URL: https://www.opennet.dev/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 104987
[ Назад ]

Исходное сообщение
"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."

Отправлено opennews , 05-Окт-15 10:48 
В опубликованном (http://permalink.gmane.org/gmane.mail.opensmtpd.general/3009) на днях выпуске SMTP-сервера OpenSMTPD 5.7.2 (https://opensmtpd.org/), развиваемого под эгидой проекта OpenBSD и нацеленного на создание простой и безопасной замены Sendmail, представлены исправления, подготовленные по результатам проведённого компанией Qualys Security аудита безопасности кодовой базы, в ходе которого было выявлено несколько уязвимостей. В том числе обнаружены локальное переполнение буфера и удалённо эксплуатируемая use-after-free-уязвимость, которые потенциально могут привести к выполнению кода злоумышленника с правами пользователя smtpd вне chroot-окружения.

Интересно, что разработчики OpenBSD отказались (http://comments.gmane.org/gmane.mail.opensmtpd.general/3011) поменять на сайте (http://www.openbsd.org/) заявление о наличии только двух удалённо эксплуатируемых уязвимостях в базовой поставке OpenBSD за всю историю существования проекта. Отказ мотивирован тем, что  OpenSMTPD по умолчанию принимает соединения только от локальных пользователей системы и прикрепляется к сетевому интерфейсу loopback, что при настройках по умолчанию позволяет осуществить атаку только имея аккаунт в системе. В случае использования OpenSMTPD в качестве  SMTP-сервера, принимающего запросы извне, атака может быть совершена любым сторонним злоумышленником.


После этого, автор сообщения (http://comments.gmane.org/gmane.mail.opensmtpd.general/3011) с просьбой поменять фразу об уязвимостях  в OpenBSD, указал, что проведённый ранее аудит не охватил новые подсистемы OpenSMTPD, такие как модуль фильтрации контента, поэтому данная подсистема требует отдельного изучения. В качестве демонстрации, что проблемы OpenSMTPD  не ограничиваются исправленными уязвимостями, он опубликовал (http://seclists.org/oss-sec/2015/q4/25) информацию о потенциально эксплуатируемой проблеме, не исправленной в OpenSMTPD 5.7.2. Проблема позволяет осуществить переполнение буфера через передачу слишком заголовка, размером больше 65535 байт.


URL: http://comments.gmane.org/gmane.mail.opensmtpd.general/3011
Новость: http://www.opennet.dev/opennews/art.shtml?num=43090


Содержание

Сообщения в этом обсуждении
"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено grec , 05-Окт-15 10:48 
Анализатором кода прошлись?


"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено Аноним , 05-Окт-15 12:17 
Боюсь, что если по коду ядра и базовой системы OpenBSD пройтись анализатором, большинство их разработчиков придется принудительно переквалифицировать в дворники.

"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено mma , 05-Окт-15 17:24 
не бойся, пройдись.

"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено Яро Ш. Я. , 06-Окт-15 22:52 
не бугурть и пройдись сам, если фанбойство тебе мозги ещё не испортило

"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено б.б. , 07-Окт-15 06:37 
проходятся, не волнуйтесь

"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено manster , 05-Окт-15 11:07 
Казалось бы чего там искать - сервер слушает SMTP-порт, принимает текстовые команды ...

Никаких инъекций ...

Скорее всего проблема чудес в решете TCP-сервера ...


"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено Pahanivo , 05-Окт-15 13:05 
> Казалось бы чего там искать - сервер слушает SMTP-порт, принимает текстовые команды
> ...
> Никаких инъекций ...
> Скорее всего проблема чудес в решете TCP-сервера ...

)))))
ну во-первых как ты сам сказал сервер принимает команды - уже куча возможностей наклепать дыр с переполнением буфера и тд и тп.
а во-вторых сервак тело письма не просто транзитом гонит - он его еще как бы и обрабатывает ... читает и пишет ...

