URL: https://www.opennet.dev/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 127454
[ Назад ]
Исходное сообщение
"Уязвимость в RubyGems.org, позволяющая подменить чужие пакеты"
Отправлено opennews , 09-Май-22 09:59 
В репозитории пакетов RubyGems.org выявлена критическая уязвимость (CVE-2022-29176), позволяющая без наличия должных полномочий подменить некоторые чужие пакеты в репозитории путём инициирования изъятия (yank) легитимного пакета и загрузки вместо него другого файла с тем же именем и номером версии...

Подробнее: https://www.opennet.dev/opennews/art.shtml?num=57155

Содержание
Сообщения в этом обсуждении
"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено Аноним , 09-Май-22 09:59 
Очередное доказательство превосходства ANSI C над скриптухой типа java, rust, ruby и подобными
"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено Онаним , 09-Май-22 10:01 
Да не, ну если к сям приделать такое же убожество вида "затяни покед с покедами автоматом" - будет то же самое. Тут не в язычках дело, а в аудитории.
"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено анонимоузе , 09-Май-22 10:21 
Дефис же, потому что "-". Тире "—".
"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено Аноним , 09-Май-22 21:40 
en-тире: –
em-тире: —
двойное em-тире: ⸺
тройное em-тире: ⸻

Учите TeX, лапти )

"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено Sergey , 09-Май-22 10:22 
Итерсно а как поможет фрозен если уже прилетел. Насколько я помню фрозен морозит автоматом то что уже прилитело.
"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено YetAnotherOnanym , 09-Май-22 16:41 
Предполагается, что это фича для тех, кто проводит хоть какую-то минимальную проверку стороннего кода. Нужные фичи есть, не тормозит, не глючит, не крашится, зловреда не выявлено - можно зафризить, залочить, прибить гвоздями и больше на проверки время не тратить.
"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено КО , 09-Май-22 10:35 
Продолжайте класть яйца в одну корзину
"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено Аноним , 09-Май-22 14:28 
> яйца в одну корзину

Ну почему в одну... есть же хруст.

"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено Аноним , 15-Май-22 15:15 
Хруст яиц необратим.
"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено Аноним , 09-Май-22 10:56 
Кстати, почему в питоне такого не находили до сих пор, или я пропустил? Существуют ли какие-то объективные причины?
"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено Онанистмус , 09-Май-22 14:31 
ИМХО такое было со всеми более менее популярными репозиториями пакетов. С PyPI тоже такое было. Если такого не было значит все еще впереди )
https://www.developer.com/languages/python-pypi-vulnerabilit...,on%20the%20PyPi%20code%20base.

"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено Аноним , 09-Май-22 11:36 
Зато Ruby - безопасный язык. Переходите с Си на Ruby.
"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено Аноним , 09-Май-22 11:52 
вот же, ну что вы прицепились к Си:)
интерпретатор вашего Ruby где-то на треть написан на Сях:)
"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено Аноним , 09-Май-22 11:59 
черное это белое . для зомбей  - си один из САМЫХ БЕЗОПАСНЫХ языков если кто не в курсе. например руст даже не упоминается в списке. из зомбоящика вам навязали что если обезьяне дать гранату то она еще и пол дома разрушит, а то что ее надо обучать и окультуривать нигде и никто не говорит, потому для обезьяны будут только спешные шляпы и сарафаны, и если она будет тянуться к технологиям - бить палкой и заставлять носить смешной сарафан.
"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено Аноним , 09-Май-22 12:09 
Если вы на сях пишете так же, как на русском, то за цивилизацию страшно.
"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено Fracta1L , 09-Май-22 12:14 
К счастью, в русском языке не принято жонглировать указателями, да и буфера переполнять любили только русские классики.
"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено Аноним , 09-Май-22 14:21 
> Если вы на сях пишете так же, как на русском, то за цивилизацию страшно.

