URL: https://www.opennet.dev/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 131498
[ Назад ]
Исходное сообщение
"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено opennews , 12-Сен-23 22:45 
Доступен корректирующий выпуск Firefox 117.0.1, в котором устранена уязвимость и исправлено несколько проблем. Отчёт с информацией об уязвимости пока не открывается, но  внесённые в код исправления свидетельствуют о том, что  устранена  критическая уязвимость (CVE-2023-4863) в библиотеке libwebp, позволяющая выполнить код при обработке специально оформленных изображений в формате WebP...

Подробнее: https://www.opennet.dev/opennews/art.shtml?num=59747

Содержание
Сообщения в этом обсуждении
"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено Максим Чуркашенко , 12-Сен-23 22:51 
> WebP

Умные люди давно говорят что оно не нужно когда есть православный gif с web-safe палитрой. Я вообще свои проекты пишу чтобы они работали как минимум в IE4 и Dillo. Железо устаревает не потому что ему много лет, а потому что под него никто не пишет стимулируя рыночек.

"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено Аноним , 12-Сен-23 22:58 
Конечно не нужно, когда есть JXL и AVIF.
"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено Аноним , 13-Сен-23 00:04 
Емнип в jpegxl виртуальная машина с житом встроена. Прекрасная вещь, особенно по сравнению с avif, но я бы не спешил внедрять в веб.
"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено Аноним , 13-Сен-23 01:14 
>в jpegxl виртуальная машина с житом встроена

Они там совсем кукухой полетели, в формат изображений ЯП встраивать? Как будто последствия PostScript уже расхлебали.

"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено Таумиэль , 14-Сен-23 19:03 
М-да, один сморозил полный бред, а другие в него поверили
"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено timur.davletshin , 13-Сен-23 08:10 
https://jpegxl.info/art/2021-04_jon.html - конечно, а вы думали, как он будет такие изображения сжимать в 42 байта? Да, там своеобразная специализированная виртуальная машина.
"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено ОШИБКА Отсутствуют данные в поле Name , 13-Сен-23 23:39 
Как хорошо, что у меня ничего из этого не открывается, а вместо картинок квадратики. Надеюсь так будет и дальше.
"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено пох. , 14-Сен-23 20:48 
не знаю КАКИЕ там изображения, но следом за другим васяном рад что у меня там квадратики.

"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено timur.davletshin , 13-Сен-23 08:12 
https://addons.mozilla.org/ru/firefox/addon/jxl/ - тем, кто любит матрёшки. Реализация формата на WASM'е (просто в стабильных ветках FF ещё нет поддержки JPEG XL).
"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено Lost Inside , 13-Сен-23 09:17 
Сарказм засчитан.
На самом деле, для вебдева WebP - хороший вариант (небольшой размер файлов, альфа-канал, давно поддерживается браузерами). Еще бы нативную поддержку формата джумлами да вордпрессами...
"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено пох. , 12-Сен-23 23:05 
прости конечно, но прон плохо смотрится в твоем gif с веб-сейф палитрой.
Приходится смотреть в unsafe. Правда, на мой взгляд, jpeg хватило бы и на следующие лет пятьдесять.
"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено Ivan_83 , 12-Сен-23 23:13 
avif же, там и аппаратные энкодеры/декодеры + оно же видосики будет обрабатывать, сплошные профиты от переиспользования кода и аппаратных блоков.
"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено Аноним , 12-Сен-23 23:37 
> аппаратные энкодеры/декодеры

Осталось обозначить на каком железе оно работает.

"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено Аноним , 12-Сен-23 23:40 
> jpeg хватило бы и на следующие лет пятьдесять

Смотря для чего. Если это фото с градиентами, то да. А вот для плоских рисунков и чертежей ничего лучше png не придумали. Gif всё же устарел и для графики вообще не подходит. Веб-сейф палитра это для совсем древних ISA карточек с 256 цветами.

"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено ryoken , 13-Сен-23 09:50 
>>Веб-сейф палитра это для совсем древних ISA карточек с 256 цветами.

В общем-то под ISA-шину были карты и с гораздо большим числом цветов.

