Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

В библиотеке xz/liblzma выявлен бэкдор, организующий вход через sshd, opennews (ok), 29-Мрт-24, (0) [смотреть все] И как понять что тот бекдор успел натворить Если он больше месяца существует , semester (ok), 22:43 , 29-Мрт-24, (1) +2 // For our openSUSE Tumbleweed users where SSH is exposed to the internet we recomm, Bonbon (?), 22:50 , 29-Мрт-24, (4) +1 Не просто больше месяца существует - автор бэкдора 2 года в проекте и отпра, Alexander_R (ok), 22:59 , 29-Мрт-24, (9) +11 // откуда дровишки , Ано ним (?), 23:14 , 29-Мрт-24, (10) –4 // В обсуждении на openwall много чего есть из не упомянутого в новости , Alexander_R (ok), 23:24 , 29-Мрт-24, (14) +3 Audit Accounting MAC и логи на другой сервер, который без бекдора с xz Тогд, Аноним (98), 07:55 , 30-Мрт-24, (98) +1 // https www opennet ru openforum vsluhforumID10 5622 htmlНаписал скриптик и подп, Аноним (98), 08:04 , 30-Мрт-24, (101) Accounting это какие примеры , semester (ok), 22:05 , 30-Мрт-24, (333) Короче Инцидент был и он в дистрибутивах был, которые никто в здравом уме не бу, FSA (??), 22:51 , 29-Мрт-24, (5) –14 // Создать ботнет и наехать на конкретных , не , Аноним (7), 22:56 , 29-Мрт-24, (7) +4 // Все современные ботнеты, они исключительно иот А там как всегда протухшая на 5-, Аноним324 (ok), 11:03 , 30-Мрт-24, (161) +1 // Не надо себя убаюкивать Ботнеты на всём , что удасться взломать И чем круче , Аноним (174), 11:21 , 30-Мрт-24, (174) +3 Именно поэтому у меня воооон там в логах немеряно левака с каких-то маздаев таки, Аноним (-), 01:05 , 04-Апр-24, (411) На домашних машинах может быть столько криптовалюты что целой группе авторов хва, NameName (?), 09:31 , 30-Мрт-24, (119) // Какой идиот хранит крипту на компе , Аноним324 (ok), 11:03 , 30-Мрт-24, (162) –3 // я извиняюсь, а где , а (?), 17:50 , 30-Мрт-24, (311) +2 Малинку заведите И спрятать эту Тамогочу в кладовку с донорскими платами чтобы , сщта (?), 19:17 , 30-Мрт-24, (323) –1 Есть такие устройства, кошельки называются, можешь даже сам такой сделать, штучк, Аноним324 (ok), 20:30 , 30-Мрт-24, (328) да, а потом как с неё деньги выводить обратно не через интернет ли случаем , namenotfound (?), 21:35 , 30-Мрт-24, (330) +3 А потом этот кошелек выходит из строя и привет Такое уже было , Аноним (364), 15:53 , 31-Мрт-24, (364) +2 Протроянить Васяна, который собирает пакетики для прода - тянет на цель rosa20, n00by (ok), 10:19 , 30-Мрт-24, (141) +4 // Ну так цель то ясна, Васяна наняли для конктретного дележа денег, пока государст, Всем Анонимам Аноним (?), 12:28 , 30-Мрт-24, (220) Про воспроизводимые сборки в НТЦ ИТ Роса никто и не слышал , Аноним (-), 14:13 , 01-Апр-24, (404) –2 найти и наказать гада 8212 это одно, не допускать такого в принципе 8212 д, Перастерос (ok), 22:52 , 29-Мрт-24, (6) +2 // Во Если уж бэкдор, то только хардварный, только хардкор Не допускать васянство, Аноним (33), 00:18 , 30-Мрт-24, (33) +4 // Intel ME вместе с PSP передать просили - ALL YOUR BASE ARE BELONGS TO US , Аноним (-), 06:43 , 01-Апр-24, (392) +2 Нужно заставить гада извиниться на камеру, Аноним (79), 02:57 , 30-Мрт-24, (79) +1 // ну попробуй, заставь сотрудника правительственной связи ее величества это сделат, Sw00p aka Jerom (?), 08:24 , 30-Мрт-24, (105) +2 // Что так слабо Заставь её величество извиниться , Аноним (281), 14:21 , 30-Мрт-24, (281) Почему её Его же, ну, Прохожий (??), 15:31 , 30-Мрт-24, (290) Её интереснее Расскажет, как там климат, на чём жарят - на масле или на голой с, Аноним (317), 18:35 , 30-Мрт-24, (317) +1 Какой, извиниться Его валить нужно А если есть семья, то и семью , adolfus (ok), 20:32 , 31-Мрт-24, (381) –2 И отрезать ему ухо , vantoo (ok), 15:43 , 02-Апр-24, (410) хз-utils, ну что, уважаемо, эпично Эта библиотека есть прям везде И самое дурн, kusb (?), 22:58 , 29-Мрт-24, (8) +3 // Да что ты говоришь Это же чушь несусветная RHEL или MS напрямую у тебя берут д, sesto (?), 23:23 , 29-Мрт-24, (13) –7 // Эпично, что гуманитарий уловил суть, а технарь , слегка подвинутый на идеолог, n00by (ok), 10:22 , 30-Мрт-24, (144) // Но он прав в том, что один бэкдор в мире Linux был относительно быстро обнаружен, Аноним (364), 15:56 , 31-Мрт-24, (365) +1 Может быть ключевое слово, а ничего поделать с этим нельзя следует читать ка, n00by (ok), 17:35 , 31-Мрт-24, (375) Да, читать нужно уметь, но не так альтернативно одаренно, по итгу буквально все , Аноним (417), 11:02 , 26-Апр-24, (417) Ну почему же всё итгу - годный пример, что читать надо уметь Особенно, что с, n00by (ok), 09:01 , 28-Апр-24, (420) Ага, уже пошёл смотреть все сорсы всех либ, используемых в моем дистре, начиная , Аноним (354), 09:53 , 31-Мрт-24, (354) +1 в дебианах даже 12м нет пока сам не поставишь на rhel сильно старое нашёл ср, pelmaniac (?), 18:03 , 30-Мрт-24, (312) –1 // Arch не был подвержен этому вектору атаки, там openssh не использовал liblzma, в, myster (ok), 18:53 , 30-Мрт-24, (320) +2 Я уже много лет говорю об этой проблеме и о том, как плохо обстоят дела с безопа, birdie (ok), 23:15 , 29-Мрт-24, (11) –24 // Все ок, но про одобрение каждой строчки кода уже слишком жирно, Аноним (15), 23:27 , 29-Мрт-24, (15) +10 // Да, примерно так Причём код проверяет не один человек, а несколько Жирно - это к, birdie (ok), 23:49 , 29-Мрт-24, (24) –1 // Ты лично видел, как проверяли всей оргией каждую строчку кода Готов имена назва, Аноним (125), 10:00 , 30-Мрт-24, (125) –2 Каким боком здесь безопасность линукса Это не дыра в ядре, не эскалация привиле, Аноним (18), 23:29 , 29-Мрт-24, (18) +10 // ну объективно говоря от этого приложения зависит пол системы Может я не прав, н, semester (ok), 23:33 , 29-Мрт-24, (19) +1 // Да, но если так же скомпрометировать популярную библиотеку на винде, разница буд, Аноним (18), 00:02 , 30-Мрт-24, (27) +2 Разница в том, что для верности аналогии тебе придётся скомпрометировать библиот, n00by (ok), 10:31 , 30-Мрт-24, (148) В формулировке ошибка это компонент системы, а не приложение, как его пытался в, n00by (ok), 10:27 , 30-Мрт-24, (146) да откуда вы такие беретесь не зависит от xz