вообще глупым людям мир всегда кажется проще ))


"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено manster , 05-Окт-15 13:12 
читаем внимательно ... с выражением ... "казалось бы"

"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено www2 , 05-Окт-15 16:43 
Слышу! Слышу голос быдлокодера! Казалось бы, подумаешь - прямо из веб-формы данные подставляются в SQL-запрос... Казалось бы, подумаешь - какие-то "пинги" в OpenSSL проверяют доступность другой стороны... Казалось бы, подумаешь данные из заголовка веб-запроса передаются в CGI-скрипт как переменные окружения через bash... Казалось бы, подумаешь - перемножаем ширину картинки на высоту (получая целочисленное переполнение) и выделяем буфер под картинку...

"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено Аноним , 08-Окт-15 01:18 
Хороший, годный комментарий.

"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено Pahanivo , 06-Окт-15 07:12 
> читаем внимательно ... с выражением ... "казалось бы"

тихо, спокойно, принимаем лекарства и по палатам.


"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено Anonplus , 05-Окт-15 20:41 
А дело бывает не только в инъекциях. Вот пример того, как программа, написанная криворуким кодером, может спокойно отправить по сети то, что отправлять вообще никогда не планировалось
http://habrahabr.ru/company/abbyy/blog/127259/

"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено anonymous , 05-Окт-15 11:20 
> Казалось бы чего там искать - сервер слушает SMTP-порт, принимает текстовые команды ...

Дурилко, уязвимостей в разбиралках текстовых протоколов всегда больше. Просто сишечка никак не помогает при выделении кусков памяти произвольного размера, которые заранее неизвестны.


"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено Crazy Alex , 05-Окт-15 11:29 
Вообще-то как с этим бороться - известно уже лет сорок. Полный отказ от буферов фиксированного размера, обработка функциями, принимающими длину буфера, переаллокация при нужде... И библиотек, которые всё это делают - вагон, если руками лень.

В сущности, очень забавляет, что у BSD-шников, кичащихся своей безопасностью, ошибки такие детские.


"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено Аноним , 05-Окт-15 12:19 
> В сущности, очень забавляет, что у BSD-шников, кичащихся своей безопасностью, ошибки такие детские.

Да не, все закономерно. Это всегда так - чем больше показных понтов, тем меньше для них реальных оснований.


"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено st17 , 08-Окт-15 23:06 
Аноним:
"Да не, все закономерно. Это всегда так - чем больше показных понтов, тем меньше для них реальных оснований."

Аноним, приведите пожалуйста "реальные основания" обосновывающие ваше неуважительное сообщение?


"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено st17 , 08-Окт-15 22:53 
Crazy Alex:
"В сущности, очень забавляет, что у BSD-шников, кичащихся своей безопасностью, ошибки такие детские."
Использовали ли вы индукцию?

Crazy Alex:
"Вообще-то как с этим бороться - известно уже лет сорок. Полный отказ от буферов фиксированного размера"


28.07.2015
"Критическая уязвимость в Android, позволяющая получить контроль через отправку MMS...
Причиной уязвимости является выход за границы буфера в библиотеке обработки мультимедийных данных"
http://www.opennet.dev/opennews/art.shtml?num=42677

Crazy Alex:
"И чего ради это проблема для людей на техническом форуме? наверняка патчи к прошивкам для большинства устройств появятся быстро"
http://www.opennet.dev/opennews/art.shtml?num=42677#21

Crazy Alex, чтобы вы написали в ответе на это сообщение?


"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено www2 , 05-Окт-15 16:49 
Да-да, берём насплошь двоичную картинку, перемножаем ширину картинки на высоту и выделяем буфер. Не важно, что там целочисленное переполнение при перемножении случилось. Ни сишечка, ни один другой язык не может полностью заменить мозг. На что вы там молетесь? На жабку? Открываем список уязвимостей в жаба-машине, которая, на минуточку, тоже написана на жабе и видим ту же самую картину. А теперь открываем список уязвимостей Exim и Postfix и видим, как можно писать аккуратно без использования защитных мер, и видим как можно продумать архитектуру так, что защитные меры не позволяют воспользоваться потенциальными ошибками. Это результат использования мозга.

