| 1.1, Аноним (1), 11:44, 18/05/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +2 +/– |
А может ли быть на таких соревнованиях сговор? Типа одна команда внедряет скрытую багу в софт, другая зарабатывает, деньги пополам. Ну или даже они сами с левых акков.
| | |
| |
| 2.6, Аноним (6), 12:08, 18/05/2025 [^] [^^] [^^^] [ответить]
| +16 +/– | |
В партии не дураки сидят, они сверяют емэйлы тех кто комитил и тех кто нашёл.
(а серьёзно - за такое посадить могут, причём везде не только на западе)
| | |
| |
| 3.10, Аноним (10), 12:43, 18/05/2025 [^] [^^] [^^^] [ответить]
| +1 +/– |
Всё же тема не раскрыта.
Садить за что именно? И кого сажать? Граждан США сажать в Берлине?
| | |
| 3.11, Аноним (11), 12:44, 18/05/2025 [^] [^^] [^^^] [ответить]
| +/– |
Там, скорее, сверяют исходники в котрых нашли (лабороторных испытуемых) и те, в верссии, которых утверждается, что нашли.
| | |
| 3.27, tty2 (?), 13:33, 18/05/2025 [^] [^^] [^^^] [ответить]
| –1 +/– |
Причем здесь партия? Тут награда не совсем сопоставима с затратами, только если ради хайпа.
| | |
| 3.31, Аноним (31), 13:49, 18/05/2025 [^] [^^] [^^^] [ответить]
| +/– |
Какая наивность!
Любому здравомыслящему человеку понятно, что это не более чем "шоу гладиаторов", из которого выходит ещё более "безопасный продукт", а бабло партия капиталистов попилило задолго до начала шоу.
| | |
| |
| 4.42, Аноним (42), 15:16, 18/05/2025 [^] [^^] [^^^] [ответить]
| +1 +/– |
Реальные шоу отбиваются за счет рекламы, а это "шоу" за счет чего?
| | |
|
| 3.96, Аноним (96), 08:35, 19/05/2025 [^] [^^] [^^^] [ответить]
| –2 +/– | |
> а серьёзно...
Денег же дают. Вот, например, пират Моган какой:
Морган известен как коллекционер картин, книг и других произведений искусства, многие из которых дарил «Метрополитен-музею» (Нью-Йорк), спонсором и президентом которого являлся лично.
😊
| | |
| |
| 4.110, пох. (?), 13:07, 19/05/2025 [^] [^^] [^^^] [ответить]
| +1 +/– | |
Пират Морган служил британской короне, и ни малейшего отношения к J.P.Morgan старшему (вот тот - и правда коллекционер и спонсор, совсем в другой стране и другом веке) не имеет.
Денег никому не давал, потому что вообще был жадный.
| | |
|
| 3.132, Аноним (-), 22:23, 19/05/2025 [^] [^^] [^^^] [ответить]
| +1 +/– | |
> В партии не дураки сидят, они сверяют емэйлы тех кто комитил и тех кто нашёл.
Ты такой ленивый что за 30 килобаксов новый мыльник регать поломаешься? Ну и зажраные нынче анонимы пошли! Понятно что инфляция, но все же.
| | |
|
| 2.28, Олег (??), 13:36, 18/05/2025 [^] [^^] [^^^] [ответить]
| +1 +/– |
Тут проще выявлять в команде продукта, снимать бонус под видом участия в соревновании
Естественно снимать должен друг
| | |
| 2.32, Илитка (?), 13:53, 18/05/2025 [^] [^^] [^^^] [ответить]
| +1 +/– |
Слишком маленькие деньги. Ради зарплаты за полтора месяца, никто рисковать карьерой и свободой не будет.
Но теоретически возможно все.
| | |
| 2.86, Анонимный эксперт (?), 21:13, 18/05/2025 [^] [^^] [^^^] [ответить]
| +/– |
И после этого кто-то будет сомневаться что среди анонимных экспертов присутствуют параноидальные шизофреники? Не утверждают что это плохо, просто в ИТ, в сисадмины, в безопасники идут такие люди. Но ход мысли прям считывается, такие хитроумные схемы, которые на практике, на открытом соревновании мало кто будет делать.