ничего, его даже поставить надо ру, pelmaniac (?), 18:05 , 30-Мрт-24, (313) apt autopurge xz-utilsЧтение списков пакетов 8230 ГотовоПостроение дерева зави, Аноним (327), 20:25 , 30-Мрт-24, (327) +3 Примеры backdoors в продуктах Microsoft в студию Хотя бы один за 40 с лишним ле, birdie (ok), 23:46 , 29-Мрт-24, (20) –13 // Сначала ты примеры backdoors в продуктах Linux Foundation в студию То есть все л, Аноним (18), 23:56 , 29-Мрт-24, (25) +4 Ну вот буквально несколько дней назад нашли в Fedora продукте redhat, платиново, Аноним (40), 00:32 , 30-Мрт-24, (40) Да легко Как насчет Bvp47 По слухам связан с NSA, но проверить естественно нево, Fyjy (-), 00:37 , 30-Мрт-24, (45) –2 Так падажи, но если считать дыры за умышленные бэкдоры, то винда тогда по этому , Аноним (18), 00:45 , 30-Мрт-24, (51) +6 А про Bvp47 есть что сказать Эм как-то не получается Linux Kernel - 3876 vu, Fyjy (-), 01:06 , 30-Мрт-24, (57) –3 Здесь стоит опять же учитывать, что например злополучный ядерный модуль ksmbd, в, Аноним (18), 01:18 , 30-Мрт-24, (61) +3 Ну так не принимайте от них модули А то уже был прецедент с деревянным конем в п, Fyjy (-), 01:27 , 30-Мрт-24, (64) –2 Не, это не выход, так можно вообще перестать любой код принимать Есть жирный плю, Аноним (18), 01:43 , 30-Мрт-24, (69) +2 Нет Это не Microsoft пишет его И не более злополучен чем остальное ядро , iPony129412 (?), 03:25 , 30-Мрт-24, (80) +1 так уязвимости ведь разные бывают- DoS Denial of Service отказ в обслуживании, твёрдый ветер (?), 01:38 , 30-Мрт-24, (67) +1 Если честно, мне лень искать и считать сколько у кого RCE, сколько privilege esc, Аноним (-), 01:54 , 30-Мрт-24, (75) –1 Стоп, а почему по Винде ты взял только две последние версии Опять подгоняешь ус, Аноним (121), 09:44 , 30-Мрт-24, (121) Потому что более ранние версии - EOL Мы же не считаем дырки в ненужном начиная , Аноним (147), 10:30 , 30-Мрт-24, (147) Вы серьёзно Тут даже сложно комментировать ибо вы похоже очень многое пропустил, Аноним (28), 00:07 , 30-Мрт-24, (28) +1 это константа, Вася (??), 14:51 , 30-Мрт-24, (286) Держи Не захлебнись только https www cvedetails com vulnerability-list vendor, Аноним (36), 00:28 , 30-Мрт-24, (36) Разницу между malware backdoor и vulnerability чувствуете Видимо, вообще нискол, birdie (ok), 00:45 , 30-Мрт-24, (50) +1 Linux Kernel обгоняет винду десятку на 796 CVEcvedetails com vulnerability-list , Аноним (-), 01:44 , 30-Мрт-24, (71) Мы не знаем сколько на самом деле CVE в винде, потому что винда не open-source , Skullnet (ok), 03:44 , 30-Мрт-24, (83) Ну да, а доверие к опенсорс софту - есть У нас тут новость про бекдор, вообще, Аноним (-), 09:01 , 30-Мрт-24, (110) +2 Фишка опенсорса в том, что за тебя сделали работу по реализации функционала и от, Аноним (125), 10:06 , 30-Мрт-24, (127) Стоп-стоп Мы сейчас не про достоинства опенсорса А про то что аргумент опенсор, Аноним (-), 10:13 , 30-Мрт-24, (135) –1 Это не фишка, а насадка на зависимость , Аноним (327), 20:47 , 30-Мрт-24, (329) +1 Исходники Шрёдингера И бекдоры тоже добавляет тот кому надо Ага, утекали исходни, Skullnet (ok), 12:13 , 30-Мрт-24, (214) +1 Ты это про винду Или про те бинарники, которые тебе в пакетный менеджер прилетаю, Аноним (-), 12:35 , 30-Мрт-24, (223) –1 Спасают, бекдор исправили, а в винде хз, наверное ещё даже не нашли А про бекдо, Skullnet (ok), 03:09 , 31-Мрт-24, (347) +1 И фарфоровый чайник на орбите летает, да , Аноним (360), 10:44 , 31-Мрт-24, (360) –1 Абсолютно кривая логика Если сравнивать конкретную версию винды Win10 , то, Аноним (84), 04:05 , 30-Мрт-24, (84) +5 Абсолютно кривая логика Сравнивать только ядро с полноценной операционной сис, Анонин (-), 09:38 , 30-Мрт-24, (120) +1 Предполагаемый автор бэкдора и у MS отметилсяhttps learn microsoft com en-US, Аноним (38), 00:28 , 30-Мрт-24, (38) +1 Ужасы С этого момента все его коммиты за последние пару лет раз 10 будут проверя, birdie (ok), 01:57 , 30-Мрт-24, (77) история про неусыпное око миллионов наблюдающее за исходным кодом 2 0 , ss (??), 09:27 , 30-Мрт-24, (116) Да вся винда бэкдор для МС Хотят качают телеметрию от пользователя, хотят ставя, Jh (?), 11:18 , 30-Мрт-24, (172) –1 Как-то утек в открытый доступ сервис пак для NT с неудаленными отладочными симво, Аноним (84), 12:20 , 30-Мрт-24, (217) –1 Всякие ремотные активации с customer experience improvement с отсылкой нажатий, Аноним (-), 01:08 , 04-Апр-24, (412) Ну да, ядро же оно само по себе существует, ему же вообще ничего не нужно Прикл, Аноним (68), 01:39 , 30-Мрт-24, (68) // Ну так в стабильных дистро - all systems online Ну в васяны с роллингами как , Аноним (-), 01:10 , 04-Апр-24, (413) можно поподробнее о том как крупные корпорации одобряют каждую строчку кода , твёрдый ветер (?), 23:48 , 29-Мрт-24, (23) +1 // Джобс считал что так надо делать Как там сейчас - хз, ss (??), 09:28 , 30-Мрт-24, (118) К вопросу о RHEL 1 We built 5 6 0 for Fedora 40 41 Jia Tan was very insist, Bonbon (?), 08:04 , 30-Мрт-24, (100) +1 // Что интересно, в светлой голове мейнтейнера даже мысли не возникло, почему ПРИКЛ, Аноним (40), 11:14 , 30-Мрт-24, (168) Ага, наивный Работал я в крупных компаниях Строчки там одобряют неглядя за ред, Аноним (117), 09:27 , 30-Мрт-24, (117) // Решаемая, просто для начала её стоит правильно сформулировать Правильная же, на, ProfessorNavigator (ok), 11:46 , 30-Мрт-24, (199) // gt оверквотинг удален хорошая попытка, но нет , Аноним (386), 23:04 , 31-Мрт-24, (386) Что именно и почему , ProfessorNavigator (ok), 00:30 , 01-Апр-24, (388) Cisco достаточно крупная корпорация Все же помним доступ по curl А исправление, Аноним (211), 12:04 , 30-Мрт-24, (211) Тем временем https overclockers ru blog Docent2006 show 20835 v_routerah_cisco, Аноним (121), 13:07 , 30-Мрт-24, (241) // Вы прекрасно нарыли дыры у networking equipment vendor Прекрасно Но какое Cisco, Аноним (288), 15:26 , 30-Мрт-24, (288) –1 // А если прочесть его сообщение внимательней Cisco разве перестала быть корпорацие, Аноним (121), 16:07 , 30-Мрт-24, (305) Гнутое точно такая же проприетарщина потому что требует передачи авторских прав,, Аноним (363), 