На заметочку. Иногда вы вы..тесь грамацией перед людьми которые из стран где русский запрещен впринципе. Лично приходилось наблюдать понты кто во сколько лет убил своего первого русского. Фильтруйте свой помет товарищи. Подобными вы..нами вы настраиваете только против себя и это может закончиться очень и очень несмешно. Ведь процент реальных вражеских тролей обычно невелик, это ведь
все мы сами делаем.

"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено Аноним , 09-Май-22 17:08 
Кого настраивают, ботофермыили могилизированных?
"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено Аноним , 09-Май-22 21:09 
ЯННП
"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено Аноним , 09-Май-22 12:11 
увы, беда в том, что нет такой книги которая бы одновременно 1) учила "современному" языку Си, и 2) как безопасно писать на нем код: как обрабатывать ошибки, как тестировать и тд и тп 3) как писать многопоточные программы и всё что с этим связано.
по крайней мере я не знаю такую книгу, даже на английском:(
если кто-то знает, то поделитесь названием сего чуда:)
Все только могут с умным видом советовать книгу K&R:) которая увы не подходит по второму пункту! (про 3-й пункт я вообще молчу)
"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено Аноним , 09-Май-22 12:13 
Я это к тому, что а потом дико удивляются что в программах на Си столько дырок:) что же эти великие гуру не напишут книгу, о том как надо писать код на Си?) а то, только и могут что жаловаться!
"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено Аноним , 09-Май-22 13:22 
сколько еще книг разряда "вода мокрая и вот почему" нехватает ?
"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено Аноним , 09-Май-22 14:51 
ну вот очередной умник нарисовался! Вместо того чтобы предложить что-то конкреиное по делу (книгу в данном случае) - он тупо язвит!
"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено Аноним , 09-Май-22 15:51 
ты же не говоришь о своем уровне знаний.

ну навскидку дай ответ не думая на вопрос, в чем разница между:

char str[] = "string";
char *str = "string";
char *str = strdup("string");

дальше я скажу что дочитать

"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено Аноним , 09-Май-22 16:31 
Очевидно разница в том где будет произведено выделение памяти под строку "string".
"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено Аноним , 09-Май-22 16:34 
с таким ответом - начинать с доброго старого К&R и не выеп..ться на форумах про си
"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено Аноним , 09-Май-22 19:19 
хотите получить определенный ответ, потрудитесь сперва сформулировать вопрос должным образом!
"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено YetAnotherOnanym , 09-Май-22 16:59 
Оптимизатор: можете там отвечать как угодно, а разница будет такая, какую я сочту нужной.
"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено Аноним , 09-Май-22 17:07 
тоже самое, начинать с К&R
"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено YetAnotherOnanym , 09-Май-22 18:27 
> тоже самое, начинать с К&R

Доооо, гордый выпускничок, поучи меня.

"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено Аноним , 09-Май-22 18:34 
вопрос простейший. хак интервью со мной не пройдет
"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено Аноним , 09-Май-22 18:34 
Если ты не можешь определить разницу то как ты определишь нужную, монетку кинешь? Похоже у вас большие гуманитарные познания.
"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено Аноним , 09-Май-22 18:41 
Не подсказывай !!! ниже второй турик на оценку знаний, прям туда пиши раз понял всю банальность вопроса.
"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено Аноним , 09-Май-22 18:47 
> ты же не говоришь о своем уровне знаний.
> ну навскидку дай ответ не думая на вопрос, в чем разница между:
> char str[] = "string";
> char *str = "string";
> char *str = strdup("string");

В том, что у тебя во втором случае у тебя не-const указатель на литерал, попытка модификации которого - будет UB.

Отличный пример!
> дальше я скажу что дочитать

Для начала, сам начни с более-менее актуального стандарта.


"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено Аноним , 09-Май-22 19:04 
Какие сутра спьяну может быть стандарт :D пиши свой вопрос ниже, можно со стандартами , константы вижу знаешь.


"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено Аноним , 09-Май-22 21:22 
та я ваших керниганов с ритчами вертел .. а по факту кроме одного анона которому ничего не надо сходу не сказал что это константа. тест на знание, и я хорошо умею их проверять. да сложномуторно, если советуют именно КиР то явно просадка в базовых знаниях, надо просто взять и подтянуть их, а не огрызаться. никто не хочет вас унизить, темболее кругом аноны. лан, пойду щебенку раскидывать
"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено Аноним , 09-Май-22 15:55 
И еще задай мне вопрос по сям такой какой считаешь самым глубоким для себя.
"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено Аноним , 09-Май-22 19:04 
Ну вот вам типичный Сишный подводный камень!

assert(sizeof(int) == 4);  // предположим, что это утвержение гарантированно верно!

// а что на счет утверждений, указанные ниже, они верны?
// если нет, то какие не верны и почему?
assert((4294967295 - 4294967295) - 1 == -1);
assert((4294967295 - 4294967295) - 1 < 0);
assert(0xFFFFFFFF == 4294967295);
assert((0xFFFFFFFF - 0xFFFFFFFF) - 1 == -1);
assert((0xFFFFFFFF - 0xFFFFFFFF) - 1 < 0);

ПС: что касается вашего примера выше, лично я не понял вопрос:)
если вопрос был про stack, static и heap, то я в курсе что это такое:)

"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено Аноним , 09-Май-22 19:19 
> лично я не понял вопрос:)

банальные константы, ответ на которые даже мой парень знает, а он обычный курьер и сильно орнул с того что тут развели по поводу такого банального вопроса.

> а что на счет утверждений

странно что не указан конкретный процессор, ты же понимаешь что на некоторых будет по другому ? если да то и сам знаешь что читать или не читать.

"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено Аноним , 09-Май-22 19:42 
Лучше научитесь грамотно формулировать свои вопросы, чтобы вас понимали другие люди, а не только ваш парень:)))

ПС: раз уж вам надо уточнять и такое казалось бы очевидное условие, то подразумевается обычный x86-64 процессор!

"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено Аноним , 09-Май-22 20:56 
>>> банальные константы <<<

Кстати, мне вот просто любопытно:
Мне так и надо было ответить на ваш гениальный вопрос: банальные константы?:)
Может вы поясните, что вы подразумаете под этими "банальными константами"?
Давайте же, снизайдите до нас обычных смертных, и даруйте нам ответ на ваш столь грамотно сформулированный вопрос:) А то может вы сами не в курсе, что вы там написали:)))

"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено Аноним , 09-Май-22 21:05 

> Может вы поясните,

K&R - константы, все написано

"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено Аноним , 09-Май-22 21:12 
Всё с вами понятно:) Вы сами не в курсе о чем говорите:) Только язвите и всячески уходите от ответа:)))
Но чтобы окончательно убедиться, что грошь вам цена, будьте так любезны ответьте на мой вопрос выше! Я там специально для вас сделал необходимое уточнение!) Продемонстриуйте свои сакральные знания:))
"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено Аноним , 09-Май-22 21:33 
> Продемонстриуйте свои сакральные знания:))

да запросто - сидя на 64х битном процессоре, скопировал код задачки про 32х битные регистры и считаешь себя самым умным при этом даже не понимая как работает процессор ибо выглядит просто смешно и по детски. достаточно сакраментально ?

вообще речь шла о том что тут я проверяю и советую что читать тем у кого забомбило по поводу неинформативности. вот она информативность, полный интерактив который тупо слит в угоду детских травм некоторых анонов

"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено Аноним , 09-Май-22 21:42 
Я окончательно удостоверился, что вы вообще не разбираетесь в данном вопросе, если бы разбирались то без труда бы ответили на поставленный мной вопрос, поэтому разговор окончен!
"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено Аноним , 09-Май-22 21:39 
прошу прощения, не один - а два анона знали ответ.
"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено Аноним , 09-Май-22 14:48 
А где тогда такая книга для раста?
"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено Аноним , 09-Май-22 18:59 
> А где тогда такая книга для раста?

А где Воен Против Раста тут раст углядел?


"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено Анончик , 18-Май-22 03:30 
https://www.manning.com/books/modern-c
не совсем новая, но для современного подойдет.
"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено ip1982 , 09-Май-22 11:47 
RubyGerms
"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено Аноним , 09-Май-22 13:38 
конкурент у npm
"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено Смузихлёб , 09-Май-22 15:43 
> Ruby

Не ради холивара, а ради интереса. Сейчас кто-то использует этот язык для новых проектов? Или это (как java) уже давно исключительно поддержка legacy?

"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено Аноним , 09-Май-22 16:01 
ява легаси ? танегоните пожалуйста. ява это когда надо что-то больше хеловорлда. если хочется поспорить - поспорьте с китайским айти ;)
"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено Смузихлёб , 09-Май-22 18:35 
Много ты стартапов знаешь на java? И что там по вакансиям для джунов? А то сплошные миддлы да сеньоры с опытом 5+ лет, в отличии от того же питона или пэхэпэ, где берут вообще чуть ли не без знаний 😉 А ведь именно наличие джуновских вакансий говорит о том, что язык скорее жив, чем мёртв.
"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено Аноним , 09-Май-22 18:55 
Я больше про технологии и один из крутых "стартапов" как по мне запила группа али. А о том как делать бабки на "джунах" не надо мне рассказывать, эта схема умирает и к техническим тонкастям не имеет никакого отношения, ммм было круче в сто раз, какой там язык был ?
"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено Смузихлёб , 09-Май-22 19:13 
> Я больше про технологии

Какие? Что там с UTF8? 🤣

"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено Аноним , 09-Май-22 19:31 
ощущаю рождение шутки про иероглифы и кракозябры. проблемы кодировок, прохладный ветерок девяностых бррр
"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено Аноним , 09-Май-22 18:22 
Нет.
"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено Аноним , 10-Май-22 10:32 
NASA Langley Research Center использует Ruby для проведения моделирования.
"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено Аноним , 09-Май-22 18:23 
Ну как, использовать языки программирования без пакетных менеджеров, вендорить и замораживать зависимости всё еще немодно?
"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено Аноним , 09-Май-22 18:32 
Нет даже плюсовые проекты заставляют искать зависимости самому, а не кладут их рядом с собой.
"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено Аноним , 09-Май-22 18:56 
Это создает опасность, что репозиторий зависимости будет удален или заражен или взломан или недоступен из определенных мест или засужен\заблокирован. А когда дублируешь в своём проекте - создаешь зеркало. Но вендоринг должен быть правильный и позволять использовать системные зависимости вместо завендоренных, а также менять завендоренные зависимости будь то ручное изменение кода или смена версии. Главное - сломать жёсткую привязку, к хостингам зависимостей, к репозиториям пакетных менеджеров языка, к системе контроля версий - вообще ко всем вещам, которые могут сильно поменяться или сломаться со временем.

Ну и отдельно хотелось бы поругаться на языки с пакетными менеджерами с точки зрения разработки операционных систем, очень трудно прикостыливать языковые и подъязыковые пакетные менеджеры к своему системному

"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено Аноним , 10-Май-22 04:52 
Да, по тем же самым причинам следует отказаться от модели распространения линуксов, с их центральными репозиториями. Модель LFS получше будет.
"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено Аноним , 09-Май-22 18:36 
Ох бэкдоры посыпались...
"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено Аноним , 09-Май-22 19:02 
Сейчас как только видишь где-то крэйты - сразу обходишь стороной продукт.
"Уязвимость в RubyGems.org, позволяющая подменить чужие пакет..."
Отправлено Аноним , 10-Май-22 14:05 
Все эти пакетные менеджеры как общественный туалет: зайдя туда лучше ничего не трогать.