forum.opennet.ru - "Две уязвимости в Git, способные привести к удалённому выполнению кода" (61)

"Две уязвимости в Git, способные привести к удалённому выполнению кода"

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Две уязвимости в Git, способные привести к удалённому выполнению кода"	+/–
Сообщение от opennews (??), 18-Янв-23, 11:14
Опубликованы корректирующие выпуски распределённой системы управления исходными текстами Git 2.39.1, 2.38.3, 2.37.5, 2.36.4, 2.35.6, 2.34.6, 2.33.6, 2.32.5, 2.31.6 и 2.30.7, в которых устранены две уязвимости, позволяющие организовать выполнение своего кода на системе пользователя при использовании команды "git archive" и работе с не заслуживающими доверия внешними репозиториями. Уязвимости вызваны ошибками в коде форматирования коммитов и разборе файла ".gitattributes", которые при обработке внешних репозиториев могут привести к записи в область памяти за пределами кучи и чтению произвольных данных из памяти... Подробнее: https://www.opennet.me/opennews/art.shtml?num=58498
Ответить \| Правка \| Cообщить модератору

Оглавление

Ведь не зря же, ведь не даром, git спалённый пожаром, на got заменена , Аноним (1), 11:14 , 18-Янв-23, (1) –8

Неуловимый got, Аноним (4), 11:27 , 18-Янв-23, (4) –1
И через поиск просто шикарно никак находится, да , derfenix (ok), 11:46 , 18-Янв-23, (7)
Got DVCS Пориск ничего не дал , Аноним (8), 11:50 , 18-Янв-23, (8)

речь про бздунячью NIH-реализацию гита, Аноним (4), 11:58 , 18-Янв-23, (9) –1

Слово конкуренция пока что никто не отменял , Аноним (26), 13:56 , 18-Янв-23, (26) +1

Только тут не конкуренция, а паразитирование , Аноним (54), 17:56 , 18-Янв-23, (54) –2

Скрыто модератором, Аноним (-), 12:24 , 18-Янв-23, (12)

Это дешёвый рекламный трюк CVS, Аноним (3), 11:20 , 18-Янв-23, (3)

Ты ещё скажи что тот самый BitKeeper проплатил чтобы народ узнал что он уже давн, Аноним (26), 11:31 , 18-Янв-23, (5) +1

А аудит уязвимости этого Биткипера напомню, что во времена, когда он был пропри, Аноним (10), 12:02 , 18-Янв-23, (10) +1
Скрыто модератором, Аноним (-), 12:15 , 18-Янв-23, (11) –1

Нужен клон на rust Назовём gust , Страдивариус (?), 12:45 , 18-Янв-23, (14) –1

Тут целочисленное переполнение Такое раст в продакшн сборке не в состоянии отло, Аноним (26), 12:54 , 18-Янв-23, (15) +4

Тут проблема не в самом целочисленном переполнении, а в том что из-за него коряв, Анонн (?), 13:00 , 18-Янв-23, (17) –2

если растаманы не перепутают знаки сравнения, как в FF, рассчитывая попадание см, Аноним (18), 13:32 , 18-Янв-23, (18) +2

Ты про тот эпичный баг в nftables https www opennet ru opennews art shtml num, annonn (?), 13:38 , 18-Янв-23, (19)

А тут https www opennet ru opennews art shtml num 55167 чего случилось , Аноним (26), 13:54 , 18-Янв-23, (23) +2

читаю как мы смогли уронить аппу, но обделались представить рабочий эксплойт И , animenimus (?), 14:30 , 18-Янв-23, (32)
А тут доказан только креш, что хорошо RCE там только потенциальное, в отличие о, Анонн (?), 14:30 , 18-Янв-23, (33)

Дык пусть на расте напишут ядро уровня линукса, тогда и сравним , Вы забыли заполнить поле Name (?), 16:05 , 18-Янв-23, (48)

Как твое сперва добейся оправдывает тупейшую ошибку с перепутанными знаками в , Анонимусс (?), 17:42 , 18-Янв-23, (53)

Оправдать - это ты такую цель видишь у меня ее нет Просто в больших проектах н, Вы забыли заполнить поле Name (?), 03:38 , 19-Янв-23, (63)

О, еще один свидетель перепутанного знака в FF Скинь ссылку на код Или тоже сол, Анонимусс (?), 18:46 , 18-Янв-23, (56)

Рекомендую вам для прочтения статью https rustycrate ru D0 BE D0 B1 D1 83 D1 , Анонто (?), 15:00 , 18-Янв-23, (38)

Да что вы, в конце концов Сарказм не почувствовали в моём каменте , Страдивариус (?), 17:57 , 18-Янв-23, (55)

Закон По в действии Как ты отличишь сарказм от глупости, и троля от дурака А с , AnnoniusII (?), 19:55 , 18-Янв-23, (58)

Сразу на облачном rust -- mist rust , Michael Shigorin (ok), 13:57 , 18-Янв-23, (27) –6

Ты лучше скажи когда альт будут переводить на скрепные языки Ибо негоже на буржу, animenimus (?), 14:36 , 18-Янв-23, (35)

А как же КуСпецоперация , Аноним (40), 15:09 , 18-Янв-23, (40) –2

grust же, Омномним (?), 21:15 , 18-Янв-23, (60)

Может где-то описано что запуская это код можно получить RCE Напр в документаци, Анонимусс (?), 12:58 , 18-Янв-23, (16) +2
Наxepa столько параллельных версий , ИмяХ (?), 13:40 , 18-Янв-23, (20) –1

Ну что ты как маленький Это же опенсорс - тут каждый второй васян, придумав нову, annonn (?), 13:45 , 18-Янв-23, (21) –1
для поддержки всяких любителей мамонтовых копролитовтут часто такие рассказывают, animenimus (?), 13:49 , 18-Янв-23, (22) +1

Так, а с ядром 2 9 что не так-то опять , Аноним (26), 13:56 , 18-Янв-23, (25)

То что они не релизилось никогда , Аноним (-), 14:30 , 18-Янв-23, (34)

это не важно если бы вышло - то было бы лучшим, не то что современные поделия , анониммус (?), 17:36 , 18-Янв-23, (52)

Потому что Линукс подразумевает перестройку мира на любой чих версии Ну и потом, Аноним (26), 13:55 , 18-Янв-23, (24)

Похоже, салат был не с опятами , Michael Shigorin (ok), 13:59 , 18-Янв-23, (28) –4

Он частично прав - в Linux зависимостями всё связано со всем и обычно есть тольк, kusb. (?), 14:25 , 18-Янв-23, (30) +1

Вот поэтому и популярность Go, продукты которого будут работать в пределах платф, OpenEcho (?), 15:25 , 18-Янв-23, (42)

По умолчанию Go упирается на libc, чтобы не упирался надо ключи сборки угадать , Аноним (26), 16:05 , 18-Янв-23, (49)

Это правда лимитация или теперь все копиляторы без ключей работают env CGO_E, OpenEcho (?), 16:26 , 18-Янв-23, (51)

Вы это говорите как эксперт по импорту из Аргентины , Нонанин (?), 15:07 , 18-Янв-23, (39) +2

Им бесплатно выдают Ты думаешь почему у них там в Альте такая маленькая зарплат, Аноним (26), 16:06 , 18-Янв-23, (50) +1

В следующий раз рекомендую брать нормальный салат без грибов , Аноним (59), 19:56 , 18-Янв-23, (59)

На opennet принято за ошибки в коде ругать языки , Аноним (29), 14:09 , 18-Янв-23, (29)

А что ещё ругать , kusb. (?), 14:27 , 18-Янв-23, (31)

Ну не програмистов же Они святые люди которые никогда не делают use after free и, animenimus (?), 14:40 , 18-Янв-23, (36) +1

А не святые идут в Go, там им мусорщик в помощь, OpenEcho (?), 15:19 , 18-Янв-23, (41) –1

Ну да, это конечно не язык виноват, в котором до сих пор нет такой базовой вещи , Анонимусс (?), 14:50 , 18-Янв-23, (37)

