https://www.opennet.ru/openforum/vsluhforumID3/127107.html В библиотеке zlib выявлена уязвимость (CVE-2018-25032), приводящая к переполнению буфера при попытке сжатия специально подготовленной последовательности символов во входящих данных. В текущем виде исследователями продемонстрирована возможность вызова аварийного завершения процесса. Может ли проблема иметь более серьёзные последствия ещё не изучено...<br><br>Подробнее: https://www.opennet.ru/opennews/art.shtml?num=56918<br> https://www.opennet.ru/openforum/vsluhforumID3/127107.html#73 Sun, 03 Apr 2022 17:03:26 GMT Да кому нужно голову морочать с Rust, тратить в 3-5 раз больше времени на язык, который ржавчиной обозвали и сделали в нем синтаксис еще хуже чем в птичьем языке, когда в Go есть всё что надо и указатели нормальные, и они работают как указатели. И В Go наверное уже лучший сборщик мусора в мире среди всех языков. Ваш пример с ассемблером в основной массе никому не нужен, даже для драйверов уже не нужен почти нигде, это удел гиков.<br> https://www.opennet.ru/openforum/vsluhforumID3/127107.html#72 Fri, 01 Apr 2022 16:34:00 GMT Вот мне всегда было интересно: каково это - быть упёртым хейтером. Наверное, это сродни религии.<br><br>Ссылки в Rust - это просто указатели, для которых компилятором даются определённые СТАТИЧЕСКИЕ гарантии (во время компиляции). Разыменование ссылки, явное или неявное (скажем, через вызов метода) - то же самое, что и разыменование указателя. Скептикам - rust.godbolt.org в помощь:<br><br>pub fn add1(num: &i32) -&gt; i32 {<br> *num + 1<br>}<br><br>Добавляем флаг -C opt-level=1 (самый слабый уровень оптимизаций) и видим:<br><br>example::add1:<br> mov eax, dword ptr [rdi]<br> add eax, 1<br> ret<br><br>Ну как, достаточно производительно?<br><br>Оптимизации, если что - для краткости листинга. Без оптимизаций (-C opt-level=0) разыменование будет точно такое же, только будет добавлена обработка переполнения при сложении:<br><br>example::add1:<br> push rax<br> mov eax, dword ptr [rdi]<br> inc eax<br> mov dword ptr [rsp + 4], eax<br> seto al<br> test al, 1<br> jne .L https://www.opennet.ru/openforum/vsluhforumID3/127107.html#71 Fri, 01 Apr 2022 10:04:03 GMT ...в unsafe требуется оборачивать даже разыменовывание указателя - эта операция требуется в любой производительной современной программе, чуть сложнее "привет мир". Я как только это увидел, сразу закинул Rust за шкаф, и продолжил дальше на Go.<br> https://www.opennet.ru/openforum/vsluhforumID3/127107.html#70 Thu, 31 Mar 2022 17:31:36 GMT Не факт, иногда серверу надо явно включать модули сжатия. Опять же есть более новые методы, тот же brotli<br> https://www.opennet.ru/openforum/vsluhforumID3/127107.html#69 Thu, 31 Mar 2022 08:45:23 GMT Из таких проблем и состоит, например, libreoffice. Правда только на треть, у второй трети ноги растут из xml, а у третьей -- из использования ООП-наследования.<br> https://www.opennet.ru/openforum/vsluhforumID3/127107.html#68 Tue, 29 Mar 2022 16:39:03 GMT Такие есть и были, но это именно что баги, которые со временем пофиксят, и которые не проявляются при нормальных условиях<br><br>Баги в borrow чекере позволяют лишь писать некорректный код, но сами по себе баги в коде не создают, т.к borrow checker не влияет на поведение<br><br>В данный момент есть 2 давно живущих такие баги:<br>https://github.com/rust-lang/rust/issues/25860<br>https://github.com/rust-lang/rust/issues/85099 (Не совсем в borrow checkerе, но близко)<br> https://www.opennet.ru/openforum/vsluhforumID3/127107.html#67 Tue, 29 Mar 2022 16:30:48 GMT Ну и пример из уязвимости корректно обрабатывает<br> https://www.opennet.ru/openforum/vsluhforumID3/127107.html#66 Tue, 29 Mar 2022 13:17:28 GMT &gt; Сегфолта может и не будет, но поток же будет повреждён?<br><br>Переполнение буфера выльется либо в панику (если код не обрабатвает его, проверить можно через инструменты для запрета паник https://docs.rs/no-panic), либо в ошибку<br>Молча проглотить в Rust будет сложно<br><br>Я посмотрел - компрессор статичных блоков везде переполнения переводит в ошибки<br>https://github.com/Frommi/miniz_oxide/blob/991e3154b49e56cf716e51d1abd0f9c8d704a258/miniz_oxide/src/deflate/core.rs#L1609<br> https://www.opennet.ru/openforum/vsluhforumID3/127107.html#65 Mon, 28 Mar 2022 14:29:16 GMT &gt; То есть тестироваться будет на одной архитектуре с одним набором окружения и <br>&gt; одним набором параметров сборки.<br><br>Т.е., если бы Воен соизволил заглянуть дальше заголока, то знал бы, что тестироваться будет точно так же, как и miniz.<br>&gt; Красавцы!<br>&gt; У вас все так? Или только это?<br><br>У кого "у вас" и кто вообще "вы", Воены-Знатоки?<br><br><br><br><br>