"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено iZEN , 05-Окт-15 20:39 
> Открываем список уязвимостей в жаба-машине, которая, на минуточку, тоже написана на жабе

Внезапно Oracle JVM написана на C++.


"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено Аноним , 29-Сен-19 23:27 
> А теперь открываем список уязвимостей Exim и Postfix и видим, как можно писать аккуратно без использования защитных мер

Пишу из 2019 года. У нас теперь этот список уязвимостей Exim постоянно перед глазами.


"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено Аноним , 05-Окт-15 11:40 
Ой, они буфер разбора заголовка размещают в стэке. В cтэке! Где следом за этим буфером идёт указатель  возврата из функции.

static void
filter_tx_io(struct io *io, int evt)
{
        struct filter_session   *s = io->arg;
        size_t                   len, n;
        char                    *data;
        char                    buf[65535];


        switch (evt) {
        case IO_DATAIN:
                data = iobuf_data(&s->ibuf);
                len = iobuf_len(&s->ibuf);
                memmove(buf, data, len);
                buf[len] = 0;


"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено Crazy Alex , 05-Окт-15 13:37 
Кхм, ну и код. С магическими константами, фиксированным буфером и отсутствием проверок. Стек - то ладно, дело такое, кучу портить - тоже не сахар.

"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено Wladmis , 06-Окт-15 00:53 
> Кхм, ну и код. С магическими константами, фиксированным буфером и отсутствием проверок. Стек - то ладно, дело такое, кучу портить - тоже не сахар.

Это 65535 магическая константа? И memmove нуждается в проверке?


"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено angra , 05-Окт-15 11:40 
> Отказ мотивирован тем, что  OpenSMTPD по умолчанию принимает соединения только от
> локальных пользователей системы и прикрепляется к сетевому интерфейсу loopback, что при
> настройках по умолчанию позволяет осуществить атаку только имея аккаунт в системе.

Считаю это гениальным решением. Все сервисы по умолчанию вешать только на петлю и вот у нас волшебным образом получается неуязвимая для внешних атак ОС, можно хвалится всего двумя remote дырками за все время. А про то, что пользы от такой ОС ненамного больше, чем от полностью выключенного компа, можно скромно промолчать.


"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено Классический Анонимус , 05-Окт-15 11:56 
Да, в общем-то это известно, что неломаемость ОпенБЗД это на самом деле неуловимость (того самого Джо).

Если в "мегабезопасном" OpenBSD нет например МАС, а в "дырявых" Linux/FreeBSD есть, то очень сложно найти этому внятное объяснение, кроме версии выше.


"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено Аноним , 05-Окт-15 12:16 
> Если в "мегабезопасном" OpenBSD нет например МАС, а в "дырявых" Linux/FreeBSD есть,
> то очень сложно найти этому внятное объяснение, кроме версии выше.

Простое объяснение есть: фимозность некоего Тео.

В этом смысле он похож на некоего Марка: главное, побольше пиара, а что там на самом деле - никому не важно.


"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено st17 , 08-Окт-15 23:14 
angra:
> "Считаю это гениальным решением. Все сервисы по умолчанию вешать только на петлю и вот у нас волшебным образом получается неуязвимая для внешних атак ОС, можно хвалится всего двумя remote дырками за все время"

Очень остроумный комментарий?

angra, у вас есть фактические возражения по количеству уязвимостей?



"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено Классический Анонимус , 05-Окт-15 11:51 
Непонятно зачем они в 2015 году пишут достаточно сложную прожку на СИ. Взяли бы сипипи! (пишу как жабист, понимающий, что жаба на данную задачу не подходит). Но на СИ писать - это просто клиника.

"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено невидимка , 05-Окт-15 12:05 
Клиника - это писать системные вещь на языке предназначенном для прикладного ПО.