Как ошибка в rust каком-то, то тут через одного перепись экспертов А как в Си о, Аноним (43), 15:31 , 18-Янв-23, (43)

Это смотря какая ошибка и какие последствия Если это какая-то логическая - типа , Анонн (?), 15:37 , 18-Янв-23, (45)

Судя по тому что за столько лет существования Си, уязвимости связанные с такими , Аноним (62), 00:35 , 19-Янв-23, (62)

Здесь дело в нестрогости типизации int и size_t перепутать -- чисто сишная фишк, Аноним (-), 15:54 , 18-Янв-23, (47)

Если б только языки, здесь такое количество телепатов или инопланетян или точне, OpenEcho (?), 15:34 , 18-Янв-23, (44) +1

Да я каждый день удалённо код выполняю с помощью гита 8212 пушаю на гитхаб , ip1982 (ok), 15:39 , 18-Янв-23, (46)
Вся суть Дебиана , Аноним (57), 19:31 , 18-Янв-23, (57)
Что значит за пределами кучи Что за куча , Аноним (64), 09:26 , 19-Янв-23, (64)

https ru wikipedia org wiki D0 9A D1 83 D1 87 D0 B0_ D0 BF D0 B0 D0 BC D1 8F, Аноним (65), 10:21 , 19-Янв-23, (65)

Сообщения [Сортировка по ответам | RSS]

1. Сообщение от Аноним (1), 18-Янв-23, 11:14 –8 +/–

Ведь не зря же, ведь не даром, git спалённый пожаром, на got заменена?..

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #4, #7, #8, #12

3. Сообщение от Аноним (3), 18-Янв-23, 11:20 +/–

Это дешёвый рекламный трюк CVS

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #5

4. Сообщение от Аноним (4), 18-Янв-23, 11:27 –1 +/–

Неуловимый got

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1

5. Сообщение от Аноним (26), 18-Янв-23, 11:31 +1 +/–

Ты ещё скажи что тот самый BitKeeper проплатил чтобы народ узнал что он уже давно под свободной лицензией Apache 2.0 (Ждет суда от индейцев)

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3 Ответы: #10, #11

7. Сообщение от derfenix (ok), 18-Янв-23, 11:46 +/–

И через поиск просто шикарно (никак) находится, да.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1

8. Сообщение от Аноним (8), 18-Янв-23, 11:50 +/–

"Got DVCS" : Пориск ничего не дал.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #9

9. Сообщение от Аноним (4), 18-Янв-23, 11:58 –1 +/–

речь про бздунячью NIH-реализацию гита

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8 Ответы: #26

10. Сообщение от Аноним (10), 18-Янв-23, 12:02 +1 +/–

>Обе уязвимости были выявлены в ходе аудита безопасности кодовой базы Git, проведённого компанией X41 по заказу фонда OSTIF (Open Source Technology Improvement Fund).
А аудит уязвимости этого Биткипера (напомню, что во времена, когда он был проприетарным, и линуксоидов обвинили в том, что они нарушили еулу введя команду help, которая внезапно этот самый хелп и выдала) кто-то делал?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5

11. Сообщение от Аноним (-), 18-Янв-23, 12:15 –1 +/–

Papich 2.0 (величайший за работой)

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5

12. Сообщение от Аноним (-), 18-Янв-23, 12:24 +/–

Возможно вы имели в виду goat?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1

14. Сообщение от Страдивариус (?), 18-Янв-23, 12:45 –1 +/–

Нужен клон на rust. Назовём gust.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #15, #27, #60

15. Сообщение от Аноним (26), 18-Янв-23, 12:54 +4 +/–

Тут целочисленное переполнение. Такое раст в продакшн сборке не в состоянии отловить.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #14 Ответы: #17, #38

16. Сообщение от Анонимусс (?), 18-Янв-23, 12:58 +2 +/–

Может где-то описано что запуская это код можно получить RCE?
Напр. в документации или в исходном коде? А то что-то не получается найти
Может оно где-то еще записано? Сишники, подскажите пожалуйста.

