообщение от Аноним (386), 31-Мрт-24, 23:04 
>[оверквотинг удален]
> Опять же ответ прост - конкурентная борьба за ресурсы между людьми.
> Чем больше ты контролируешь ресурсов, тем меньше шанс оказаться на улице
> без средств к существованию и сдохнуть от голода. Как это прекратить?
> Дать каждому уверенность, что чтобы не случилось, его обеспечат работой и
> гарантированным минимумом необходимых для жизни ресурсов (не только водой и едой,
> но также жильём, медициной, образованием и т.д.). Как создать подобное общество?
> Вопрос достаточно сложный, но опять же решаемый - одна попытка уже
> была. В чём-то успешная, в чём-то - нет, однако правильность подхода
> можно считать доказанной. Осталось лишь сделать работу над ошибками - разобраться,
> почему не получилось, и попробовать создать правильную версию.

хорошая попытка, но нет.

Ответить | Правка | Наверх | Cообщить модератору

388. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  +/–
Сообщение от ProfessorNavigator (ok), 01-Апр-24, 00:30 
> хорошая попытка, но нет.

Что именно и почему?

Ответить | Правка | Наверх | Cообщить модератору

211. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  +/–
Сообщение от Аноним (211), 30-Мрт-24, 12:04 
Cisco достаточно крупная корпорация? Все же помним доступ по curl? А исправление бекдора в виде запрета доступа по... юзерагенту curl?
Ответить | Правка | К родителю #11 | Наверх | Cообщить модератору

241. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  +/–
Сообщение от Аноним (121), 30-Мрт-24, 13:07 
> В то время как крупные корпорации, такие как Microsoft, Google или Apple, одобряют каждую строчку кода, которая попадает к вам как к клиенту, в мире Linux такого не существует. И дело не только в Linux, FreeBSD тоже страдает от этого. Я не уверен насчет OpenBSD/NetBSD, поскольку никогда их не использовал.

Тем временем https://overclockers.ru/blog/Docent2006/show/20835/v_routera...

В 2013 году разоблачения немецкой газеты Der Spiegel показали, что АНБ использует некоторые бэкдоры в маршрутизаторах Cisco. Cisco опровергла обвинения в том, что она работает с АНБ для внедрения этих бэкдоров.

В 2014 году в маршрутизаторах Cisco для малого бизнеса был обнаружен новый недокументированный бэкдор, который может позволить злоумышленникам получить доступ к учётным данным пользователя и выполнять произвольные команды с повышенными привилегиями.

В 2015 году группа злоумышленников, поддерживаемых государством, начала установку вредоносного бэкдора в маршрутизаторах Cisco, воспользовавшись многими маршрутизаторами, которые сохраняли учётные данные администратора по умолчанию, вместо того, чтобы изменять их на что-то ещё.

В 2017 году Cisco с помощью утечки данных Wikileaks обнаружила уязвимость в своих собственных маршрутизаторах, которая позволила ЦРУ удаленно управлять более чем 300 коммутационными моделями Cisco.

Ждем твой комментарий с этодругином.

Ответить | Правка | К родителю #11 | Наверх | Cообщить модератору

288. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  –1 +/–
Сообщение от Аноним (288), 30-Мрт-24, 15:26 
Вы прекрасно нарыли дыры у networking equipment vendor. Прекрасно.

Но какое Cisco имеет отношение к компаниям, которые перечислил птичка?

Даже если переставить буквы, Cisco не получится. Увы.

Ответить | Правка | Наверх | Cообщить модератору

305. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  +/–
Сообщение от Аноним (121), 30-Мрт-24, 16:07 
> Но какое Cisco имеет отношение к компаниям, которые перечислил птичка?

А если прочесть его сообщение внимательней?

> В то время как крупные корпорации, такие как

Cisco разве перестала быть корпорацией, с проприетарной продукцией?

Ответить | Правка | Наверх | Cообщить модератору

363. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  +/–
Сообщение от Аноним (363), 31-Мрт-24, 12:43 
Гнутое точно такая же проприетарщина потому что требует передачи авторских прав, но ведь это не считается? Я про www.gnu.org/licenses/why-assign.ru.html говорю.
Ответить | Правка | Наверх | Cообщить модератору

248. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  +1 +/–
Сообщение от Аноним (248), 30-Мрт-24, 13:15 
> Я уже много лет говорю [...] Я знал
> В то время как крупные корпорации, такие как Microsoft, Google или Apple, одобряют каждую строчку кода, которая попадает к вам как к клиенту

Ох, лол. Чел, ты же, очевидно, в коммерческой разработке никогда не участвовал. Откуда у тебя при этом столько спеси?

Ответить | Правка | К родителю #11 | Наверх | Cообщить модератору

289. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."  +/–
Сообщение от Аноним (288), 30-Мрт-24, 15:28 
>> Я уже много лет говорю [...] Я знал
>> В то время как крупные корпорации, такие как Microsoft, Google или Apple, одобряют каждую строчку кода, которая попадает к вам как к клиенту
> Ох, лол. Чел, ты же, очевидно, в коммерческой разработке никогда не участвовал.
> Откуда у тебя при этом столько спеси?

Давно/много работаете в указанных выше компаниях или ваша "коммерческая разработка" ограничена шаражкой на 200 человек от силы?

Ответить | Правка | Наверх | Cообщить модератору

252. Скрыто модератором  +2 +/–
Сообщение от Anonimous (?), 30-Мрт-24, 13:22 
Ответить | Правка | К родителю #11 | Наверх | Cообщить модератору

287. Скрыто модератором  +/–
Сообщение от birdie (ok), 30-Мрт-24, 15:24 
Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей 		Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру