URL: https://www.opennet.dev/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 133868
[ Назад ]
Исходное сообщение
"Проект XZ опубликовал результат аудита коммитов и первое обновление после выявления бэкдора"
Отправлено opennews , 30-Май-24 15:10 
Лассе Коллин (Lasse Collin), старый сопровождающий проекта xz, в 2022 году передавший права новому сопровождающему Jia Tan, деятельность которого привела к внедрению бэкдора, опубликовал корректирующие  выпуски пакета XZ Utils 5.2.13, 5.4.7 и 5.6.2, в которых удалены компоненты бэкдора и прочие подозрительные изменения, добавленные в результате вредоносной деятельности прошлого сопровождающего...

Подробнее: https://www.opennet.dev/opennews/art.shtml?num=61275

Содержание
Сообщения в этом обсуждении
"Проект XZ опубликовал результат аудита коммитов и первое обн..."
Отправлено Аноним , 30-Май-24 15:10 
А вы смеялись про "интернет по паспорту".
"Проект XZ опубликовал результат аудита коммитов и первое обн..."
Отправлено Аноним , 30-Май-24 15:11 
Может старый сопровождающий тоже наделал бекдоров до 2022 года
"Проект XZ опубликовал результат аудита коммитов и первое обн..."
Отправлено Аноним , 31-Май-24 18:36 
> Может старый сопровождающий тоже наделал бекдоров до 2022 года

Виндой пользуйся, там даже и гадать не надо - заведомо известно что бэкдоры есть. И не надо греть мозг всякими глупостями :)

"Проект XZ опубликовал результат аудита коммитов и первое обн..."
Отправлено Аноним , 30-Май-24 15:14 
> 5.2.13, 5.4.7 и 5.6.2

Нафига столько релизов? Это не мегасложный проект, где есть смысл в нескольких релизных ветках. А здесь-то зачем?

"Проект XZ опубликовал результат аудита коммитов и первое обн..."
Отправлено НяшМяш , 30-Май-24 15:24 
Для всяких любителей окамен^Wстабильного - там страшно с 5.2 сразу на 5.4 переезжать.
"Проект XZ опубликовал результат аудита коммитов и первое обн..."
Отправлено Аноним , 30-Май-24 15:28 
>с 5.2 сразу на 5.4 переезжать

Зачем? Про "бритву Оккама" знаешь?

"Проект XZ опубликовал результат аудита коммитов и первое обн..."
Отправлено Аноним , 30-Май-24 16:07 
А ты слышал про окно Овертона?
"Проект XZ опубликовал результат аудита коммитов и первое обн..."
Отправлено Аноним , 30-Май-24 16:28 
Чуть что, сразу приплетают окно Овертона
"Проект XZ опубликовал результат аудита коммитов и первое обн..."
Отправлено Аноним , 30-Май-24 16:56 
Что характерно это и есть окно Овертона.
"Проект XZ опубликовал результат аудита коммитов и первое обн..."
Отправлено Аноним , 30-Май-24 17:59 
В приоткрытое окно Овертона показалась бритва Оккама
"Проект XZ опубликовал результат аудита коммитов и первое обн..."
Отправлено Аноним , 30-Май-24 18:07 
> В приоткрытое окно Овертона показалась бритва Оккама

О, это еще приемлемо.
А то мало чего еще Оккам в окно показывать может.

"Проект XZ опубликовал результат аудита коммитов и первое обн..."
Отправлено Аноним , 31-Май-24 00:10 
Интернет умники забывают, что бритва Оккама применима для выбора из нескольких гипотез более простой. А не вообще для всего, включая выбор девушки, блюда на ужин и имени ребенку.
"Проект XZ опубликовал результат аудита коммитов и первое обн..."
Отправлено Аноним , 31-Май-24 09:13 
Не более простой , а наиболее подходящей? "Простой" субъективно..
"Проект XZ опубликовал результат аудита коммитов и первое обн..."
Отправлено Аноним , 31-Май-24 18:54 
> Интернет умники забывают, что бритва Оккама применима для выбора из нескольких гипотез
> более простой. А не вообще для всего, включая выбор девушки, блюда на ужин и имени ребенку.

Чего? Вполне, в смысле "Многообразие не следует предполагать без необходимости" вполне подходит.
Можно придумать "вот куплю я черешню, но там есть косточки. А если я подавлюсь? И никого рядом не будет! Ду ну нафиг, лучше пивка куплю"

Но многие забывают что бритва Окамма это презумпция и она только советует в каком порядке рассматривать гипотезы.
И если говорить о выборе девушки, то например порядок гипотез на факт "вася видел ее выходящую из мужского туалета" будет вначале "вася мог и ошибиться", потом "в женский была очень большая очередь, а приспичило вообще невтерпеж", а уже потом "у нее есть сюрприз, про который ты не знаешь".


"Проект XZ опубликовал результат аудита коммитов и первое обн..."
Отправлено noc101 , 31-Май-24 23:41 
Да и про Окно Овертона тоже самое. Везде применяют, где можно и нельзя.
"Проект XZ опубликовал результат аудита коммитов и первое обн..."
Отправлено Аноним , 30-Май-24 15:45 
>  изменений, добавленных с декабря 2022 года во время нахождения Jia Tan на посту сопровождающего

Тыщщи глаз смотрели не туда. Как обычно))

Вообще кажется что чел выполнил поставленную задачу и ему просто стало скучно. Вот он и решил "поднимать ставки", чтобы проверить какую дичь сможет проглотит опенсорс сообщество.
И в какой-то момент стало толсто даже для них.

"Проект XZ опубликовал результат аудита коммитов и первое обн..."
Отправлено Аноним , 30-Май-24 16:06 
На самом деле его звали Li Si Tsin. А так сколько уже можно эту тему мусолить ну внедрили и внедрили Трой. Можно подумать в первый раз. Софт должны писать корпарации. Билл Гейтс всё подробно изложил в своём письме 1976 года всем любителям открытого софта.
"Проект XZ опубликовал результат аудита коммитов и первое обн..."
Отправлено Аноним , 30-Май-24 16:14 
А вот по мнению БГ корпорации тебе вообще нифига не должны, читай EULA и плати за троянизацию и AI-майора прямо в облачке
"Проект XZ опубликовал результат аудита коммитов и первое обн..."
Отправлено Аноним , 30-Май-24 17:08 
Ну конечно. Если такой трой например всплывёт в госорганизации США. У троя будет и имя и фамилия и адрес проживания. А владельцам компании такие приколы не нужны.
"Проект XZ опубликовал результат аудита коммитов и первое обн..."
Отправлено Аноним , 30-Май-24 19:30 
> А владельцам компании такие приколы не нужны.

А кто их спрашивать-то будет?

"Проект XZ опубликовал результат аудита коммитов и первое обн..."
Отправлено Аноним , 31-Май-24 02:59 
Ничего не будет. Американцы не будут топить мелкософт. А адрес если и будет, то какого-то линейного малозначащего сотрудника или менеджера которого давно хотели убрать. Настоящих ЛПР никогда не уберут и всячески прикроют (ну и у тех наверняка папочка с гнусными делами иелкософта которые окажутся у журналистов при их увольнении).
"Проект XZ опубликовал результат аудита коммитов и первое обн..."
Отправлено ryoken , 30-Май-24 16:29 
>>выигрыш в производительности от него не существенный.

Несущественный.

"Проект XZ опубликовал результат аудита коммитов и первое обн..."
Отправлено Аноним , 30-Май-24 16:31 
Больше интересует вопрос, кто такой Jia Tan? Гитхаб как я понял расследование проводить не собирается.
"Проект XZ опубликовал результат аудита коммитов и первое обн..."
Отправлено Аноним , 30-Май-24 16:55 
> Больше интересует вопрос, кто такой Jia Tan? Гитхаб как я понял расследование проводить не собирается.

Хм, а гитхаб это правоохранительные органы?
У них вообще есть право что-то расследовать?

Это как просить владельца бара побыть детективом и найти чувака, которому ты сам по пьяни "ключи от квартиры, где деньги лежат" выдал.

А если он таки это сделает, не набегут ли белки истерички?
И не начнут ли визжать про приватность, слежку со стороны корпов, интернет по пасспорту и "что это за ресурс, где нельзя анонимный пуллреквест оставить!"?
Так что им проще удалить аккаунт нарушивший правила, и пусть малахольные сами разбираются.
Вы хотели анонимности - кушайте полной ложкой, не обляпайтесь.

"Проект XZ опубликовал результат аудита коммитов и первое обн..."
Отправлено Аноним , 30-Май-24 16:46 
Старый конь борозды не испортит.
"Проект XZ опубликовал результат аудита коммитов и первое обн..."
Отправлено birdie , 30-Май-24 18:10 
А можно удалить к х*рам XZ из Linux? Это безумие на основе LZMA на фиг больше не нужно:

https://lzip.nongnu.org/xz_inadequate.html

Есть канонический 7-zip, а для вменяемых есть ZSTD - сжимает чуть хуже, зато скорость распаковки на порядок выше.

"Проект XZ опубликовал результат аудита коммитов и первое обн..."
Отправлено Саркофандр , 30-Май-24 19:11 
Что интересно, в Арче zstd тянет xz как зависимость, а в Дебиане zstd тянет liblzma, который, как я понял, есть часть xz.
"Проект XZ опубликовал результат аудита коммитов и первое обн..."
Отправлено yet another anonymous , 30-Май-24 22:09 
zstd --- это wrapper над пачкой компрессоров.
"Проект XZ опубликовал результат аудита коммитов и первое обн..."
Отправлено OpenEcho , 31-Май-24 07:48 
> а для вменяемых есть ZSTD - сжимает чуть хуже

зато память жрет как взрослый

"Проект XZ опубликовал результат аудита коммитов и первое обн..."
Отправлено Аноним , 31-Май-24 10:17 
Вот тебе не нужно у себя и удаляй, а мне под бэкапы 0.7% дают гигабайты и пофиг мне сколько оно распаковывается
"Проект XZ опубликовал результат аудита коммитов и первое обн..."
Отправлено Аноним , 30-Май-24 22:17 
Я так и не понял кто плохиш - "старый" передал "новому", вредоносные изменения внес "прошлый". Но они оба "прошлые".