Ответить | Правка | Наверх | Cообщить модератору

17. Сообщение от Анонн (?), 18-Янв-23, 13:00 –2 +/–

Тут проблема не в самом целочисленном переполнении, а в том что из-за него коряво посчитали память при копировании. Что как раз бы было отловлено в продакшене.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #15 Ответы: #18

18. Сообщение от Аноним (18), 18-Янв-23, 13:32 +2 +/–

> Что как раз бы было отловлено в продакшене
если растаманы не перепутают знаки сравнения, как в FF, рассчитывая попадание смещения в буфер.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17 Ответы: #19, #56

19. Сообщение от annonn (?), 18-Янв-23, 13:38 +/–

Ты про тот эпичный баг в nftables (https://www.opennet.me/opennews/art.shtml?num=58480) ?
Согласен, повышение привелегий это достаточная цена чтобы писать код на С

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #18 Ответы: #23

20. Сообщение от ИмяХ (?), 18-Янв-23, 13:40 –1 +/–

Наxepa столько параллельных версий?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #21, #22, #24

21. Сообщение от annonn (?), 18-Янв-23, 13:45 –1 +/–

Ну что ты как маленький.
Это же опенсорс - тут каждый второй васян, придумав новую гениальную идею и получив закономерный отказ начинает пилить свой вариант с преферансом и куртизанками.
В итоге получается 100500 разных вариантов апп с разными возможностями.
Но что поделаешь - это уже традиция.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #20

22. Сообщение от animenimus (?), 18-Янв-23, 13:49 +1 +/–

для поддержки всяких любителей мамонтовых копролитов
тут часто такие рассказывають что ядро 2.9 самое лучшее и обновляться не нужно

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #20 Ответы: #25

23. Сообщение от Аноним (26), 18-Янв-23, 13:54 +2 +/–

А тут https://www.opennet.me/opennews/art.shtml?num=55167 чего случилось?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #19 Ответы: #32, #33

24. Сообщение от Аноним (26), 18-Янв-23, 13:55 +/–

Потому что Линукс подразумевает перестройку мира на любой чих версии. Ну и потом что твой мегакод может не пережить переезда на новую версию и ты всегда будешь сидеть на старом гите с патчами.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #20 Ответы: #28

25. Сообщение от Аноним (26), 18-Янв-23, 13:56 +/–

Так, а с ядром 2.9 что не так-то опять?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #22 Ответы: #34

26. Сообщение от Аноним (26), 18-Янв-23, 13:56 +1 +/–

Слово конкуренция пока что никто не отменял.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #9 Ответы: #54

27. Сообщение от Michael Shigorin (ok), 18-Янв-23, 13:57 –6 +/–

Сразу на облачном rust -- mist rust!

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #14 Ответы: #35

28. Сообщение от Michael Shigorin (ok), 18-Янв-23, 13:59 –4 +/–

> Потому что Линукс подразумевает перестройку мира на любой чих версии
Похоже, салат был не с опятами...

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #24 Ответы: #30, #39, #59

29. Сообщение от Аноним (29), 18-Янв-23, 14:09 +/–

На opennet принято за ошибки в коде ругать языки?)

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #31, #37, #44

30. Сообщение от kusb. (?), 18-Янв-23, 14:25 +1 +/–

Он частично прав - в Linux зависимостями всё связано со всем и обычно есть только одна версия библиотеки. Это может начать прямо ужас какой снежнокомовый процесс циклического рода.
Типа новая версия программы требует новую библиотеку, а новая библиотека уже не совместима с чем-то старым. В результате трудно понять что нужно будет обновить при обновлении чего-то одного, а то и удалить. Скованные одной цепью, связанные одной целью, ура!