12:43 , 31-Мрт-24, (363) Ох, лол Чел, ты же, очевидно, в коммерческой разработке никогда не участвовал , Аноним (248), 13:15 , 30-Мрт-24, (248) +1 // Давно много работаете в указанных выше компаниях или ваша коммерческая разработ, Аноним (288), 15:28 , 30-Мрт-24, (289) Скрыто модератором, Anonimous (?), 13:22 , 30-Мрт-24, (252) +2 // Скрыто модератором, birdie (ok), 15:24 , 30-Мрт-24, (287) Это не правда В sshd не используется liblzma SSHd _можно_ собрать, слинковав с, Ано ним (?), 23:17 , 29-Мрт-24, (12) +1 // sshd дёргает метод из systemd, который дёргает liblzma То, что вы в своём Gentoo, birdie (ok), 23:29 , 29-Мрт-24, (17) –5 // Учитывая, что разрабатывают openssh разработчики openbsd, то вопрос кто тут извр, Аноним (30), 00:10 , 30-Мрт-24, (30) +8 Нету в проекте openssh никаких обращений к libsystemd и тем более методов Умни, Аноним (43), 00:34 , 30-Мрт-24, (43) +14 // Ты всё юлишь, но не хочешь сказать правду, что systemd и есть бекдор Всё об это, Аноним (106), 08:27 , 30-Мрт-24, (106) +2 да-да, власти скрывают, голуби следят, namenotfound (?), 21:38 , 30-Мрт-24, (332) +3 Красиво подгорает Перечитываю снова и снова, не могу налюбоваться , Аноним (40), 01:06 , 30-Мрт-24, (58) +4 Gentoo Newer releases were signed by a potentially compromised upstream mainta, Аноним (98), 08:38 , 30-Мрт-24, (108) +1 // Системд нет,екзедутилс 5 4 6-r1 Все норм Бггг , сщта (?), 09:23 , 30-Мрт-24, (114) Кажется откатывается на 5 4 2, сщта (?), 09:45 , 30-Мрт-24, (122) Тоже не понимал причём тут xz, пришлось читать оригинал , Ivan_83 (ok), 00:50 , 30-Мрт-24, (53) +2 // Тот самый момент, когда арч лучше дебиана , НяшМяш (ok), 13:01 , 30-Мрт-24, (239) // buster - 5 2 4, Аноним (380), 18:58 , 31-Мрт-24, (380) Вообще xz это зло https www nongnu org lzip xz_inadequate html, Аноним (15), 23:29 , 29-Мрт-24, (16) +4 // А что насчёт zstd Бяка типа xz или что-то приятное типа gz lz Есть информация , Аноним (40), 00:34 , 30-Мрт-24, (41) +1 // У lz4 и zstd один и тот же автор, так что скорее приятное , Bklrexte (ok), 03:38 , 30-Мрт-24, (82) +1 стоящая вещь, только софт некоторый отсталый, а всякие mc вообще не могут без та, майнеймис (?), 12:53 , 30-Мрт-24, (233) Слишком много букв А что они там предлагают для long-term archiving , Аноним (42), 00:34 , 30-Мрт-24, (42) // Ничего конкретного Но вообще любой шарящий в теме человек знает, что для действи, Аноним (18), 01:04 , 30-Мрт-24, (55) +1 Они говорят, что gzip, bzip2 и lzip в разы лучше в плане детекта различного ро, Аноним (40), 01:21 , 30-Мрт-24, (62) Ленту В трех экземплярах , й (?), 13:29 , 30-Мрт-24, (258) Gentoo проблема с sshd не аффектит, так как там не используют патчи для systemd-, Аноним (28), 23:47 , 29-Мрт-24, (22) +6 // Пофиксил, ё велком, burjui (ok), 22:34 , 01-Апр-24, (407) xz --versionxz XZ Utils 5 4 1liblzma 5 4 1Хакеры 0 1 Debian stable, Аноним (33), 00:07 , 30-Мрт-24, (29) // xz --versionxz XZ Utils 5 2 5liblzma 5 2 5У меня ещё древнее , Skullnet (ok), 00:25 , 30-Мрт-24, (35) +1 // А вот у тебя 4 летняя, но сидеть на старостабильной ветке и не ставить на неё об, Аноним (48), 00:40 , 30-Мрт-24, (48) –1 // У меня самый свежий Linux Mint вообще-то , Skullnet (ok), 01:30 , 30-Мрт-24, (65) +1 Основанный на покрывшейся плесенью Ubuntu 22 04 LTS Ничего, в этом году должен , Аноним (221), 12:33 , 30-Мрт-24, (221) +1 Псс, Ubuntu 22 04 4 LTS вышел достаточно недавно и софты в нём достаточно свежие, Аноним (281), 14:28 , 30-Мрт-24, (283) +2 Все версии за 2 года содержат код этого автора, у тебя слишком сырая версия , Аноним (48), 00:38 , 30-Мрт-24, (46) Угу OpenNet Я в безопасности, меня не касается, проблемы нет , Аноним (86), 04:08 , 30-Мрт-24, (86) +1 В pkgsrc уже откатились - https pkgsrc se archivers xzНо в самом образе NetBSD, Аноним (30), 00:15 , 30-Мрт-24, (32) // так BSD и так в безопасносте, Аноним (385), 22:59 , 31-Мрт-24, (385) +1 Чувак не виноват, ему просто copilot сделал автоподстановку и он случайно нажал , Аноним (34), 00:20 , 30-Мрт-24, (34) +21 // Да да, приходиш в жкх, а почему вы мне так много начислили А это не мы, это про, Аноним (95), 07:40 , 30-Мрт-24, (95) +1 // Шутки шутками, но такое реально бывало https en m wikipedia org wiki British_P, Аноним (248), 12:00 , 30-Мрт-24, (208) +2 Скрыто модератором, Аноним (-), 00:32 , 30-Мрт-24, (39) Всё ещё веселей https github com google oss-fuzz issues 11760 issuecomment-20, birdie (ok), 00:36 , 30-Мрт-24, (44) +3 // Погоди-ка, но ты же выше писал, что Google проверят каждую строчку кода Как же , Аноним (248), 13:15 , 30-Мрт-24, (250) fedora xz --versionxz XZ Utils 5 4 4liblzma 5 4 4ubuntu xz --versionxz XZ , Аноним (47), 00:39 , 30-Мрт-24, (47) Ну, ладно А эти пишут, что The problem has been fixed upstream in version 5 6 1, Аноним (42), 00:41 , 30-Мрт-24, (49) // Эти рекомендуют ставить не просто 5 6 1, а 5 6 1-2 , в которой бинарник собира, Аноним (40), 00:55 , 30-Мрт-24, (54) +3 // Я буду громко смеяться, если в пофикшенном бинарнике будет второй бекдор, но б, Fyjy (-), 01:16 , 30-Мрт-24, (60) +2 // В принципе вы правы Но тогда уж откатываться на версию двухлетней давности Инт, Аноним (40), 01:27 , 30-Мрт-24, (63) Хорошо, что использую Debian stable, где, как говорят эксперты , все протухло и, Аноним (56), 01:04 , 30-Мрт-24, (56) +1 // Хорошо или нет, но именно дебиан среди прочих пропатчил исходники openssh таки, Аноним (40), 01:16 , 30-Мрт-24, (59) +15 Да заметили бы, только уже при расследовании реальных взломов Но автор конечно , Аноним (18), 01:49 , 30-Мрт-24, (73) OpenNet Я в безопасности, меня не касается, проблемы нет , Аноним (86), 04:07 , 30-Мрт-24, (85) +1 Ну так себе, для любителей всяких current testing unstable версий Хорошо что выя, Аноним (66), 01:36 , 30-Мрт-24, (66) –2 // Тут цельное селинукс кровавой црушнёй писано, да не смутит вас ник злыдня под к, Аноним (68), 01:45 , 30-Мрт-24, (72) +2 // Матчасть бы изучил, умник Селинукс изобрели в АНБ, и по словам Сноудена они как , Аноним (66), 02:17 , 30-Мрт-24, (78) –1 // Вот и сам изучи матчасть, безопасность -- морковка для ослика, а вот поди разг, Аноним (68), 07:44 , 