"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено Аноним , 05-Окт-15 12:14 
Почтовик - это типа не системное ПО, а прикладное? Breaking news, однако.

"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено antitroll , 05-Окт-15 12:17 
smtpd и есть прикладное ПО, работает исключительно в userspace

"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено www2 , 05-Окт-15 16:58 
> smtpd и есть прикладное ПО, работает исключительно в userspace

Нуачо, давайте тогда уж и ядро на C++ писать. Прикладное ПО - это ПО, с которым работает только непосредственно пользователь.

C smtpd работает не только пользователь, с ним программы работают, в том числе на других компьютерах - по сети. Все сетевые серверы, все suid-программы или программы, использующие всякие разные capabilities или имеющие прямой доступ к устройствам или драйверам устройств считаются системными. Программы, скачивающие ПО и проверяющие цифровые подписи у этого ПО, тоже можно считать системными. Компиляторы, компоновщики, загрузчики - тоже системное ПО, т.к. им собирают всё вышеозначенное - не хорошо будет, если в неуязвимые программы компилятор добавит закладки.


"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено Аноним , 05-Окт-15 20:14 
> Нуачо, давайте тогда уж и ядро на C++ писать.

Пробовали, каждый раз получалась какая-то хрень.


"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено www2 , 08-Окт-15 18:48 
>> Нуачо, давайте тогда уж и ядро на C++ писать.
> Пробовали, каждый раз получалась какая-то хрень.

Вы не понимаете иронии?


"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено angra , 06-Окт-15 08:59 
> Нуачо, давайте тогда уж и ядро на C++ писать.

Ядро работает в userspace? Или ты просто не знаешь что это такое? Ну и чисто для сведения, ядра, написанные на С++, существуют и вполне успешны.

> Прикладное ПО -
> это ПО, с которым работает только непосредственно пользователь.

Я правильно понимаю, что любая cli программа, например grep, это уже не прикладное ПО? Ведь с ней работают другие программы, а не только пользователь.

> C smtpd работает не только пользователь, с ним программы работают, в том
> числе на других компьютерах - по сети. Все сетевые серверы, все
> suid-программы или программы, использующие всякие разные capabilities или имеющие прямой
> доступ к устройствам или драйверам устройств считаются системными. Программы, скачивающие
> ПО и проверяющие цифровые подписи у этого ПО, тоже можно считать
> системными. Компиляторы, компоновщики, загрузчики - тоже системное ПО, т.к. им собирают
> всё вышеозначенное - не хорошо будет, если в неуязвимые программы компилятор
> добавит закладки.

Да, богато у тебя в голове намешано. Однострочник на перле или рубине, слушающий порт, уже системное ПО, поставил программе suid бит и магически из прикладной сделал ее системной, wget/curl/browser/любая_другая_качалка и md5sum тоже системными заделались. Ну и странно, что ты архиваторы и текстовые редакторы в системные не записал, а вдруг они тоже закладки сделают(про то, как закладки в твоем мозгу связаны с делением на системное и прикладное ПО, даже знать не хочу).


"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено www2 , 08-Окт-15 19:05 
>> Нуачо, давайте тогда уж и ядро на C++ писать.
> Ядро работает в userspace? Или ты просто не знаешь что это такое?
> Ну и чисто для сведения, ядра, написанные на С++, существуют и
> вполне успешны.

Вы не понимаете иронии. Про ядра на C++ я наслышан и не сказал бы что они очень уж успешные. Работают, но популярными не стали. Ядро не работает в userspace - совершенно верно. Спич был ответом на фразу "Клиника - это писать системные вещь на языке предназначенном для прикладного ПО." Ну то есть высказавшийся намекает на то, что ядро написано на языке, предназначенном для прикладного ПО.

>> Прикладное ПО -
>> это ПО, с которым работает только непосредственно пользователь.
> Я правильно понимаю, что любая cli программа, например grep, это уже не
> прикладное ПО? Ведь с ней работают другие программы, а не только
> пользователь.