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #28 Ответы: #42

31. Сообщение от kusb. (?), 18-Янв-23, 14:27 +/–

А что ещё ругать?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #29 Ответы: #36

32. Сообщение от animenimus (?), 18-Янв-23, 14:30 +/–

> приводящих к краху и не исключающих возможность создания эксплоитов для повышению привилегий в системе.
читаю как "мы смогли уронить аппу, но обделались представить рабочий эксплойт"
И напомни пожалуйста где написано что rust "решает логические и алгоритмические ошибки"?
Я доку почитал, там нету.
Может у тебя есть альтернативные источники?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #23

33. Сообщение от Анонн (?), 18-Янв-23, 14:30 +/–

А тут доказан только креш, что хорошо. RCE там только потенциальное, в отличие от этого.
Плюс ты сравниваешь какое-то васяноподелие версии <0.4, которое еще даже не релизнулось, с модулем ядра, который уже много лет в проде. Как-то не очень сравнение, не кажется ли?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #23 Ответы: #48

34. Сообщение от Аноним (-), 18-Янв-23, 14:30 +/–

> Так, а с ядром 2.9 что не так-то опять?
То что они не релизилось никогда :)

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #25 Ответы: #52

35. Сообщение от animenimus (?), 18-Янв-23, 14:36 +/–

Ты лучше скажи когда альт будут переводить на скрепные языки?
Ибо негоже на буржуйском писать!
Когда вместо языка англосаксов будет православный РУСЛ, Гонец или на крайняк Оберон07

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #27 Ответы: #40

36. Сообщение от animenimus (?), 18-Янв-23, 14:40 +1 +/–

Ну не програмистов же!
Они святые люди которые никогда не делают use after free и не портят память.
А те кто делают - это не настоящие программеры и вообще этот код в проект подбросили.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #31 Ответы: #41

37. Сообщение от Анонимусс (?), 18-Янв-23, 14:50 +/–

Ну да, это конечно не язык виноват, в котором до сих пор нет такой базовой вещи как нормальный буфер, который знает свой размер. И приходится каждый раз или лажать в арифметике или писать свой велосипед.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #29 Ответы: #43, #47

38. Сообщение от Анонто (?), 18-Янв-23, 15:00 +/–

Рекомендую вам для прочтения статью https://rustycrate.ru/%D0%BE%D0%B1%...

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #15 Ответы: #55

39. Сообщение от Нонанин (?), 18-Янв-23, 15:07 +2 +/–

Вы это говорите как эксперт по импорту из Аргентины?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #28 Ответы: #50

40. Сообщение от Аноним (40), 18-Янв-23, 15:09 –2 +/–

А как же КуСпецоперация?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #35

41. Сообщение от OpenEcho (?), 18-Янв-23, 15:19 –1 +/–

> Они святые люди которые никогда не делают use after free и не портят память.
А не святые идут в Go, там им мусорщик в помощь

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #36

42. Сообщение от OpenEcho (?), 18-Янв-23, 15:25 +/–

> Он частично прав - в Linux зависимостями всё связано со всем и обычно есть только одна версия библиотеки.
Вот поэтому и популярность Go, продукты которого будут работать в пределах платформы не опираясь он "святую" glibc

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #30 Ответы: #49

43. Сообщение от Аноним (43), 18-Янв-23, 15:31 +/–

Как ошибка в rust каком-то, то тут через одного перепись экспертов. А как в Си очередной раз что-то проглядели, то уже проблема проекта и программиста. Ведь эксперты гуру никогда не делают ошибок в кодовой базе, особенно в большой.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #37 Ответы: #45

44. Сообщение от OpenEcho (?), 18-Янв-23, 15:34 +1 +/–

> На opennet принято за ошибки в коде ругать языки?)
Если б только языки, здесь такое количество телепатов (или инопланетян или точнее π3доболов) что поставят диагноз на раз в любой области науки, без доказательств, с обзываниями... но надо отдать должное, что бывает и жемчуг, ради чего и приходится просматривать анонимные просерания

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #29

45. Сообщение от Анонн (?), 18-Янв-23, 15:37 +/–

Это смотря какая ошибка и какие последствия.
Если это какая-то логическая - типа как знак перепутали в nftables - это одно, оно может быть везде. Но когда ее результат в очередной раз испорченная память и RCE - это совсем другое.
От сишников никто не просят не делать логических ошибок, это невозможно. Ни на си, ни на раст, ни даже на ада.
Просто перестаньте портить память! Это что, так сложно в нужным момент вызывать free (и только один раз!) и не писать за пределы буфера?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #43 Ответы: #62