Вопрос, важно ли в ИТ иметь прокаченные софт скилы, особенно в психологии?
| | |
| 2.108, Аноним (108), 12:48, 19/05/2025 [^] [^^] [^^^] [ответить]
| +/– |
Нет. Согласно пиратскому кодексу, за такое организаторам дадут пня под жопу и месяц будут перемывать кости.
| | |
| 2.133, Vladimir (??), 01:29, 20/05/2025 [^] [^^] [^^^] [ответить]
| +/– |
 На таких соревнованиях нет, так как тут не команды, фактически есть свободные исследователи им платят от 30000 до 300000$ за уязвимость, тут же вроде как детского утреника так как если в первом случае исследователь действует удалённо, то тут имеет доступ даже к гостевой учетке, по этому и награда скромней 10-30000$, эксперт сюда не приедет, да и взломы через переполнение памяти наследие с++ на котором ядра всех систем кроме макос где объективный с, но прикол в том что редхат версия 10 она на с, тут учасники схитрили, в прошлые годы была убунту, но убунту уже с кусками на расте, как и Федора, игры и всё остальное ломают через переполнение, но когда линукс перейдёт на раст, а следовательно бсд, и макос, сониос, дырявой останется только винда.
| | |
|
| 1.2, Аноним (2), 11:45, 18/05/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +8 +/– |
Спасибо за предоставление кратких причин. На это невозможно смотреть без смеха.
| | |
| |
| |
| 3.5, Аноним (5), 12:06, 18/05/2025 [^] [^^] [^^^] [ответить]
| +18 +/– |
При чём здесь раст? Уязвимость в сишном коде, как обычно.
| | |
| |
| 4.12, Аноним (11), 12:47, 18/05/2025 [^] [^^] [^^^] [ответить]
| –1 +/– |
"Это другое." Вообще-то, информация не предоставлена, в каком именно коде шашли.
| | |
| |
| 5.17, Аноним (17), 12:51, 18/05/2025 [^] [^^] [^^^] [ответить]
| +6 +/– | |
>Вообще-то, информация не предоставлена, в каком именно коде шашли.
Вообще-то, с учетом описания багов, совершенно понятно, что не в Rust-коде.
| | |
| |
| 6.59, Аноним (59), 17:23, 18/05/2025 [^] [^^] [^^^] [ответить]
| –7 +/– |
Информация опубликована, если знать, где искать, и она именно в коде Rust.
| | |
| |
| 7.77, Аноним (77), 19:45, 18/05/2025 [^] [^^] [^^^] [ответить]
| +4 +/– | |
> Информация опубликована, если знать, где искать, и она именно в коде Rust.
Там двумя сантиметрами ниже дали пруфлинки на обратное за несколько часов до твоего выдуманного утверждения.
| | |
|
|
|
| 4.24, Аноним (24), 13:20, 18/05/2025 [^] [^^] [^^^] [ответить]
| +1 +/– |
действительно при чём тут раст ))
пока его процент на столько ничтожен что проверять там нечего...
| | |
| |
| 5.43, Аноним (-), 15:23, 18/05/2025 [^] [^^] [^^^] [ответить]
| +3 +/– | |
> пока его процент на столько ничтожен что проверять там нечего...
В ФФ строк кода на расте почти столько же что и на сишке openhub.net/p/firefox/analyses/latest/languages_summary
C++ 7,804,588
C 3,724,980
Rust 3,645,940
А если учесть многословность и велосипедности сишки, то не удивлюсь что код на расте еще и больше работы делает)) Но что-то про дыры в растовом коде ФФ как-то не слышно, в отличие от :)
| | |
| |
| 6.53, Аноним (53), 16:24, 18/05/2025 [^] [^^] [^^^] [ответить]
| +1 +/– |
Влажные фантазии, в движке CSS, что на расте, уже находили дыры. По поводу объёмов, ты не забывай, что в расте приходится колесо с нуля изобретать каждый раз, отсюда и объёмы кода такие.
| | |
| |
| 7.58, Аноним (17), 16:51, 18/05/2025 [^] [^^] [^^^] [ответить]
| +3 +/– | |
>в движке CSS, что на расте, уже находили дыры.