"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено Аноним , 13-Сен-23 18:38 
Были в сферическом вакууме. Примерно как и сейчас эльбрусы.
"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено Аноним , 15-Сен-23 16:26 
Дешёвые компьютеры в первой половине 1990-х не имели ни PCI, ни VLB, только ISA. Но уже в 1992 году комплектовались преимущественно SVGA, голые MCGA и VGA стали редкостью. 256 килобайт видеопамяти — это, конечно, немного, но смотреть JPEG-и в 16 миллионах цветов хватало. Простые алгоритмы снижения разрешения почему-то давали более приятный результат, чем простые алгоритмы снижения цветов.
"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено timur.davletshin , 13-Сен-23 08:15 
При увеличении пропускных и вычислительных способностей всё это желание ужать на 25 процентов за счёт четырёхкратного роста затрат на сжатие действительно не особо нужно. Вон YouTube даже на самых новых кодеках не умеет сжимать морскую гладь без мыла и видимых key frame'ов.
"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено пох. , 13-Сен-23 12:14 
> При увеличении пропускных и вычислительных способностей всё это желание ужать на 25 процентов
> за счёт четырёхкратного роста затрат на сжатие действительно не особо нужно.

это тебе не нужно, а тому кто отчитался про 25 процентов - премию дали (не дали, конечно, просто не уволят сразу после пефоманс ревью). Про затраты на сжатие он не отчитывался, поэтому все гладко.

> Вон YouTube даже на самых новых кодеках не умеет сжимать морскую гладь без мыла и видимых key frame'ов.

пипл хавает? С подводной лодки никуда не делся? Люк заварен снаружи и изнутри? Ну и ок. Подумаешь, мыло им.

"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено timur.davletshin , 13-Сен-23 12:30 
> пипл хавает? С подводной лодки никуда не делся? Люк заварен снаружи и
> изнутри? Ну и ок. Подумаешь, мыло им.

Если один и тот же ролик залить и на ВК, и на Тытрубу, то на первом заметно выше качество. У Дзена... Дзен не осилил видеоплеера дизайн пока ещё. Но уже вроде дизайнера даже ищут, кореш вакансию сбрасывал.

"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено Аноним , 13-Сен-23 15:58 
На YouTube раньше качество было вполне нормальным, просто со временем он стал всё сильнее занижать битрейт. Уже можно смело на пару пунктов выше качество выбирать, на экране 720 ютубное 1440 будет в самый раз
"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено Аноним , 13-Сен-23 18:36 
> раньше качество было вполне нормальным

Я тоже так думал, пока не вспомнил, что раньше у меня экран был меньше :)

"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено пох. , 14-Сен-23 07:00 
у меня экран тот же самый что десять лет назад, более того - я почти никогда не открываю окно ютуба в его полный размер. Подтверждаю - низкие рейты, вполне соответствующие реальному в точках разрешению картинок, последние год-два смотреть невозможно. Там где раньше хватало 360 за глаза и можно было не морщась смотреть 240, теперь приходится мучать систему как минимум 720

"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено timur.davletshin , 14-Сен-23 08:28 
Тытруб всегда отличался паршивым качеством. Для качественных был Вимео, но он так увлёкся леворадикальной повесткой из своих Stuff picks, что совсем забил на качество кода. У них даже нормальной подгрузки ленты роликов в мобильном приложении не реализовано и серверная сторона регулярно отсыпает пригоршню ошибок.
"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено iPony129412 , 13-Сен-23 08:26 
Это в смысле рисованный что-ли? ,😐
"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено Минона , 13-Сен-23 10:20 
Прон и в оттенках серого смотрится нормально.
При условии что хотя бы раз в живую видел в цвете.

ЗЫ:
Просмотр прона приводит к снижению потенции. (С) Учёные.
Завязывай с этим.

"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено Аноним , 13-Сен-23 10:57 
>(С) Учёные.

Британские?

"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено Аноним , 12-Сен-23 23:17 
> Я вообще свои проекты пишу чтобы они работали как минимум в IE4 и Dillo

И какой процент пользователей юзает ваши проекты под этими браузерами?

"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено Максим Чуркашенко , 12-Сен-23 23:33 
С десяток преданных пользователей точно есть, которые заходят ежедневно. Это всяко лучше пары сотен залётных ноунеймов. Проекты эти некомерческие, т.к. считаю максимально аморальным зарабатывать деньги в интернете не работая физически. Можете обливать грязью, мне всё равно.
"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено Анониммм , 12-Сен-23 23:37 
а чего тебя обливать?
если ты можешь позволить "благотворительность" в виде поддержки бесплатных проектов - это круто
если можно не использовать фичи новых браузеров, тоже отлично

к сожалению так получается далеко не всегда :(

"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено Аноним , 13-Сен-23 07:49 
Так на бесплатном сайте можно смело класть на UI/UX и верстать таблицами под Мозаик.
"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено Минона , 13-Сен-23 10:23 
Даже в ХР был уже 6-й ИЕ.
98-й что ли пользуются твои преданные пользователи?
"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено Аноним , 13-Сен-23 15:35 
Э-э тащимта шестой IE был в Win98. Причём не под закат платформы, долгое время там использовался.
Ну товарищ щутит, думаю.
"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено Аноним , 13-Сен-23 18:42 
> 98-й что ли пользуются твои преданные пользователи?

Есть и на Win95 и на Mac OS 9 с Motorola 68k.

"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено Аноним , 13-Сен-23 18:45 
P.S. Пардон, System 7.
"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено Аноним , 13-Сен-23 00:03 
А умные люди реально умные, или им просто так нравится думать?
"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено Аноним , 13-Сен-23 00:17 
Ну это лишнее. А вот позаботится о работоспособности в современных консольных браузерах вроде elinks было бы неплохо (хипстерский оппеннет через одно место работает, и припоминаю что в старом links намного хуже было). Без картинок, понятное дело, потому что картинки полезными быть не могут.
"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено Аноним , 13-Сен-23 01:16 
А недоумные люди уже на своих сайтах всё в WebP перекодировали.
"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено Анониммм , 12-Сен-23 23:03 
хм... libwebp...
96.4% процента дыряшки

не удивительно, что такие эксплойты

"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено Ivan_83 , 12-Сен-23 23:16 
А кто с гнилью вообще линковатся будет и зачем?
"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено Анонин , 12-Сен-23 23:26 
о, опять у Ванюши во всем раст виноват, а не дыряшка))

на librsvg как-то перешли и не жалуются
хотя не, видел пару нытиков, но они как-то посливались сразу после предложения взять старую сишную либу и до ее ума довести

"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено Ivan_83 , 13-Сен-23 22:53 
Я не перешёл, давно уже у меня стоит настройка чтобы ставить оригинальную версию без гнили.
"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено Анониммм , 12-Сен-23 23:27 
эээ..?
ты чего так горишь? неужели ты в libwebp коммитил, что тебя так задело?

может народ поймет, что критические либы (которые везде от браузера до телефона) нельзя писать на языках дырявых
уже Heartbleed был, но никого ничему не научил /_-
новости про получение рута - почти каждую неделю

"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено Аноним , 13-Сен-23 07:51 
Дырявые языки существуют только в твоём больном воображении.
"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено Анониммм , 13-Сен-23 13:12 
Т.е. сишечки не существует?)
"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено Аноним , 13-Сен-23 15:59 
Тихо, не говори ему об куче undefined behavior, заботливо прописанных в сишечном стандарте - пусть живет в своем уютном мирке.
"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено Аноним , 13-Сен-23 16:03 
С такой дырой в голове трудно тебе приходится. Попробуй съездить в Европу там таких любят.
"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено Аноним , 13-Сен-23 16:32 
А кроме детских эмоций есть что сказать?

> С такой дырой в голове
> в Европу

Извини, но "дыра в голове" сейчас актульна именно на родине. Удачи тебе.

"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено Ivan_83 , 13-Сен-23 22:55 
Тут либо мы пишем на понятном всем и доступном везде и для всего языке, либо фонаты гинили пишут на своей абракадабре и потом сами в этом копаются.
Мне ближе первый вариант, потому что ошибки в таком случае сможет поправить сильно больше людей и на большем числе разных платформ оно будет работать.
"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено анон , 13-Сен-23 21:22 
Пока все эксплойты не устранят, то на раст не перепишут, да?
"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено Ivan_83 , 12-Сен-23 23:12 
> Исправлена ошибка, приводившая к неверному определению часового пояса на некоторых сайтах.

В HomeAssistant на графиках так же показывает не правильно, вычитая таймзону.

"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено Аноним , 13-Сен-23 01:09 
image.webp.enabled ну и image.avif.enabled и image.jxl.enabled . Ффтопку эти новомодные графические форматы. Как гуглаг на раст своё говно перепишет - вот тогда пусть и приходит.
"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено Аноним , 13-Сен-23 04:44 
Спасибо за инфу, выключил каку.
"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено пох. , 13-Сен-23 12:10 
> image.webp.enabled ну и image.avif.enabled и image.jxl.enabled

"выколю себе глазики чтоб греха не видеть!"

"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено Аноним , 13-Сен-23 14:22 
Да, лучше без октариновых глазков, зато и василиски не страшны.
"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено Аноним , 13-Сен-23 01:11 
1. Уязвимость в libwebp, а обновляют почему-то пакет Firefoxа вместо обновления libwebp.
2. А как же хвалёный RLBox?
3. А как же хвалёные обработчики форматов, скомпилированные в WebAssembly?
"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено ИмяХ , 13-Сен-23 10:26 
Так ведь обновили libwebp а в фаирфоксе просто добавили циферку в версии.
"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено Аноним , 13-Сен-23 11:37 
Обновлением libwebp в дистие мейнтейнеры дистра должны заниматься.
"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено пох. , 13-Сен-23 12:11 
> 1. Уязвимость в libwebp, а обновляют почему-то пакет Firefoxа вместо обновления libwebp.

потому что собрать фуфлофокс так чтоб он слинковался с системным вместо принесенного в клювике - мишн не то чтоб прям импосибиль, но зае6но. И толку ноль - завтра еще что-то где-то поломают.

"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено Аноним , 13-Сен-23 14:25 
А как же позиция некоторых дистров, что говно без правильного разбиения по пакетам они не берут, и что лучше без софта, чем с софтом, нарушающим принципы, что позволяет и другим пакетам наглеть, что прямой путь к замене нативных пакетов на снапы и докеры? Или всё, эти дистры прогнулись и их уже можно закапывать?
"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено пох. , 13-Сен-23 15:41 
ну один  дерьмиан помнится выеживался-выеживался, аж был вынужден переименовать браузер чтоб не засудили за неправильные скрипты сборки. А потом как обычно...

"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено Анонимусс , 13-Сен-23 13:14 
Потому что проще слинковать статически и обновлять сам фаерфокс, чем надеяться на всех "ментейнеров" васянодистров и прочих поделий, которые могу неделями не закрывать 0-day.
"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено Аноним , 13-Сен-23 14:27 
Может просто не пользоваться дистрами, где мейнтейнеры не закрывают зеродеи? А то они и в ядре могут не закрыть.
"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено ИмяХ , 13-Сен-23 21:28 
Выкинуть андроид и не пользоваться им - это очень просто.
"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено penetrator , 13-Сен-23 02:06 
А а скрытие куки банеров перестали в гугле работать, когда ютуб например открываешь. Раньше было очень удобно.
"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено iPony129412 , 13-Сен-23 08:24 
В безопасные десктопные линуксы через неделю прилетит? 🙂
"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено пох. , 13-Сен-23 12:16 
> В безопасные десктопные линуксы через неделю прилетит? 🙂

в твоем единственноверном уже прилетело, шнап собирают с пылу с жару.


"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено iPony129412 , 13-Сен-23 12:43 
ну вот полдня не было
За это время могли уже отпеннетрировать.
"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено пох. , 13-Сен-23 15:42 
> ну вот полдня не было
> За это время могли уже отпеннетрировать.

пол-дня уж мог бы и подр-ть на поней в безопасной веб палитре в гиф.

"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено Хм , 15-Сен-23 11:27 
opennetрировать
"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено КО , 14-Сен-23 11:29 
Зачем, можешь хоть каждый день пересобирать, лол
"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено Аноним , 13-Сен-23 15:36 
Забавно, кстати, что-то из психологии: в первом абзаце WebP, и всё обсуждение свелось к WebP. Штирлиц неправ был.
"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено C00l_ni66a , 13-Сен-23 19:22 
Просто никто дальше первого параграфа не стал читать.
"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено Аноним , 13-Сен-23 20:08 
И ни один просмотрщик в линуксе не может в WebP, это просто позор.
"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено ИмяХ , 13-Сен-23 21:29 
С каких это пор браузер перестал быть просмотрщиком?
"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено iPony129412 , 14-Сен-23 06:56 
С чего бы это?

Ubuntu 22.10 из коробки может, как и GNOME примерно с того же времени.
Но да поздновато. В Windows и macOS вроде давно было уже.

"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено Ананий , 14-Сен-23 09:38 
feh в моей уютной бсдишечке кажет, думаю и остальные могут, просто я их не использую.
Значит и в линуксах должён.
"Обновление Firefox 117.0.1 с устранением уязвимости в WebP"
Отправлено Аноним , 15-Сен-23 16:27 
Лучше бы исправления libwebp выложили.