30-Мрт-24, (96) +2 Тогда почему ты пишешь от Анонима, а не зарегистрировался на форуме по телефону , Аноним (125), 10:12 , 30-Мрт-24, (133) +2 Разумеется Но свою безопасность им тоже нужно как-то организовывать Например от, Аноним (-), 10:20 , 30-Мрт-24, (142) –1 Сноудену безоговорочно верить, себя не уважать Учитывая где он сейчас А то как-т, Анонм (?), 10:17 , 30-Мрт-24, (140) Начинаем учить матчасть 1 Сноуден, прежде всего, предатель Кто не понимает, чт, n00by (ok), 10:48 , 30-Мрт-24, (152) –2 Кому-то самому не мешало бы поучить матчасть Сноуден исходит из мнения что служ, Аноним (159), 10:56 , 30-Мрт-24, (159) Действительно, учить, так учить Однокоренные слова к мнение мнить, мнимый М, n00by (ok), 11:32 , 30-Мрт-24, (189) Что же ты юлишь то Очередного задорнова-фоменко косплеишь неубедительно А слов, Аноним (200), 11:47 , 30-Мрт-24, (200) Я объясняю тебе смысл слов, поскольку ты сам далёк от понимания своей писанины Н, n00by (ok), 13:33 , 30-Мрт-24, (262) Ливнул, как ожидаемо Ни одного своего лживого утверждения не смог обосновать По, Аноним (270), 13:47 , 30-Мрт-24, (270) +1 Уговорил, объясняю вот это за тебя Проекция - механическая псих защита, характе, n00by (ok), 08:35 , 31-Мрт-24, (351) Про 12 приёмов Чапека тебе наверное уже ленивый не писал Успокойся, здесь люди , Аноним (360), 10:37 , 31-Мрт-24, (359) Первый раз такое тут вижу А это постоянно Когда оратор плавает в вопросе, он ре, n00by (ok), 17:38 , 31-Мрт-24, (376) Так кто прав Американский суд признавший преступным слежку за своими гражданами , Аноним (382), 20:57 , 31-Мрт-24, (382) Зачем ты задаёшь мне все эти глупые вопросы Ты хочешь меня убедить, что я не пр, n00by (ok), 07:47 , 01-Апр-24, (395) Прямо эталон по впрыгиванию в жир ногами показал И дальше крутишься как на сков, Аноним (360), 18:43 , 01-Апр-24, (406) Итак, Анонимный эксперт настойчиво утверждает, что некий окружной суд Жмеринки п, n00by (ok), 11:03 , 02-Апр-24, (408) По его разумению, я так понимаю, аглийское слово opinion мение происходит от, TSO (?), 22:59 , 30-Мрт-24, (336) Некоторым быть в танке недостаточно, в качестве дополнительной защиты прибегают , n00by (ok), 08:33 , 31-Мрт-24, (350) Не хочешь быть соучастником преступлений, о необходимости совершения которых т, ОШИБКА Отсутствуют данные в поле Name (?), 10:57 , 30-Мрт-24, (160) Каких преступлений Он отказался облучать народ марсианскими технологиями, потом, n00by (ok), 11:35 , 30-Мрт-24, (191) Ты с мат частью всё-таки ознакомишься может Слежка за любым гражданином без санк, Аноним (205), 11:58 , 30-Мрт-24, (205) Что это за текст, кто его автор и зачем ты мне его отправляешь в ответ Я лучше , n00by (ok), 13:39 , 30-Мрт-24, (266) Ты с матчастью ознакомься Это цитата Сноудена в интервью гуардиану Сбор данных б, Аноним (270), 13:46 , 30-Мрт-24, (268) С какого перепугу я должен верить персонажу, чья компетенция в вопросе никак не , n00by (ok), 08:41 , 31-Мрт-24, (352) Seven years after former National Security Agency contractor Edward Snowden blew, Аноним (360), 10:23 , 31-Мрт-24, (357) А ты _мне_ вот этим показал, что сам себя лично ни во что не ставишь , n00by (ok), 17:41 , 31-Мрт-24, (377) Итак кто прав Американский суд признавший преступным слежку за своими гражданами, Аноним (382), 20:58 , 31-Мрт-24, (383) Зачем ты задаёшь мне все эти глупые вопросы Ты хочешь меня убедить, что я не пр, n00by (ok), 07:49 , 01-Апр-24, (396) Извините за занудство, но1 Сноуден сам пошёл в контору Взрослый мужчина, не мо, Аноним (246), 13:13 , 30-Мрт-24, (246) +1 Тут кстати некоторые не очень рады, что он принял наше гражданство Потому что в, n00by (ok), 13:35 , 30-Мрт-24, (264) Вау, о сколько нам открытий чудных А можно поинтересоваться 8212 какого та, TSO (?), 23:02 , 30-Мрт-24, (337) Я вижу, ты не в курсе, что Освальд перед тем попросил политическое убежище в ССС, n00by (ok), 08:31 , 31-Мрт-24, (349) Контора занимался незаконной деятельностью за пределами сша Это его устраивало , Аноним (270), 13:54 , 30-Мрт-24, (274) Так ты Патриотический Акт почитай Может последуешь примеру своего кумира и пере, n00by (ok), 17:44 , 31-Мрт-24, (378) Так кто прав Американский суд признавший преступным слежку за своими гражданами , Аноним (382), 20:58 , 31-Мрт-24, (384) Зачем ты задаёшь мне все эти глупые вопросы Ты хочешь меня убедить, что я не пр, n00by (ok), 07:49 , 01-Апр-24, (397) То самое анб что протолкнуло свою поделку вместо рсбак и пах-грсек Хотя они был, Аноним (159), 10:49 , 30-Мрт-24, (153) +1 Надо было xz на расте писать, с его наркохипанским синтаксисом никто ничего нико, Аноним (68), 01:44 , 30-Мрт-24, (70) +9 // То есть синтаксис m4 портянки из новости тебя не смутил, да , Аноним (248), 11:29 , 30-Мрт-24, (187) +6 // Так даже у m4 синтаксис лучше чем у Раста , Аноним (364), 16:30 , 31-Мрт-24, (366) +1 Это хорошо что вы открыто говорите о своих проблемах Ну не удалось вам понять ка, Аноним (-), 13:38 , 30-Мрт-24, (265) +1 m4 Невероятно , Лутту (?), 01:51 , 30-Мрт-24, (74) +2 // Ещё одно доказательство, что Automake место на свалке Не читаемый набор скрипто, Аннон (?), 10:49 , 30-Мрт-24, (154) +4 // Если скрипты намеренно не читать, их и нельзя будет отревьюить , Аноним (292), 15:44 , 30-Мрт-24, (292) Какого черта какой то ноунейм liblzma либе доступно чтение и запись в любую обла, Oe (?), 01:54 , 30-Мрт-24, (76) –2 // Иди сурсы читай sshd напрямую эту библиотеку и не использует, просто какие-то г, Аноним (125), 10:15 , 30-Мрт-24, (137) +2 // Вопрос по прежнему открыт почему ноунейм прилинкованная либа имеет доступ к пам, Oe (?), 12:24 , 30-Мрт-24, (219) –5 // в виде указателя на область памяти Ты представляешь производительность того ж, Аноним (243), 13:11 , 30-Мрт-24, (243) А я предлагаю наконец научиться кодить, почитать про mmap, например , n00by (ok), 13:51 , 30-Мрт-24, (273) +1 Так и запишем - пособник копирастов-тивоизастов и устаревастов , Аноним (322), 18:59 , 30-Мрт-24, (322) +1 Иди книжку почитай как работает линковка и для чего она нужна , Легивон (?), 10:26 , 31-Мрт-24, (358) +1 Это претензии к операционным системам, я надеюсь, а не к разработчикам прикладно, Аноним (317), 14:43 , 01-Апр-24, (405) Ловите его скорее, а то он и NIH-синдром поставит под сомнение , n00by (ok), 10:54 , 30-Мрт-24, (158) brew upgradexz 5 6 1 - 5 4 6https github com Homebrew homebrew-core pull 1675, soarin (ok), 03:34 , 30-Мрт-24, (81) Посжимали и хватит F, Аноним (87), 04:14 , 30-Мрт-24, (87) –1 Я так понимаю, что если был любой другой инит, а не системда патч, то этот бек, Аноним (88), 05:08 , 30-Мрт-24, (88) +1 // вот devuan, какой-то рудимент от systemd имеется S ldd usr sbin sshd lin, glad_valakas (?), 05:23 , 30-Мрт-24, (90) // Сколько же там дерьма напихано, фу Правильное у меня мнение было об этом дистре, Аноним (48), 09:15 , 30-Мрт-24, (113) +3 // В Debian ldd usr bin ssh linux-vdso so 1 0x00007ffd6d9fb000 libselinux so 1 , Аноним (196), 11:42 , 30-Мрт-24, (196) так разговор про sshd,а не про ssh, Аноним (243), 13:13 , 30-Мрт-24, (244) Даже в арче не додумались до такогоldd usr sbin sshd linux-vdso so 1 0x, НяшМяш (ok), 13:09 , 30-Мрт-24, (242) В арче не принято обмазывать исходники пакетов коричневой субстанцией W W патчам, Аноним (362), 12:20 , 31-Мрт-24, (362) Это не рудимент, это весь systemd и есть С чем и поздравляю борцунов с системдр, нах. (?), 12:42 , 30-Мрт-24, (225) // чушь 1 процесса systemd нет 2 сравни с нормальным дебианом ldd lib x86_64-li, glad_valakas (-), 14:15 , 30-Мрт-24, (279) Да, Аноним (91), 05:24 , 30-Мрт-24, (91) А сколько таких, которые не попались , Аноним (89), 05:20 , 30-Мрт-24, (89) +3 // А я-то думаю чего с годами потребление памяти и другая требовательность к ресурс, BrainFucker (ok), 06:33 , 30-Мрт-24, (93) +1 // Так их переписывают просто То на Питончик, то на Раст , Аноним (166), 11:14 , 30-Мрт-24, (166) a xz-5 6 1-x86_64-2 txz Rebuilt Seems like a good idea to build this fro, Аноним (92), 05:38 , 30-Мрт-24, (92) +3 Вот В этом месте и надо отлавливать вредителей Ещё одно место это JIT код котор, Аноним (98), 07:51 , 30-Мрт-24, (97) +5 libsystemdДля меня это уже повод насторожиться, iCat (ok), 07:57 , 30-Мрт-24, (99) –1 // А для меня расслабится Использую дистр без сысды, дбас, полкитды, вяленого , Аноним (98), 08:07 , 30-Мрт-24, (103) // Расслабился - смой за собой, Аноним (281), 14:32 , 30-Мрт-24, (284) // Так он же сказал , Аноним (292), 15:47 , 30-Мрт-24, (294) Интересно, на сколько лет посадят писателя этого бэкдора , вася (??), 08:04 , 30-Мрт-24, (102) // Закон дышло, чужого - посадим, своего - наградим https tass ru obschestvo 170, Вова (?), 08:12 , 30-Мрт-24, (104) // ну да, прям как, чтобы ликвидировать кучку ТТ, надо было потравить тучу хостейдж, Sw00p aka Jerom (?), 08:35 , 30-Мрт-24, (107) Ни на сколько, потому что в лицензии либы есть отказ от каких либо обязательств , Аноним (248), 12:04 , 30-Мрт-24, (210) Кто ж посадит действующего члена КПК Судя по имячку - он прям оттуда и кодил , нах. (?), 12:44 , 30-Мрт-24, (227) +1 Хомы начинают прозревать, а вдруг не все выходы за границы буфера это просто оши, Аноним (106), 08:40 , 30-Мрт-24, (109) +1 Какой позор для опенсорса Внезапно оказалось, что открытый код и контролируемы, Аноним (-), 09:09 , 30-Мрт-24, (111) –7 // Так бекдор, внезапно, в бинарнике Вот тебе и закрытый код , Аноним (121), 10:13 , 30-Мрт-24, (134) +1 // Бэкдор в библиотеке с открытым кодом Ты думал, что его ещё и прокомментируют в , n00by (ok), 11:21 , 30-Мрт-24, (175) // Ты точно читал новость Архивы давно перестали быть бинарными файлами При сборке, Аноним (121), 16:15 , 30-Мрт-24, (306) Бэкдор не в коде программы, а в её сборочных скриптах Это определенно всё меняе, Аноним (342), 23:31 , 30-Мрт-24, (342) Я не только читал новость, но и краем уха слышал, чем полиморфные движки отличаю, n00by (ok), 08:53 , 31-Мрт-24, (353) –1 Скрыто модератором, Аноним (364), 16:45 , 31-Мрт-24, (367) Скрыто модератором, n00by (ok), 08:09 , 01-Апр-24, (398) Скрыто модератором, Аноним (417), 11:09 , 26-Апр-24, (418) Скрыто модератором, n00by (ok), 08:53 , 28-Апр-24, (419) Ты с логикой дружишь Бэкдор найден через месяц после внедрения, в репе по комит, Аноним (248), 11:36 , 30-Мрт-24, (192) +3 // А ничего бы не было, в Cisco до сих пор не расказали, кто на наоставлял вагон бе, Аноним (121), 16:18 , 30-Мрт-24, (307) +3 Не удивлюсь, если во всех проектах на automake, включая rpm и firejail, такое пр, Аноним (123), 09:51 , 30-Мрт-24, (123) +4 // В ninja тем более смотреть не будет никто А в automake очень даже , Аноним (292), 15:49 , 30-Мрт-24, (296) –1 // Makefile для ninja никто руками не пишет, и, соответственно, не заливает в репы , Анонми (?), 20:09 , 30-Мрт-24, (325) // Очень даже пишут Иногда В очень нишевых кейсах Они даже читаемыми получаются , Аноним (334), 22:27 , 30-Мрт-24, (334) Но идиотские дистры вроде Дебиана продолжат собирарь из архивов , Аноним (123), 09:53 , 30-Мрт-24, (124) –1 // Ага, а надо из апстрим репы исходного кода, да прямо из master ветки , Аноним (248), 11:38 , 30-Мрт-24, (193) // man git-checkout, Аноним (230), 12:48 , 30-Мрт-24, (230) +2 Расскажи, в каком дистрибутиве ты собираешь пакетики Страна должна знать своих , n00by (ok), 13:58 , 30-Мрт-24, (275) +1 Fedora, OpenSUSE тоже идиотские дистрибутивы , Аноним (195), 11:40 , 30-Мрт-24, (195) –1 // Эти - особенно , Аноним (230), 12:47 , 30-Мрт-24, (228) +2 Так это в Сид каком-нибудь только прилетело,навряд ли в обычный Дебиан попало , сщта (?), 10:06 , 30-Мрт-24, (126) +1 Эта либа себя дискредитировала Jia Tan коммитил в течение для двух лет и любой и, Аноним (-), 10:08 , 30-Мрт-24, (128) +3 // В расте и обфусцировать бэкдор не надо будет - в коде просто никто и так не разб, Аноним (166), 10:09 , 30-Мрт-24, (130) +1 // Код уже написан и уже внедрен в какой-то мутный драйвер из 100 строк , Аноним (106), 10:11 , 30-Мрт-24, (132) В расте нет такого древнего легаси как m4 скрипты Там нормальная человекочитаема, Аноним (-), 10:17 , 30-Мрт-24, (139) +2 // Ты хотел сказать что на рсте вообще нет никакого продакшн кода , Аноним (106), 11:27 , 30-Мрт-24, (183) Гугл с андроидом и не в курсе И ещё с десяток крупных компаний , НяшМяш (ok), 13:14 , 30-Мрт-24, (247) Это все происходит только в твоём воображении и каких то маловнятных новостях К, Аноним (106), 16:44 , 30-Мрт-24, (308) Тянущая всё с гитхабчика, ага Ночью по CET PST дядя Ляо сделал git push, дядя Л, Аноним (292), 15:52 , 30-Мрт-24, (297) +1 1 сама тянущая все зависимости, какие укажут разработчики пакетов укажут и , Аноним (321), 18:55 , 30-Мрт-24, (321) +1 Кто захочет писать безопасно на Си - тот будет писать безопасно на Си Неосилято, Аноним (364), 16:50 , 31-Мрт-24, (368) +1 Не переживай, раст и прочая скриптуха также подвержена подобным проблемам И дел, jsforever (ok), 17:26 , 31-Мрт-24, (373) В расте не смогут разобраться только неосиляторы Там гугл переучивает разработчи, Аноним (-), 10:54 , 30-Мрт-24, (157) –1 // Умник, ты хоть посмотри для чего использовался bash Или ты из очередных не чит, Аноним (195), 11:38 , 30-Мрт-24, (194) Использование Хруста как-то мешает использовать в проекте m4 и bash Выдыхай, бо, Аноним (364), 16:52 , 31-Мрт-24, (369) Там уже есть весь этот отстой - это макросы Проблемы всё те же, что и у баш м4 , jsforever (ok), 17:28 , 31-Мрт-24, (374) На Питоне замучаешься обфуцировать Вот это язык так язык Хех-хех , microcoder (ok), 23:26 , 30-Мрт-24, (341) m4-макрос, дата редиза - 1977 годКонечно использовать инструменты полувековой да, Анонм (?), 10:14 , 30-Мрт-24, (136) +5 // если ты не можешь прочитать простенький код на m4 - каковы твои шансы что-то зам, нах. (?), 12:50 , 30-Мрт-24, (231) Так ты не порождай Ты часом не питонист , Аноним (292), 15:55 , 30-Мрт-24, (299) // И питонист, и сторонник Дяди Боба А вы можете продолжать знать только JavaScrip, Аноним (319), 18:49 , 30-Мрт-24, (319) Тысячи глаз , Аноним (166), 10:16 , 30-Мрт-24, (138) // Бывают и злые Васяны,ничего тут не сделаешь Вон в Кеды тоже свину подложили и н, сщта (?), 10:20 , 30-Мрт-24, (143) Как раз эти пресловутые тысячи глаз и сработали Поймал не человек, занимающий, sqrt (?), 10:32 , 30-Мрт-24, (150) +8 // Сработали Ни один из копавшихся в исходниках этого не нашёл за два года Эстон, Аноним (159), 11:09 , 30-Мрт-24, (164) –3 // 5 6 0 Mon, 26 Feb 2024 07 47 01 0100 - из чейнджлога Debian Sid Где тут 2 года, Аноним (123), 11:24 , 30-Мрт-24, (178) +1 Почти год назад он отключил это ifunc is not compatible with -fsanitize address,, Аноним (205), 12:07 , 30-Мрт-24, (212) –1 Там была проведена многолетняя подготовка к внедрению бэкдора Легендирование и , Аноним (246), 14:12 , 30-Мрт-24, (278) Так они только играются Возьми несколько летней давности историю с университето, Аноним (285), 14:45 , 30-Мрт-24, (285) +1 Ненадёжно Бэкдор в программе можно выпилить А вот бэкдор в спецификации или эк, Аноним (293), 15:44 , 30-Мрт-24, (293) А в проприетарных типа всё всегда находится Ты это, переставай употреблять , Аноним (106), 11:25 , 30-Мрт-24, (180) +1 А какая нам разница что там у проприетарных И почему тебя это вообще беспокоит Т, Аноним (-), 11:30 , 30-Мрт-24, (188) В том что метод тысячи глаз работает и сработал То что у него есть время реакци, Аноним (106), 16:47 , 30-Мрт-24, (309) Двойные стандарты что бы защитить свой мирок Понимаю Там нашли бэкдор и опублик, Аноним (340), 23:20 , 30-Мрт-24, (340) +1 Не, тут к сожалению не только это Чел сначала предложил коммит с отключением фаз, Аноним (-), 10:39 , 30-Мрт-24, (151) +1 GitHub полностью заблокировал репозитории xz, xz-java и xz-embedded, которые те, zeecape (ok), 10:27 , 30-Мрт-24, (145) +3 // не только эксплойт но и доступ к версиям, вредительских правок еще не содержавши, нах. (?), 12:52 , 30-Мрт-24, (232) +2 Хахаха, а теперь расскажите мне, как в типа серьезных проектах используют авто, Анонм (-), 10:32 , 30-Мрт-24, (149) // Скрыто модератором, Аноним (-), 11:14 , 30-Мрт-24, (167) Сказать то чего хотел Если тот же самый китаец захотел бы внедрит бекдор в коде, Аноним (106), 11:23 , 30-Мрт-24, (177) Так по просьбе какого-то васяна и unsafe-обертки заапрувят и вся хваленая безопа, Аноним (364), 16:58 , 31-Мрт-24, (370) О, история становится еще интереснее Чел поучаствовал во многих проектах Наприме, Аноним (-), 10:51 , 30-Мрт-24, (155) +3   // Ну, libarchive кривое, не страшно Её никто в своём уме не будет использовать А, Аноним (48), 11:10 , 30-Мрт-24, (165)   // Я использую Потому что иначе мне придётся свою такую же, но хуже, написать , Аноним (123), 11:18 , 30-Мрт-24, (171)   самое слабое звено в системе безопасности 8212 это человек с Кевин Митник, Аноним (166), 11:17 , 30-Мрт-24, (170) +2   Это же какую логику нужно иметь, чтобы связать прием патча с изменения в коде с , Аноним (195), 11:34 , 30-Мрт-24, (190)   // Типа если люди пишут на Си, им как правило, глубоко плевать на безопаснось , Аноним (248), 11:44 , 30-Мрт-24, (198)   // Звучит как теория заговора , Аноним (364), 17:02 , 31-Мрт-24, (371)   Не знаю как в GO, но в раст все принты по умолчанию safe А чтобы сделать ансейф , Аноним (-), 11:49 , 30-Мрт-24, (201) –1   // Думаешь китаец испугался бы слова unsafe и не сделал бы коммит БезопасТность ур, Аноним (106), 12:01 , 30-Мрт-24, (209) +1   А это зависит от разных вариантов Например есть либы в расте которые помечены , Аноним (-), 12:19 , 30-Мрт-24, (216) –1   Но тебе захотелось попиариться, вот же ж незадача , Аноним (292), 15:57 , 30-Мрт-24, (300)   На этом обсуждение можно было и закончить , Аноним (364), 17:04 , 31-Мрт-24, (372)   Например есль скрипты в баше которые просто пускают команды, без каких-либо по, jsforever (ok), 18:42 , 31-Мрт-24, (379)   - Удалённо эксплуатируемая уязвимость в драйвере NVMe-oF TCP из состава ядра Lin, Аноним (-), 12:08 , 30-Мрт-24, (213) –1   // Всё просто - в ПР МР делают придирки к неймингу, стилю кодирования, не сопадающи, Аноним (292), 16:00 , 30-Мрт-24, (301) +1   Любая сторонняя либа это потенциальный источник трояна, соответственно код либы , Oe (?), 12:53 , 30-Мрт-24, (234) –1   Эту историю читаешь и плакать хочется Один из коммитов етого псевдокитайца в oss, Аноним (339), 23:18 , 30-Мрт-24, (339)   Заметьте изменения были введены после обязательного введения 2FA на GitHub не , Аноним (123), 11:17 , 30-Мрт-24, (169) // Вполне вероятно, что и петрушка, и вероятно даже не один