46. Сообщение от ip1982 (ok), 18-Янв-23, 15:39 +/–

Да я каждый день удалённо код выполняю с помощью гита — пушаю на гитхаб :)

Ответить | Правка | Наверх | Cообщить модератору

47. Сообщение от Аноним (-), 18-Янв-23, 15:54 +/–

Здесь дело в нестрогости типизации. int и size_t перепутать -- чисто сишная фишка.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #37

48. Сообщение от Вы забыли заполнить поле Name (?), 18-Янв-23, 16:05 +/–

Дык пусть на расте напишут ядро уровня линукса, тогда и сравним.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #33 Ответы: #53

49. Сообщение от Аноним (26), 18-Янв-23, 16:05 +/–

По умолчанию Go упирается на libc, чтобы не упирался надо ключи сборки угадать.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #42 Ответы: #51

50. Сообщение от Аноним (26), 18-Янв-23, 16:06 +1 +/–

Им бесплатно выдают. Ты думаешь почему у них там в Альте такая маленькая зарплата.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #39

51. Сообщение от OpenEcho (?), 18-Янв-23, 16:26 +/–

> По умолчанию Go упирается на libc, чтобы не упирался надо ключи сборки
> угадать.
Это правда лимитация или теперь все копиляторы без ключей работают?
    env CGO_ENABLED=0 GOOS=linux GOARCH=amd64 \
      go build -trimpath -ldflags "-s -w -extldflags '-static'" ./main.go

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #49

52. Сообщение от анониммус (?), 18-Янв-23, 17:36 +/–

"это не важно! если бы вышло - то было бы лучшим, не то что современные поделия 5.х" - так они и сидят на 2.6 (со старыми дырками и дырищами) и хейтят прогрес

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #34

53. Сообщение от Анонимусс (?), 18-Янв-23, 17:42 +/–

Как твое "сперва добейся" оправдывает тупейшую ошибку с перепутанными знаками в ядре?
Типа "ядро большое, поэтому там можно знаки путать"?
Или "ядро большое, от пары перепутанных знаков не убудет"?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #48 Ответы: #63

54. Сообщение от Аноним (54), 18-Янв-23, 17:56 –2 +/–

Только тут не конкуренция, а паразитирование.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #26

55. Сообщение от Страдивариус (?), 18-Янв-23, 17:57 +/–

> Рекомендую вам для прочтения статью https://rustycrate.ru/%D0%BE%D0%B1%...
Да что вы, в конце концов? Сарказм не почувствовали в моём каменте?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #38 Ответы: #58

56. Сообщение от Анонимусс (?), 18-Янв-23, 18:46 +/–

О, еще один свидетель перепутанного знака в FF.
Скинь ссылку на код. Или тоже сольешься как все предыдущие анонимы?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #18

57. Сообщение от Аноним (57), 18-Янв-23, 19:31 +/–

>Ubuntu
>Released
>Debian
>Vulnerable
Вся суть Дебиана.

Ответить | Правка | Наверх | Cообщить модератору

58. Сообщение от AnnoniusII (?), 18-Янв-23, 19:55 +/–

Закон По в действии.
Как ты отличишь сарказм от глупости, и троля от дурака?
А с учетом большинства сидящих на пеньке... вывод может быть не утешительный T_T

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #55

59. Сообщение от Аноним (59), 18-Янв-23, 19:56 +/–

В следующий раз рекомендую брать нормальный салат без грибов.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #28

60. Сообщение от Омномним (?), 18-Янв-23, 21:15 +/–

grust же

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #14

62. Сообщение от Аноним (62), 19-Янв-23, 00:35 +/–

Судя по тому что за столько лет существования Си, уязвимости связанные с такими ошибками до сих пор в топе, то выглядит как то что нельзя просто взять и перестать их делать. Либо же это требует колоссальных усилий, что возможно только в некоторых самых критичных областях.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #45