Потенциально - да. Если с grep работают программы, подходящие под другие определения системных, то grep тоже становится частью системы. Уязвимость в grep в таком случае опасна, т.к. может повлечь более серьёзные последствия, нежели текст "Segmentation fault" у пользователя в консольке.

>> C smtpd работает не только пользователь, с ним программы работают, в том
>> числе на других компьютерах - по сети. Все сетевые серверы, все
>> suid-программы или программы, использующие всякие разные capabilities или имеющие прямой
>> доступ к устройствам или драйверам устройств считаются системными. Программы, скачивающие
>> ПО и проверяющие цифровые подписи у этого ПО, тоже можно считать
>> системными. Компиляторы, компоновщики, загрузчики - тоже системное ПО, т.к. им собирают
>> всё вышеозначенное - не хорошо будет, если в неуязвимые программы компилятор
>> добавит закладки.
> Да, богато у тебя в голове намешано. Однострочник на перле или рубине,
> слушающий порт, уже системное ПО,

Да, потому как уязвимость в этом однострочнике помогает получить локальный доступ к системе. Эта уязвимость уже будет касаться не только того чела, который написал и запустил это чудо на компьютере, но и всех пользователей этого и других компьютеров. Спам, например, никто получать не желает.

> поставил программе suid бит и магически
> из прикладной сделал ее системной,

Друг мой любезный, для чего же по твоему существует suid бит, кроме того, как получить привилегии администратора системы? Прикладным программам не нужно, например, менять пароль пользователя root в файле /etc/shadows. На минутку - любая программа с suid битом обладает таким правом. Это точно прикладная программа?

> wget/curl/browser/любая_другая_качалка и md5sum тоже
> системными заделались.

Если используются для скачивания и установки пакетов в систему - да. Представь - пакет скачивается из репозитория, который защищён SSL-сертификатом. Программа, не корректно проверяющая сертификат (будь то wget или curl) позволяет подсунуть ей другой сайт с другими пакетами и PGP-ключами. Пакетный менеджер верит качалке и устанавливает поддельный PGP-ключ. md5sum при проверке поддельного пакета может сказать что всё ОК, даже если результат не совпал с контрольным. Вот уже не один пользователь под угрозой, а все пользователи всей системы. Или даже все пользователи большого количества систем, использующих скомпрометированный репозиторий.

> Ну и странно, что ты архиваторы и текстовые редакторы
> в системные не записал, а вдруг они тоже закладки сделают(про то,
> как закладки в твоем мозгу связаны с делением на системное и
> прикладное ПО, даже знать не хочу).

Кстати, уязвимость в tar или в разжималке (gunzip/bunzip2/...) тоже может поспособствовать компрометации системы. Тоже в результате не один пользователь может пострадать, а большое количество.


"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено www2 , 05-Окт-15 17:12 
> Клиника - это писать системные вещь на языке предназначенном для прикладного ПО.

Что за новости? Расскажи-ка тогда, на каком таком языке пишутся системные вещи, если не на Си? Посмеяться хочу.


"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено Аноним , 05-Окт-15 17:31 
Rust через лет 5.

"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено Аноним , 05-Окт-15 20:09 
Не взлетит.

"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено Аноним , 05-Окт-15 20:18 
Не у всех глаза сияют: переход с асма на си тоже не гладко шел.

"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено Аноним , 05-Окт-15 20:24 
Не будет никакого перехода.


"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено Аноним , 06-Окт-15 02:27 
Вы еще предложите перейти с чистокровного Си на Обжектси...

"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено fox_mulder , 06-Окт-15 13:05 
который только для маков

"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено Аноним , 08-Окт-15 01:32 
> который только для маков

Который уже всё, т.к. Swift...


"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено www2 , 08-Окт-15 19:08 
> Rust через лет 5.

Ну ты понимаешь, что ты меня повеселил?


"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено клоун , 05-Окт-15 18:27 
На любом. В Линуксе принят Си только потому, что Торвальдс не любит (не осилил) С++. МС пишет на С/С++ со времён Windows 95 OSR2.

Стоит напомнить, что язык Си был создан на базе языка Би, затем был создан язык Ди. И все они создавались компанией для внутренних нужд с целью упрощения программирования конкретных задач.


"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено Аноним , 05-Окт-15 20:11 
> МС пишет на С/С++ со времён Windows 95 OSR2.

Это очень, очень, (очень) плохая рекомендация.


"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено st17 , 08-Окт-15 23:39 
www2,

Пара примеров,
"Представлена операционная система Redox, написанная на языке Rust"
http://www.opennet.dev/opennews/art.shtml?num=43105

Оберон
https://ru.wikipedia.org/wiki/Оберон_(язык_программирования)

Что уж-там смеёмся!


"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено www2 , 05-Окт-15 17:04 
> Непонятно зачем они в 2015 году пишут достаточно сложную прожку на СИ.
> Взяли бы сипипи! (пишу как жабист, понимающий, что жаба на данную
> задачу не подходит). Но на СИ писать - это просто клиника.

Ты, жабист, верно думаешь, что сипипи поддерживает уборку мусора, контроль выхода индекса за пределы массива и всякие ништяки типа работы со строками? Нет, братан, сипипи - это тот же си, только в профиль.

Си - небольшой, по нему уже есть обширная практика хождения по граблям. Опытный разработчик знает все грабли и пишет, обходя грабли. Опытным разработчиком на сипипи стать гораздо сложнее, т.к. язык сложнее, граблей больше - не по всем ещё прошлись, не все грабли в голове программиста умещаются.


"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено Crazy Alex , 05-Окт-15 19:46 
Ты плюсы вообще видел?

std::string
std::vector
auto iter = v.begin()


"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено www2 , 08-Окт-15 19:21 
> Ты плюсы вообще видел?
> std::string
> std::vector
> auto iter = v.begin()

Уборка мусора - это вот это вот?

Class * a = new Class;
...
delete a;

Контроль выхода за пределы индекса массива - это вот это вот?

Class * a = new Class;
Class b = a[1];

Какая кодировка - стандартная в C++? ASCII? UTF-8? В какой кодировке этот ваш std::string работает?


"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено st17 , 08-Окт-15 23:21 
> Непонятно зачем они в 2015 году пишут достаточно сложную прожку на СИ.
> Взяли бы сипипи! (пишу как жабист, понимающий, что жаба на данную
> задачу не подходит). Но на СИ писать - это просто клиника.

Классический Анонимус, чем в данном контексте С отличаетася от C++?

"Но на СИ писать - это просто клиника."
Повторите ли вы эти слова инженерам программы работавшим на марсоходом Curiosity?
https://en.wikipedia.org/wiki/Mars_Science_Laboratory



"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено Нимано , 05-Окт-15 13:36 
> Интересно, что разработчики OpenBSD отказались поменять на сайте заявление о наличии только двух удалённо эксплуатируемых уязвимостях в базовой поставке OpenBSD за всю историю существования проекта.

Вообще-то это "классика":
http://www.coresecurity.com/content/open-bsd-advisorie
> 2007-02-20: First notification sent by Core.
> 2007-02-20: Acknowledgement of first notification received from the OpenBSD team.
> 2007-02-21: Core sends draft advisory and proof of concept code that demonstrates remote kernel panic.
> 2007-02-26: OpenBSD team develops a fix and commits it to the HEAD branch of source tree.
> 2007-02-26: OpenBSD team communicates that the issue is specific to OpenBSD. OpenBSD no longer uses the term "vulnerability" when referring to bugs that lead to a remote denial of service attack , as opposed to bugs that lead to remote control of vulnerable systems to avoid oversimplifying ("pablumfication") the use of the term.
> 2007-02-28: OpenBSD team indicates that the bug results in corruption of mbuf chains and that only IPv6 code uses that mbuf code, there is no user data in the mbuf header fields that become corrupted and it would be surprising to be able to run arbitrary code using a bug so deep in the mbuf code. The bug simply leads to corruption of the mbuf chain.