действовал, но при чём , Аноним (48), 11:25 , 30-Мрт-24, (179) –1 // А это не мы должны предоставлять железобетонные доказательства, что автор сопров, Аноним (123), 11:42 , 30-Мрт-24, (197) +4 // Насчёт закрытия 8212 я всегда думал, что liblzma - это часть 7zip Особенно у, Аноним (202), 11:50 , 30-Мрт-24, (202) +1 Похоже ты не понимаешь сути проблемы в сабже Проблема что в трояне был баг, кот, Аноним (106), 11:59 , 30-Мрт-24, (206) +1 Именно, поэтому авторам xz, libarchive и прочим скомпрометированным 8212 ника, Аноним (215), 12:17 , 30-Мрт-24, (215) Как вообще в либе для архивации может быть троян Она принимает входные данные, , Oe (?), 12:35 , 30-Мрт-24, (222) –3 Ты не понимаешь, как программы работают То, что ты хочешь, недостижимо практиче, Аноним (48), 12:56 , 30-Мрт-24, (237) Это - для бекдорщиков проблема, что обнаружили Проблемы индейцев шерифа не волн, Аноним (218), 12:22 , 30-Мрт-24, (218) То есть тебя не смущает что были созданы все условия чтобы бэкдор работал Не уд, Oe (?), 12:39 , 30-Мрт-24, (224) Нет, не смущает, так как права выдаются не либе, а процессу, а в одном контексте, Аноним (246), 12:54 , 30-Мрт-24, (236) Подавляющее количество людей использует TOTP для 2FA Где ты тут учуял продвижен, Аноним (248), 13:05 , 30-Мрт-24, (240) +2 // Использование TOTP сделано максимально неудобным, а в случае с FIDO2 вообще разр, Аноним (246), 13:21 , 30-Мрт-24, (251) –1 // Скопипастить код - это, по твоему, максимально неудобно Лол Устройство-аутентиф, Анонми (?), 20:22 , 30-Мрт-24, (326) 1 Да, неудобно Можно на JS написать аутентификатор, но лучше свалить из этого , Аноним (343), 01:05 , 31-Мрт-24, (343) Libselinux также поддерживает liblzma и связывается с гораздо большим количество, Аноним (186), 11:29 , 30-Мрт-24, (186) Накалякал в Федору https pagure io fesco issue 3185Посмотрим что из этого вый, Аноним (288), 12:48 , 30-Мрт-24, (229) // Смешно если честно, это предложение больше на вброс или троллинг похоже Сейчас ж, Аноним (-), 12:53 , 30-Мрт-24, (235) +1 // Более того, А давайте вы там кто-нибудь сделаете, чтобы было хорошо, а мне н, Аноним (277), 14:09 , 30-Мрт-24, (277) Вот он - Linux way , Аноним (238), 13:00 , 30-Мрт-24, (238) +3 // А во FreeBSD automake не используется , Аноним (255), 13:24 , 30-Мрт-24, (255) –1 // Там юниксовый make , Аноним (344), 01:22 , 31-Мрт-24, (344) Оглянись, вдруг у тебя что-то торчит , Аноним (345), 02:43 , 31-Мрт-24, (345) Люди, которые считают,что в PID 1 непременно нужно вкрячить библиотеку компресси, й (?), 13:23 , 30-Мрт-24, (253) +3 атака классная респект китайцу жаль, быстро спалили сижу, жую попкорн xz --, crypt (ok), 13:24 , 30-Мрт-24, (254) +1 Microsoft has signaled it will add native support for tar, 7-zip, rar, gz and m, Аноним (84), 13:27 , 30-Мрт-24, (257) +1 // А почему китайской Скорее всего околополяки какие-нибудь, как обычно , Аноним (48), 13:33 , 30-Мрт-24, (261) // Китайский-китайский, не сомневайтесь , товарищ майор (?), 13:44 , 30-Мрт-24, (267) Судя по виртуозной схеме внедрения бекдора в sshd, работали серьезные профи , Аноним (84), 13:47 , 30-Мрт-24, (269) До того, как Github заблокировал репозиторий xz, мне почему-то мимолетно показал, mikhailnov (ok), 14:17 , 30-Мрт-24, (280) // Вы наводите поклёп на страну, в которой в куче детсадов по прикомандированному к, Аноним (292), 16:05 , 30-Мрт-24, (303) // Может это американец китайского происхождения Азиато-американец , Пользователь чебурнета (?), 12:26 , 08-Апр-24, (415) Единственно, что свой человек время от времени лажался и коммитил с таймзоной E, Аноним (339), 23:04 , 30-Мрт-24, (338) +2 То, что никто не проверяет соответствие релизных архивов реальным данным в дерев, Аноним (48), 13:30 , 30-Мрт-24, (259) +1 // Несоотвествие в порядке вещей для autocrap Там при подготовке релизного архива , Аноним (271), 13:48 , 30-Мрт-24, (271) +1 А зачем проверять, если можно просто git юзать Но ведь не юзают Чую, когда так, Аноним (246), 14:05 , 30-Мрт-24, (276) Проблема зашита в libsystemd ldd lib x86_64-linux-gnu libsystemd so 0 linux-v, Аноним (84), 15:39 , 30-Мрт-24, (291) +1 // Нужно решение на базе линкера, запрещающее динамически линковать 2 либы с конфли, Аноним (293), 15:47 , 30-Мрт-24, (295) // Нужно использовать простое и доверенное ПО Но это в идеальном мире, а в реально, Ананоним (?), 15:53 , 30-Мрт-24, (298) А как я буду malloc заменять , Аноним (292), 16:06 , 30-Мрт-24, (304) // если хочешь менять на уровне линкинга либы - то управление памятью надо вынести , Аноним (310), 17:03 , 30-Мрт-24, (310) Ты думаешь, что когда при сборке sshd с ним линковался libsystemd so, ликер буде, Аноним (84), 18:33 , 30-Мрт-24, (315) // динамический линкер, линкующий при загрузке бинарей в память , Аноним (319), 18:47 , 30-Мрт-24, (318) Всегда знал, что баш-портянки, регулярные выражения и всякие прочие нечитаемые н, Аноним (316), 18:34 , 30-Мрт-24, (316) // Всегда знал, и не исправил Может ты специально ничего не зделал , Аноним (345), 02:45 , 31-Мрт-24, (346) // пособник, Аноним (409), 15:33 , 02-Апр-24, (409) Что не так с Makefile , Легивон (?), 10:59 , 31-Мрт-24, (361) // Ископаемый язык, который никто сейчас даже трогать не хочет ввиду его ужасного и, Аноним (316), 03:02 , 01-Апр-24, (389) Ваш CMake также поимели, даже не используя никакие регулярные выраженияhttps w, Аноним (-), 12:36 , 01-Апр-24, (403) В Tumbleweed сегодня из-за этого весь репозиторий пересобрали Прилетело обновле, Berkut (??), 03:22 , 31-Мрт-24, (348) Интересно, как оно в ЧПУКС работает , IdeaFix (ok), 10:07 , 31-Мрт-24, (355) // чпукс кому-то ещё нужен , Аноним (394), 07:30 , 01-Апр-24, (394) // Как сказать я прикупил очень дешево ибо первый раз в жизни увидел b2600, а , IdeaFix (ok), 10:04 , 01-Апр-24, (402) Видимо xz настолько заброшен, что никто однострочник с eval не увидел , Пряник (?), 09:59 , 01-Апр-24, (400) Так вот зачем китайцы стучатся по SSH , Пряник (?), 10:01 , 01-Апр-24, (401) 1,5,6,8,11,12,16,22,29,32,34,44,47,49,56,66,70,74,76,81,87,88,89,92,97,99,102,109,111,123,124,126,128,136,138,145,149,155,169,186,229,238,253,254,257,259,291,316,348,355,400,401