63. Сообщение от Вы забыли заполнить поле Name (?), 19-Янв-23, 03:38 +/–

> Как твое "сперва добейся" оправдывает тупейшую ошибку с перепутанными знаками в ядре?
Оправдать - это ты такую цель видишь у меня ее нет. Просто в больших проектах (не важно на каком языке) вероятность совершить ошибку выше, особенно если проект активно развивается. Вот когда на расте напишут крупный проект подобного уровня, то тогда и будем смотреть какие там ошибки совершат.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #53

64. Сообщение от Аноним (64), 19-Янв-23, 09:26 +/–

Что значит за пределами кучи? Что за куча?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #65

65. Сообщение от Аноним (65), 19-Янв-23, 10:21 +/–

> Что значит за пределами кучи? Что за куча?
https://ru.wikipedia.org/wiki/%D0%9A%D1%...)
Куча в информатике и программировании — название структуры данных, с помощью которой реализована динамически распределяемая память приложения.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #64

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2025 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. Сообщение от Аноним (1), 18-Янв-23, 11:14	–8 +/–
Ведь не зря же, ведь не даром, git спалённый пожаром, на got заменена?..
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #4, #7, #8, #12

3. Сообщение от Аноним (3), 18-Янв-23, 11:20	+/–
Это дешёвый рекламный трюк CVS
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #5

4. Сообщение от Аноним (4), 18-Янв-23, 11:27	–1 +/–
Неуловимый got
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #1

5. Сообщение от Аноним (26), 18-Янв-23, 11:31	+1 +/–
Ты ещё скажи что тот самый BitKeeper проплатил чтобы народ узнал что он уже давно под свободной лицензией Apache 2.0 (Ждет суда от индейцев)
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #3 Ответы: #10, #11

7. Сообщение от derfenix (ok), 18-Янв-23, 11:46	+/–
И через поиск просто шикарно (никак) находится, да.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #1

8. Сообщение от Аноним (8), 18-Янв-23, 11:50	+/–
"Got DVCS" : Пориск ничего не дал.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #1 Ответы: #9

9. Сообщение от Аноним (4), 18-Янв-23, 11:58	–1 +/–
речь про бздунячью NIH-реализацию гита
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #8 Ответы: #26

10. Сообщение от Аноним (10), 18-Янв-23, 12:02	+1 +/–
>Обе уязвимости были выявлены в ходе аудита безопасности кодовой базы Git, проведённого компанией X41 по заказу фонда OSTIF (Open Source Technology Improvement Fund). А аудит уязвимости этого Биткипера (напомню, что во времена, когда он был проприетарным, и линуксоидов обвинили в том, что они нарушили еулу введя команду help, которая внезапно этот самый хелп и выдала) кто-то делал?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #5

11. Сообщение от Аноним (-), 18-Янв-23, 12:15	–1 +/–
Papich 2.0 (величайший за работой)
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #5

12. Сообщение от Аноним (-), 18-Янв-23, 12:24	+/–
Возможно вы имели в виду goat?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #1

14. Сообщение от Страдивариус (?), 18-Янв-23, 12:45	–1 +/–
Нужен клон на rust. Назовём gust.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #15, #27, #60

15. Сообщение от Аноним (26), 18-Янв-23, 12:54	+4 +/–
Тут целочисленное переполнение. Такое раст в продакшн сборке не в состоянии отловить.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #14 Ответы: #17, #38

16. Сообщение от Анонимусс (?), 18-Янв-23, 12:58	+2 +/–
Может где-то описано что запуская это код можно получить RCE? Напр. в документации или в исходном коде? А то что-то не получается найти Может оно где-то еще записано? Сишники, подскажите пожалуйста.
Ответить \| Правка \| Наверх \| Cообщить модератору

17. Сообщение от Анонн (?), 18-Янв-23, 13:00	–2 +/–
Тут проблема не в самом целочисленном переполнении, а в том что из-за него коряво посчитали память при копировании. Что как раз бы было отловлено в продакшене.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #15 Ответы: #18

18. Сообщение от Аноним (18), 18-Янв-23, 13:32	+2 +/–
> Что как раз бы было отловлено в продакшене если растаманы не перепутают знаки сравнения, как в FF, рассчитывая попадание смещения в буфер.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #17 Ответы: #19, #56