...
> 2007-03-05: Core develops proof of concept code that demonstrates remote code execution in the kernel context by exploiting the mbuf overflow.
> 2007-03-05: OpenBSD team notified of PoC availability.
> 2007-03-07: OpenBSD team commits fix to OpenBSD 4.0 and 3.9 source tree branches and releases a "reliability fix" notice on the project's website.
> 2007-03-08: Core sends final draft advisory to OpenBSD requesting comments and official vendor fix/patch information.
> 2007-03-09: OpenBSD team changes notice on the project's website to "security fix" and indicates that Core's advisory should reflect the requirement of IPv6 connectivity for a successful attack from outside of the local network.

Короче, такой цирк там уже давно.
Но, судя по комментариям, подход вполне действенный.


"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено клоун , 05-Окт-15 18:23 
Этот "цирк" называется маркетингом.

Достаточно написать где-нибудь, что "мы считаем сбоями только случаи, по которым доказанные финансовые потери одного клиента составили не менее 1 млн.$" и можно писать, что у тебя за всё время было лишь 3 сбоя.

Аналогичным образом действует FSF, который переопределил понятие "свобода".


"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено Аноним , 08-Окт-15 01:34 
Как ни странно, соглашусь.

"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено Аноним , 15-Окт-15 10:48 
Угу, свобода по FSF это жизнь в ограничениях.

"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено Kodir , 05-Окт-15 14:21 
"локальное переполнение буфера" Шёл 21 век...
Всё ещё находятся "не слишком умные" товарищи, пишущие на C/C++?? При том обилии языков и главное - безопасных платформ (.NET, Java) просто стыдно читать про такие "уязвимости" - это бестолковость, а не уязвимость!

"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено клоун , 05-Окт-15 14:33 
Ну были бы у ошибок другие названия - что кардинально это бы изменило? Причина ошибок не в ЯП, а в ошибках, допускаемых людьми.

"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено Аноним , 05-Окт-15 14:33 
> пишущие на C/C++??

Пишущие на C. На C, запомни это - не надо мешать эти языки в одну кучу ибо общего у них только синтаксис и легаси, а на C++ можно и очень просто писать безопасный код.

А вот .net/java не только не безопасней, но ещё намного тормозней.


"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено fox_mulder , 06-Окт-15 13:08 
> А вот .net/java не только не безопасней, но ещё намного тормозней.

расскажешь, чем java не безопасней си?


"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено Andrey Mitrofanov , 06-Окт-15 13:48 
>> А вот .net/java не только не безопасней, но ещё намного тормозней.
> расскажешь, чем java не безопасней си?

В Си нет дырявой VM.  Очевидно.


"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено www2 , 05-Окт-15 17:08 
> "локальное переполнение буфера" Шёл 21 век...
> Всё ещё находятся "не слишком умные" товарищи, пишущие на C/C++?? При том
> обилии языков и главное - безопасных платформ (.NET, Java) просто стыдно
> читать про такие "уязвимости" - это бестолковость, а не уязвимость!

Человек из 21 века, расскажи ка нам про уязвимости в JVM и дотнете? Конечно, на этих платформах дураки от чего-то застрахованы, т.к. их квалификация хуже разработчиков JVM и дотнета, но для умных людей - это прямая дорога к уязвимостям. Какой бы надёжный код они не написали, а уязвимости в виртуальной машине все их усилия сведут на нет.


"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено клоун , 05-Окт-15 18:19 
Ещё один клоун...

Ты исходишь из собственной непогрешимости, списывая ошибки на платформу и других людей.