Сообщения

[Сортировка по времени | RSS]

155. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+3 +/–
Сообщение от Аноним (-), 30-Мрт-24, 10:51
О, история становится еще интереснее! Чел поучаствовал во многих проектах. Например в libarchive. Где он создал ПР в котором заменил safe_fprintf на fprintf. https://github.com/libarchive/libarchive/pull/1609/files ИЧСХ этот ПР приняли! Вообще без какого-то обсуждения. А не спросили "какого?!". Но для проекта C 89.6%.. впрочем, я совершенно не удивлен)) И оно жило спокойно с ноября 2021 года, до сегодняю. Код ревертнули девять часов назад.
Ответить | Правка | Наверх | Cообщить модератору

	165. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (48), 30-Мрт-24, 11:10
	Ну, libarchive кривое, не страшно. Её никто в своём уме не будет использовать. А вот от сабжа зависят примерно все, круче только zlib.
	Ответить | Правка | Наверх | Cообщить модератору

	171. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (123), 30-Мрт-24, 11:18
	Я использую. Потому что иначе мне придётся свою такую же, но хуже, написать.
	Ответить | Правка | Наверх | Cообщить модератору

	170. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+2 +/–
	Сообщение от Аноним (166), 30-Мрт-24, 11:17
	>ИЧСХ этот ПР приняли! Вообще без какого-то обсуждения. "самое слабое звено в системе безопасности — это человек" (с) Кевин Митник
	Ответить | Правка | К родителю #155 | Наверх | Cообщить модератору

	190. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (195), 30-Мрт-24, 11:34
	>Но для проекта C 89.6%.. впрочем, я совершенно не удивлен)) Это же какую логику нужно иметь, чтобы связать прием патча с изменения в коде с языком программирования? Типа в проектах на Си патчи не проверяют, а в проектах на Go, Rust каждый патч с лупой проверяет 100500 человек?
	Ответить | Правка | К родителю #155 | Наверх | Cообщить модератору

	198. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (248), 30-Мрт-24, 11:44
	> Типа в проектах на Си патчи не проверяют, а в проектах на Go, Rust каждый патч с лупой проверяет 100500 человек? Типа если люди пишут на Си, им как правило, глубоко плевать на безопаснось.
	Ответить | Правка | Наверх | Cообщить модератору

	371. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (364), 31-Мрт-24, 17:02
	Звучит как теория заговора.
	Ответить | Правка | Наверх | Cообщить модератору

	201. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	–1 +/–
	Сообщение от Аноним (-), 30-Мрт-24, 11:49
	Не знаю как в GO, но в раст все принты по умолчанию safe. А чтобы сделать ансейф принт, нужно внезапно писать unsafe и потом еще хорошо постараться.
	Ответить | Правка | К родителю #190 | Наверх | Cообщить модератору

	209. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от Аноним (106), 30-Мрт-24, 12:01
	Думаешь китаец испугался бы слова unsafe и не сделал бы коммит? БезопасТность уровень желтая ленточка.
	Ответить | Правка | Наверх | Cообщить модератору

	216. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	–1 +/–
	Сообщение от Аноним (-), 30-Мрт-24, 12:19
	А это зависит от разных вариантов. Например есть либы (в расте) которые помечены #![forbid(unsafe_code)] что запрещает использование unsafe. Понятно это не защитит от "автор либы сам внес бекдор", но тут чел был не главным мейнтенером.
	Ответить | Правка | Наверх | Cообщить модератору

	300. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (292), 30-Мрт-24, 15:57
	>Понятно это не защитит от "автор либы сам внес бекдор", но Но тебе захотелось попиариться, вот же ж незадача.
	Ответить | Правка | Наверх | Cообщить модератору

	372. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (364), 31-Мрт-24, 17:04
	>это не защитит от "автор либы сам внес бекдор" На этом обсуждение можно было и закончить.
	Ответить | Правка | К родителю #216 | Наверх | Cообщить модератору

	379. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от jsforever (ok), 31-Мрт-24, 18:42
	> Например есть либы (в расте) которые помечены #![forbid(unsafe_code)] что запрещает использование unsafe. > Понятно это не защитит от "автор либы сам внес бекдор", но тут чел был не главным мейнтенером Например есль скрипты (в баше) которые просто пускают команды, без каких-либо подстановок, либо с минимальной долей что делает невозможной небезопасные действия/обфускацию/т. п. Понятно, это не защитит от "автор либы сам внес бекдор", но тут чел был не главным мейнтенером. Не позорься.
	Ответить | Правка | К родителю #216 | Наверх | Cообщить модератору

	213. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	–1 +/–
	Сообщение от Аноним (-), 30-Мрт-24, 12:08
	- Удалённо эксплуатируемая уязвимость в драйвере NVMe-oF/TCP из состава ядра Linux opennet.ru/opennews/art.shtml?num=59940 - Уязвимости в модуле ksmbd ядра Linux, позволяющие удалённо выполнить свой код opennet.ru/opennews/art.shtml?num=59189 - Уязвимость в NTFS-драйвере из состава GRUB2, позволяющая выполнить код https://www.opennet.me/opennews/art.shtml?num=59868 - Обход шифрования диска в Linux через непрерывное нажатие клавиши Enter https://www.opennet.me/opennews/art.shtml?num=59702 Как вообще такой код проходил ПР? Возможно разработчики на определенных языках действительно забивают на безопасность?
	Ответить | Правка | К родителю #190 | Наверх | Cообщить модератору

	301. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от Аноним (292), 30-Мрт-24, 16:00
	>Как вообще такой код проходил ПР? Всё просто - в ПР/МР делают придирки к неймингу, стилю кодирования, не сопадающим с таковым у автора, стикерам на макбуке, а на то, чтобы код работал хоть до, хоть после предложений ревьюера, обычно не смотрят. На какую-либо безопасность не смотрят тем более.
	Ответить | Правка | Наверх | Cообщить модератору

	234. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	–1 +/–
	Сообщение от Oe (?), 30-Мрт-24, 12:53
	Любая сторонняя либа это потенциальный источник трояна, соответственно код либы должен исполняться в изолированном контейнере, а входные данные подаваться зашифроваными. И только потом модерация кода либы.
	Ответить | Правка | К родителю #155 | Наверх | Cообщить модератору

	339. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (339), 30-Мрт-24, 23:18
	Эту историю читаешь и плакать хочется. Один из коммитов етого псевдокитайца в oss-fuzz: ревьювер: LGBT^WLGTM (прошло два года, гром грянул, мужик^Wревьювер перекрестился) тот же ревьювер: actually, it's no LGTM. Ну вот и чо им скажешь, кроме как застрелиться у них на глазах?
	Ответить | Правка | К родителю #155 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема