https://opennet.ru/openforum/vsluhforumID3/99055.html Фонд свободного ПО опубликовал (http://www.fsf.org/news/free-software-foundation-statement-on-the-gnu-bash-shellshock-vulnerability) заявление, в связи с выявлением критической уязвимости (http://www.opennet.ru/opennews/art.shtml?num=40667) в GNU Bash. В заявлении отмечено, что свободный характер проекта позволил обеспечить оперативное устранение уязвимости в дистрибутивах, многие из которых сумели выпустить обновления не дожидаясь реакции разработчиков проблемного ПО. Свободная лицензия и доступность кода дали возможность компании Red Hat, получившей информацию о проблеме на раннем этапе её обнаружения, оперативно самостоятельно подготовить патчи, поделиться ими с разработчиками Bash и распространить их среди пользователей и команд разработчиков других дистрибутивов. <br><br><br>В условиях, когда любое программное обеспечение может содержать ошибки, независимо от того свободным или проприетарным оно является, свободное ПО создаёт большие предпосылки для обеспечения безопасности, так как оно предоставляет любому воз https://opennet.ru/openforum/vsluhforumID3/99055.html#70 Mon, 29 Sep 2014 17:29:25 GMT &gt; насчёт "методика хлипковата" - согласен. но у нас же тут не НИИ <br>&gt; :) <br>&gt; вот тут писали про 1.14.7 - http://www.opennet.ru/openforum/vsluhforumID3/99034.html#22 <br><br>bash-1.14.0-1.14.1.diff.gz даёт "Thu Jun 2 09:36:36 1994". 20 лет с небольшим. Метод с засечками -- крутая :) археология. Академики, смогшие _собрать 1.14.0 и проверить наличие дыръ, впишут своё имя в. (павлин, выходи! мастера LFS-Fu также имеют щанс. Стоячая оваиця за сборку, на тех же условиях, для ARM/телефона.) Для _полной академичности нужен .spec или rules - _работающий в "настоящем". И да, кто там поближе, RMS-у скажите, чтоб всю историю в git выложил и подписал (&ключом не из 90-ых).<br><br>...На ibiblio.org/pub/historic-linux/distributions/ - 2002/2003 и _без исходников [навскидку].<br> https://opennet.ru/openforum/vsluhforumID3/99055.html#69 Mon, 29 Sep 2014 15:11:09 GMT насчёт "методика хлипковата" - согласен. но у нас же тут не НИИ :)<br>вот тут писали про 1.14.7 - http://www.opennet.ru/openforum/vsluhforumID3/99034.html#22<br> https://opennet.ru/openforum/vsluhforumID3/99055.html#68 Mon, 29 Sep 2014 14:52:09 GMT &gt; каждый год на стене ставил засечки, вчера посчитал :) <br>&gt; зашёл в википедию и посмотрел год первого релиза и вычел из 2014 <br><br>Я бы переспросил "релиз чего", а потом "а как проверял, что там дыра", но... смысл? Будешь автором непровененной(методика хлипковата) верхней оценки. Нижняя вверху в моём #63 = 12 лет без 2ух месяцев и 10 дней [если я с 60ричной арифметикой не].<br> https://opennet.ru/openforum/vsluhforumID3/99055.html#67 Mon, 29 Sep 2014 12:01:19 GMT каждый год на стене ставил засечки, вчера посчитал :)<br><br>зашёл в википедию и посмотрел год первого релиза и вычел из 2014<br> https://opennet.ru/openforum/vsluhforumID3/99055.html#66 Mon, 29 Sep 2014 10:56:14 GMT &gt; ога. 25 лет с критическим багом - это достойно <br><br>Как считал??<br> https://opennet.ru/openforum/vsluhforumID3/99055.html#65 Mon, 29 Sep 2014 10:55:20 GMT &gt;&gt;&gt;подчеркнул достоинства СПО <br>&gt;&gt; ога. 25 лет с критическим багом - это достойно <br>&gt; А я думал, что это фича. Этож как sql-инжект, проверил строку/экранировал спец <br>&gt; символы - сформировал запрос, а так тупо отдавать данные на исполнение, <br>&gt; до сих пор не понимаю причем тут баш.<br><br>Ещё раз: это не _тупое экранирование. Просмотра на 1-2 символа не достаточно, как мне кажется.<br><br>Там фактически нужно на стороне суб-шела исполнять передаваемые через окружение определения ф-ций в "песочнице", чтоб _реальный код не исполнялся, а только deffun-или-как-его-там. Или не передавать через окружение *вообще*. Или, как сделали сейчас, насколько я ничего не понимаю (нет, патчи я не читал), затыкать _прямое исполнение переданных обёртками-регулярками и готовиться к новым "прилетающим" обходам.<br> https://opennet.ru/openforum/vsluhforumID3/99055.html#64 Mon, 29 Sep 2014 10:46:52 GMT &gt; Как и в некоторых других дисрах. пашет обходной маневр 2014-7169 <br>&gt; На воне чего сабжевые заявления выглядят...<br><br>Прилетел "ещё CVE" - сделали "ещё фикс". Заявления Анонимов выглядят...<br><br>http://metadata.ftp-master.debian.org/changelogs/main/b/bash/bash_4.2+dfsg-0.1+deb7u3_changelog<br> https://opennet.ru/openforum/vsluhforumID3/99055.html#63 Mon, 29 Sep 2014 10:43:05 GMT &gt; На фоне того, что по примерным оценкам эта дыра существовала лет 5 <br><br>В<br> bash-2.05b.tar.gz 17-Jul-2002<br>тоже попатчили<br> bash205b-010.sig 27-Sep-2014 22:36<br>, так что примерные оценки несколько смещаются ближе к "всегда".<br><br>Соурс-коуд археологи уже спешат^Wснаряжают верблюдов в сторону версий 1.x и поиска того героя, что _так удачно совмеслил окружение и передачу ф-ций в sub-shell.<br><br>&gt; и одному богу известно, кто про нее знал и молчал (а <br>&gt; ведь Сноуден рассказывал, что в АНБ есть специальный отдел, который занят <br><br>..гм, 2002: git-а ещё не было, но АНБ была.<br> https://opennet.ru/openforum/vsluhforumID3/99055.html#62 Mon, 29 Sep 2014 10:26:52 GMT Во-первых, все эти заявления сделаны на фоне неисправленной полностью дыры в баш.<br>Во-вторых, даже если бы дыра была исправлена, то можно было бы говорить лишь о хорошем примере оперативности опенсорсников<br>в-третьих, даже в этом случае, говорить, что все закрытые программы сливают по безопасности глупо. Многие из них реально безопасны и закрыты в т ч для безопасности Просто другой подход к защите. Для аудитов и сертификаций они код дают, а для прочих хакеров нет.<br>Т е просто маркетинговое заявление, не более.<br>