Ну так ты ссылки забыл. А мы и посмотрим, что там за дыры.
>в расте приходится колесо с нуля изобретать каждый раз, отсюда и объёмы кода такие
Ну да, в расте даже банальных строк нет, не говоря уже о коллекциях, асинхронщине и еще кучи всего. Не то, что в сишечке. Ой, или наоброот?
| | |
|
| 6.57, Аноним (24), 16:43, 18/05/2025 [^] [^^] [^^^] [ответить]
| –1 +/– |
т.е. Вы говорите что Си многословен при этом единственная подсистема полностью реализованая на расте составляет почти 20% строк кода ? ))))
| | |
| |
| 7.78, Аноним (-), 19:47, 18/05/2025 [^] [^^] [^^^] [ответить]
| +1 +/– |
> т.е. Вы говорите что Си многословен при этом единственная подсистема полностью реализованая
> на расте составляет почти 20% строк кода ? ))))
И? Ну, во-первых не одна - есть Quantum CSS, есть WebRender, есть Crash Reporter, есть и других. А во-вторых эти подсистемы - что Quantum CSS, что WebRender - одни из самых сложных в браузере.
| | |
|
|
| 5.75, Аноним (75), 19:36, 18/05/2025 [^] [^^] [^^^] [ответить]
| +/– | |
> действительно при чём тут раст ))
пока его процент на столько ничтожен что проверять там нечего...
Опеннетные вотны супротив Раста как обычно: сами Раст приплели, сам же его обличили.
| | |
|
|
|
| |
| 3.97, Аноним (97), 08:44, 19/05/2025 [^] [^^] [^^^] [ответить]
| +/– |
Mozilla что-то путает, в Pwn2Own премии не выплачивают за частично работающие эксплоиты. Если дали премии, значит они смогли запустить свой код. Скорее всего для обхода sandbox использовались какие-то дополнительные уязвимости или более вероятно, что по дефолту в сборках для Windows sandbox отключён по умолчанию. На скриншоте из отчёта ясно видно, что открыв страницу удалось запустить калькулятор.
| | |
| |
| 4.135, an2 (?), 13:24, 20/05/2025 [^] [^^] [^^^] [ответить]
| +/– |
Спасибо за уточнение (и анониму ниже тоже). В подобных вопросах хотелось бы, чтобы Мозилла делала бы однозначные заявления.
| | |
|
| 3.98, Аноним (97), 08:50, 19/05/2025 [^] [^^] [^^^] [ответить]
| +/– | |
Те две уязвимости позволяли выполнить код без необходимости обхода sandbox, так как были не в изолированном процессе. Т.е. для атаки не нужно было обходить sandbox.
Даже сама Mozilla присвоила уязвимостям критический статус. Для уязвимостей, которые блокируются sandbox-ом такой статус не присваивается.
| | |
|
|
| 1.9, Аноним (9), 12:35, 18/05/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +2 +/– |
У майков тоже бессонница случилась - патч для 11 делали . ;) KB5061258
| | |
| 1.14, Аноним (14), 12:50, 18/05/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– |
Удивительно, почему среди целей взломов отсутствует Chrome/Chromium. Толи гугл пожадничал в призовой фонд, толи запретили взламывать из-за тривиальности.
| | |
| |
| 2.25, Аноним (9), 13:21, 18/05/2025 [^] [^^] [^^^] [ответить]
| +1 +/– |
Гугл постоянно платит и без конкурсов . Им пора хакеров в штат зачислять .
| | |
|
| 1.18, Аноним (18), 12:58, 18/05/2025 [ответить] [﹢﹢﹢] [ · · · ]
| –3 +/– |
Как всегда VirtualBox блистает своей безопасностью, оракл сохраняет планку.
| | |
| |
| 2.26, Аноним (26), 13:22, 18/05/2025 [^] [^^] [^^^] [ответить]
| +/– |
тото вчера мне в обновах НЕ предвидилось упоминание про 7.1.10, хотя на сайте полный молчок.
| | |
| 2.63, Аноним (63), 17:29, 18/05/2025 [^] [^^] [^^^] [ответить]
| –1 +/– |
А причем тут Оракл? Вбокс разработка Innotek и санок. К ораклу он просто перешёл в наследство от санок вместе с командой.
| | |
|
| 1.23, Аноним (26), 13:19, 18/05/2025 [ответить] [﹢﹢﹢] [ · · · ]
| –3 +/– | |
>Уязвимость вызвана обращением к памяти после освобождения.