19. Сообщение от annonn (?), 18-Янв-23, 13:38	+/–
Ты про тот эпичный баг в nftables (https://www.opennet.me/opennews/art.shtml?num=58480) ? Согласен, повышение привелегий это достаточная цена чтобы писать код на С
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #18 Ответы: #23

20. Сообщение от ИмяХ (?), 18-Янв-23, 13:40	–1 +/–
Наxepa столько параллельных версий?
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #21, #22, #24

21. Сообщение от annonn (?), 18-Янв-23, 13:45	–1 +/–
Ну что ты как маленький. Это же опенсорс - тут каждый второй васян, придумав новую гениальную идею и получив закономерный отказ начинает пилить свой вариант с преферансом и куртизанками. В итоге получается 100500 разных вариантов апп с разными возможностями. Но что поделаешь - это уже традиция.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #20

22. Сообщение от animenimus (?), 18-Янв-23, 13:49	+1 +/–
для поддержки всяких любителей мамонтовых копролитов тут часто такие рассказывають что ядро 2.9 самое лучшее и обновляться не нужно
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #20 Ответы: #25

23. Сообщение от Аноним (26), 18-Янв-23, 13:54	+2 +/–
А тут https://www.opennet.me/opennews/art.shtml?num=55167 чего случилось?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #19 Ответы: #32, #33

24. Сообщение от Аноним (26), 18-Янв-23, 13:55	+/–
Потому что Линукс подразумевает перестройку мира на любой чих версии. Ну и потом что твой мегакод может не пережить переезда на новую версию и ты всегда будешь сидеть на старом гите с патчами.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #20 Ответы: #28

25. Сообщение от Аноним (26), 18-Янв-23, 13:56	+/–
Так, а с ядром 2.9 что не так-то опять?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #22 Ответы: #34

26. Сообщение от Аноним (26), 18-Янв-23, 13:56	+1 +/–
Слово конкуренция пока что никто не отменял.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #9 Ответы: #54

27. Сообщение от Michael Shigorin (ok), 18-Янв-23, 13:57	–6 +/–
Сразу на облачном rust -- mist rust!
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #14 Ответы: #35

28. Сообщение от Michael Shigorin (ok), 18-Янв-23, 13:59	–4 +/–
> Потому что Линукс подразумевает перестройку мира на любой чих версии Похоже, салат был не с опятами...
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #24 Ответы: #30, #39, #59

29. Сообщение от Аноним (29), 18-Янв-23, 14:09	+/–
На opennet принято за ошибки в коде ругать языки?)
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #31, #37, #44

30. Сообщение от kusb. (?), 18-Янв-23, 14:25	+1 +/–
Он частично прав - в Linux зависимостями всё связано со всем и обычно есть только одна версия библиотеки. Это может начать прямо ужас какой снежнокомовый процесс циклического рода. Типа новая версия программы требует новую библиотеку, а новая библиотека уже не совместима с чем-то старым. В результате трудно понять что нужно будет обновить при обновлении чего-то одного, а то и удалить. Скованные одной цепью, связанные одной целью, ура!
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #28 Ответы: #42

31. Сообщение от kusb. (?), 18-Янв-23, 14:27	+/–
А что ещё ругать?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #29 Ответы: #36

32. Сообщение от animenimus (?), 18-Янв-23, 14:30	+/–
> приводящих к краху и не исключающих возможность создания эксплоитов для повышению привилегий в системе. читаю как "мы смогли уронить аппу, но обделались представить рабочий эксплойт" И напомни пожалуйста где написано что rust "решает логические и алгоритмические ошибки"? Я доку почитал, там нету. Может у тебя есть альтернативные источники?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #23

33. Сообщение от Анонн (?), 18-Янв-23, 14:30	+/–
А тут доказан только креш, что хорошо. RCE там только потенциальное, в отличие от этого. Плюс ты сравниваешь какое-то васяноподелие версии <0.4, которое еще даже не релизнулось, с модулем ядра, который уже много лет в проде. Как-то не очень сравнение, не кажется ли?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #23 Ответы: #48