Непогрешимых людей нет. Косячат все. Одни говорят прямо, других тычут в какую-нибудь никчёмную строку ТЗ, переводят стрелки, кричат, или ведут себя так, словно их на горячую сковородку посадили. Что интересно, они себя ведут так даже когда наказания не последует. Уверовали в самих себя. В крайних формах они себя (иногда в окружении других людей, иногда нет) даже на рабочий стол ставят.


"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено www2 , 08-Окт-15 19:26 
> Ещё один клоун...
> Ты исходишь из собственной непогрешимости, списывая ошибки на платформу и других людей.
> Непогрешимых людей нет. Косячат все. Одни говорят прямо, других тычут в какую-нибудь
> никчёмную строку ТЗ, переводят стрелки, кричат, или ведут себя так, словно
> их на горячую сковородку посадили. Что интересно, они себя ведут так
> даже когда наказания не последует. Уверовали в самих себя. В крайних
> формах они себя (иногда в окружении других людей, иногда нет) даже
> на рабочий стол ставят.

Я не оспариваю тезис, что есть непогрешимые люди, которые никогда не допускают ошибок (хотя, может быть Кнут?) Я оспариваю, что одним лишь выбором "правильного" языка можно внезапно избавиться от всех ошибок, как думают некоторые:

>"локальное переполнение буфера" Шёл 21 век...
>Всё ещё находятся "не слишком умные" товарищи, пишущие на C/C++?? При том обилии языков и
>главное - безопасных платформ (.NET, Java) просто стыдно читать про такие "уязвимости" -
>это бестолковость, а не уязвимость!

Я за то, чтобы люди всегда думали своей головой, а не надеялись на волшебные средства, которые якобы защитят от всех ошибок.


"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено st17 , 09-Окт-15 00:13 
www2,
"Я оспариваю, что одним лишь выбором
"правильного" языка можно внезапно избавиться от всех ошибок, как думают некоторые"

В этой части согласен с вами, но стоит ли игнорировать возможность избавиться от некоторых?



"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено Аноним , 08-Окт-15 01:36 
Давайте поговорим об ошибках в ядрах ОС и железе. Ошибки в VM и рядом не валялись.

"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено st17 , 09-Окт-15 00:03 
> "локальное переполнение буфера" Шёл 21 век...
> Всё ещё находятся "не слишком умные" товарищи, пишущие на C/C++??

http://www.opennet.dev/openforum/vsluhforumID3/104987.html#69


"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено Аноним , 05-Окт-15 21:30 
пошла их пиар компания далеко и на долго.

"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено Аноним , 08-Окт-15 01:39 
> компания

Компания – это общество/фирма/организация/группа людей.
Кампания – это чреда действий/мероприятий с общей целью.

// Grammar Nazi


"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено б.б. , 06-Окт-15 03:26 
В самом OpenBSD эту проблему эксплуатировать реально? Или она затрагивает только "портовые версии"?

"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено Wladmis , 06-Окт-15 03:51 
> В самом OpenBSD эту проблему эксплуатировать реально?

Уже нет:

http://ftp.openbsd.org/pub/OpenBSD/patches/5.7/common/017_sm...


"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено б.б. , 06-Окт-15 09:29 
Патч из cvs у меня накачен (на 5.8 -stable, как я понимаю, 5.8 -release так и выйдет с этой уязвимостью). Просто у нас столько техник по устранению подобных уязвимостей, что интересно вообще, может ли она работать в практических условиях.

"В развиваемом проектом OpenBSD SMTP-сервере OpenSMTPD выявле..."
Отправлено Wladmis , 06-Окт-15 13:36 
> Патч из cvs у меня накачен (на 5.8 -stable, как я понимаю,
> 5.8 -release так и выйдет с этой уязвимостью).

Верно. Нужно или на 5.8 тоже накатывать патчи, или собирать 5.8-stable.

> Просто у нас
> столько техник по устранению подобных уязвимостей, что интересно вообще, может ли
> она работать в практических условиях.

Вопрос практики, но ProPolice и остальные техники не панацея, так что не исключено.