Почему то был уверен, что подобным (распределение и очистка памяти) должна заниматься операционная система.
Ну да ладно, будут теперь забивать нулями, или вообще рандомом, после использования те части памяти, что использовались приложением.
| | |
| |
| 2.35, Аноним (35), 14:21, 18/05/2025 [^] [^^] [^^^] [ответить]
| +/– |
А вы случайно не на Си пишете? (не ради троллинга, а статистику собираю)
| | |
| 2.48, Аноним (48), 16:08, 18/05/2025 [^] [^^] [^^^] [ответить]
| +/– |
 Сорок лет ни чем не забивают (забывают, в основном без умысла), и вот именно сейчас начнут, потому что Вам так захотелось. Ведь мир крутится вокруг Ваших ожиданий ..
| | |
| 2.49, Аноним (49), 16:14, 18/05/2025 [^] [^^] [^^^] [ответить]
| +/– | |
>Почему то был уверен, что подобным (распределение и очистка памяти) должна заниматься операционная система.
Если ты исполняешь код на виртуальной машине под название Python или Java, то да. А если ты исполняешь бинарник на чистом Си, то программа сама берёт свободную память... после сама освобождает взятую память. Ничего нулями забивать не нужно, так как освобождёнеая память уже является "мусором". Операционная система в данном случае просто "наблюдает".
А обращение к уже освобождённой памяти - это ошибка программиста.
| | |
| 2.54, Аноним (17), 16:30, 18/05/2025 [^] [^^] [^^^] [ответить]
| +/– | |
>Ну да ладно, будут теперь забивать нулями, или вообще рандомом
А, это вы вдруг придумали, что это первый случай use after free в истории, и сейчас все просто перестанут так делать?
Если вы используете память после того, как освободили - получаете проблему без разницы, какими значениями она была забита.
| | |
|
| 1.30, Аноним (-), 13:45, 18/05/2025 [ответить] [﹢﹢﹢] [ · · · ]
| –1 +/– |
> Linux: 3 успешные атаки, позволившие поднять свои привилегии до пользователя root.
> Уязвимости вызваны целочисленным переполнением, обращением к памяти после освобождения и утечкой информации.
"А знаете... я нифига не удивлен!" (с)
Ждем подробностей после обнародования, но и так понятно что там.
| | |
| |
| 2.38, Аноним (-), 14:43, 18/05/2025 [^] [^^] [^^^] [ответить]
| +/– |
Вы знаете лучше ОС? На винде вообще 5 уязвимостей с правами system нашли. Мне лично эта цифровая война откровенно говоря не нравится
| | |
| |
| 3.45, Аноним (-), 15:39, 18/05/2025 [^] [^^] [^^^] [ответить]
| +2 +/– |
> Вы знаете лучше ОС? На винде вообще 5 уязвимостей с правами system
> нашли. Мне лично эта цифровая война откровенно говоря не нравится
Что за набросы в стиле "а у вас негров линчуют!"
Во-первых - какое мне дело до винды?
Во-вторых - у винды абсолютно такие же проблемы "оращение к памяти после освобождения, целочисленное переполнением, переполнением буфера, состояние гонки". И мы все знаем что этому причина :)
| | |
| |
| 4.129, Аноним (-), 21:24, 19/05/2025 [^] [^^] [^^^] [ответить]
| +/– |
> Что за набросы в стиле "а у вас негров линчуют!"
> Во-первых - какое мне дело до винды?
> Во-вторых - у винды абсолютно такие же проблемы "оращение к памяти после освобождения,
Ну так пользуйтесь редсдох осом. Правда, там вулнов нет скорее всего потому что никто ничего не ищет, ибо кому этот неуловимый Джо вперся?
| | |
|
|
| 2.67, Аноним (-), 17:58, 18/05/2025 [^] [^^] [^^^] [ответить]
| +/– | |
> Что за набросы в стиле "а у вас негров линчуют!" Во-первых - какое мне дело до винды? Во-вторых - у винды абсолютно такие же проблемы "оращение к памяти после освобождения, целочисленное переполнением, переполнением буфера, состояние гонки". И мы все знаем что этому причина :)
А что вы предлагаете и к чему ведёте? Уточните пожалуйста.
| | |
| |
| 3.100, Аноним (-), 10:03, 19/05/2025 [^] [^^] [^^^] [ответить]
| –1 +/– | |
> А что вы предлагаете и к чему ведёте? Уточните пожалуйста.
А разве это не очевидно?
Я предлагаю избавляться от способов разработки ПО, которые годами стабильно приводят к однотипным уязвимостям. Думаю вы понимаете о чем я :)
| | |
| |
| 4.131, Аноним (-), 22:17, 19/05/2025 [^] [^^] [^^^] [ответить]
| +/– |
> Я предлагаю избавляться от способов разработки ПО, которые годами стабильно
> приводят к однотипным уязвимостям. Думаю вы понимаете о чем я :)
Отправить этого анонима в другую галактику, конечно, где AI уже победил, софт пишут машины и они не ошибаются. Но это не точно. В смысле что не ошибаются.
| | |
|
|
|
| 1.47, Аноним (48), 16:05, 18/05/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Судя по суммам вознаграждений, единственно нацеленные на безопасность - vmware. Google и Nvidia отсылают какое-то копьё.
| | |
| |
| |
| 3.64, Аноним (63), 17:35, 18/05/2025 [^] [^^] [^^^] [ответить]
| +/– |
Вот я конечно удивляюсь опеннету. Мне кажется про профит нвидии знают вообще все, включая мою кошку. Нет, в середине блин 2025 берет впендюривает ссылку, что Нвидия много заработала. Зачем? Это кто-то не знает? Давай ссылку, что Ленин умер ещё.
| | |
| |
| 4.66, Аноним (34), 17:56, 18/05/2025 [^] [^^] [^^^] [ответить]
| +/– | |
>Мне кажется
Так и есть
>в середине блин 2025
Эти данные от 10 апреля 2025.
| | |
|
| 3.71, Аноним (68), 18:25, 18/05/2025 [^] [^^] [^^^] [ответить]
| +1 +/– |
То что nvidia номер один по объему рынка не значит, что у неё финансы через края переливаются.
| | |
| |
| |
| 5.136, нах. (?), 17:28, 20/05/2025 [^] [^^] [^^^] [ответить]
| +/– | |
нет, конечно - это ж не их деньги.
Рост стоимости акций говорит только о том, что финансовые спекулянты сейчас неплохо наварятся.
| | |
|
|
|
| 2.61, нах. (?), 17:26, 18/05/2025 [^] [^^] [^^^] [ответить]
| +1 +/– |
> Судя по суммам вознаграждений, единственно нацеленные на безопасность - vmware. Google и
> Nvidia отсылают какое-то копьё.
ну логично ж. Никто не будет запускать внутри модели кота от васянов. (А если и будет - его проблемы вовсе не в том что кто-то получит рута на бесполезном сервере где нет ничего кроме модели)
гугль тем более не боится увизгвимостей в том чем сам не пользуется.
А вот пользователи вмвари - активно использующие ее в том числе и для того чтобы изолировать всякий стремный овнокод - могут быть не рады. Ну и да, деньгов у бродкома - железнодорожными составами возить-не-перевозить. Правда, все равно это хорошая новость, потому что составы могли уехать в каком-нибудь другом направлении. А тут все же пара мелких кулечков денег потрачена на безопасность.
| | |
|
| 1.52, Аноним (52), 16:20, 18/05/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +/– | |
>Компания Mozilla ... устранила ... проблемы в Firefox и выпустила обновления ... 115.23.1 c исправлением двух критических уязвимостей (CVE-2025-4920, CVE-2025-4921)
Это получается они не видели эти уязвимости столько лет? Или они тупо новый код бэкпортят в старые ветки при исправлении ошибок?
| | |
| |
| 2.72, Аноним (72), 18:33, 18/05/2025 [^] [^^] [^^^] [ответить]
| +1 +/– |
Как вы предлагаете защищаться от атаки , которая ещё не придумана ? Это не "дыры" , которые уже были , а новые способы обхода . Эта гонка без финиша .
| | |
| |
| 3.73, Аноним (52), 19:21, 18/05/2025 [^] [^^] [^^^] [ответить]
| –1 +/– |
Надо же, какая интересная формулировка... А я то думал. )))
Вы хоть понимаете, что сами написали? Атака невозможна, если код написан правильно.
| | |
| |
| |
| 5.99, Аноним (97), 08:54, 19/05/2025 [^] [^^] [^^^] [ответить]
| –1 +/– | |
Вы повторились и я повторюсь. Показанные уязвимости позволяли выполнить код без необходимости обхода sandbox, т.е. для атаки не нужно было обходить sandbox.
Mozilla присвоила уязвимостям критический статус. Для уязвимостей, которые блокируются sandbox-ом такой статус не присваивается.
| | |
|
| 4.128, Аноним (-), 21:22, 19/05/2025 [^] [^^] [^^^] [ответить]
| +/– | |
> Вы хоть понимаете, что сами написали? Атака невозможна, если код написан правильно.
Гже ж таких программистов которые не ошибаются то взять?
| | |
|
| 3.84, Аноним (68), 20:43, 18/05/2025 [^] [^^] [^^^] [ответить]
| +/– | |
>Это не "дыры" , которые уже были , а новые способы обхода . Эта гонка без финиша .
Удобная парадигма для выманивания денег.
| | |
|
|
| 1.74, Геймер (?), 19:27, 18/05/2025 [ответить] [﹢﹢﹢] [ · · · ]
| –1 +/– |
Ну ладно RHEL, Firefox, Редиску взломали. Но VirtualBox за что? Это ж детская программа для старых игорей.
| | |
| |
| 2.113, Аноним (113), 14:47, 19/05/2025 [^] [^^] [^^^] [ответить]
| +/– |
За то, что выкинули поддержку старых компов без Vulkan 1.3 :D Так им и нада!
| | |
|
| 1.111, L10N (?), 13:55, 19/05/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Кто-то постоянно пишет, что у Мозиллы не осталось разработчиков и топы забирают себе все деньги. Но $100К за две уязвимости и несколько часов на выкат патча - говорит о другом :)
| | |
| |
| 2.119, Аноним (103), 15:53, 19/05/2025 [^] [^^] [^^^] [ответить]
| +1 +/– |
Как раз о том, что работать некому.
Только на дыры латать и осталось сил.
| | |
|
| 1.125, adolfus (ok), 20:37, 19/05/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
 Странно, обращение к памяти после ее освобождения легко обнаруживается valgrind'ом.
| | |
| |
| 2.127, Аноним (-), 21:20, 19/05/2025 [^] [^^] [^^^] [ответить]
| +/– | |
> Странно, обращение к памяти после ее освобождения легко обнаруживается valgrind'ом.
Да и asan/ubsan'ом. Но некоторые поленились и про fuzzing не слышали. Зато хацкеры - вот - не поленились. А вы за 30 кусков зелени будете лениться? :)
| | |
| |
| 3.130, adolfus (ok), 21:59, 19/05/2025 [^] [^^] [^^^] [ответить]
| +/– |
>> Странно, обращение к памяти после ее освобождения легко обнаруживается valgrind'ом.
> Да и asan/ubsan'ом. Но некоторые поленились и про fuzzing не слышали. Зато
> хацкеры - вот - не поленились. А вы за 30 кусков
> зелени будете лениться? :)
я и забесплатно проверяюсь -- паранойя-с, сударь.
Обращение к памяти после ее освобождения -- сложно даже представить, как такое может насраться. Это логическая ошибка в чистом виде -- нужно полностью перерабатывать структуру программы/класса.
| | |
|
|
| 1.126, Аноним (-), 21:13, 19/05/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
> Microsoft SharePoint. Одна успешная атака. Проблемы
> возникли из-за обхода аутентификации
Майкрософт жжот. Расшарили данные всем вообще :)
| | |
|
