Продемонстрирована возможность создания рабочего эксплоита для уязвимости CVE-2025-21756, вызванной ошибкой в ядре Linux, приводящей к обращению к памяти после её освобождения. Проблема затрагивает реализацию сокетов с адресацией AF_VSOCK, предназначенных для сетевого взаимодействия приложений гостевых систем и хостов. Опубликованный эксплоит позволяет выполнить код с правами root на системах с ядром Linux 6.6.75 (для других версий требуется изменение эксплоита)...Подробнее: https://www.opennet.dev/opennews/art.shtml?num=63165
Красивое.
Debian 11 нужно уже выбросить. Все должны были обновится на Debian 12.
Как так, ей же ещё 4 кода не исполнилось? Вполне логично, что от релиза ожидают 5 лет поддержки. Крупный бизнес так и вовсе 10 лет считает за минимум, но дебиан, понятно, подкроватный уровень, и подобного никто не ждёт от него.
Хотя бы ради лычки wormbook
> Вполне логично, что от релиза ожидают 5 лет поддержки. Крупный бизнес так и вовсе 10 летАбсолютно не логично. Цифры притянуты известно откуда.
Стало интересно, и я поинтересовался у чатгпт, он, в свою очередь, сообщил, что windows -- 5 лет поддержки с 10 лет расширенной и коммерческие дистрибутивы линукса, такие как suse и rhel, и вовсе 10+ лет. В заключении пишет, что жизненный цикл системы в 5-10 лет -- норма для потребительского уровня и уровень предприятия поддержка более 10 лет. Так же, он подтвердил, что это норма для продуктов вроде z/os, aix, hp-ux, vxworks, qnx, solaris и oracle linux. Действительно, откуда я мог взять такие цифры, ведь, наверное, это не нормально и никто так не делает? Видимо, я ошибся.
> Стало интересно, и я поинтересовался у чатгпт,А можно было просто спросить у подъездных бабок - и им приятно пообщаться и достоверность примерно такая же.
Ну а где бы ещё я узнал, что у макос 3-4 года и у айос 4-5? А про различия в периодах поддержки и обновлений безопасности у вендоров андроид?
> Ну а где бы ещё я узнал, что у макос 3-4 года
> и у айос 4-5?Угу. А что такое поддержка и почему у ябла для восьмых ой-фонов (2017 год) до сих пор обновы для исправления уязвимостей выходят?
https://support.apple.com/en-asia/122346
> Released March 31, 2025
>
Там вроде для 4 какой-то сесурити фикс недавно выкатили. Но это было прямо исключение-исключение.
Это разве не фикс gps был?
Чатгпт - это просто статистическая выборка из интернета, в интернете эти сведения появляются из слов людей и официальных сайтов производителей. К тому же у него есть режим search, где есть все релевантные ссылки доступные для проверки. Но легче конечно же орать "ололо нийросити ни верую! Бохнакажит!" и бошку включать не надо, ага =)
> Чатгпт - это просто статистическая выборка из интернета, в интернете эти сведения
> появляются из слов людейНу да, не все из них являются бабками, но ... (зато "мы все так говорим, а значит это правда!").
> и официальных сайтов производителей.
> у него есть режим search, где есть все релевантные ссылки доступные
> для проверки.Ну да, открыть сразу единственный достоверный источник - это сложно, нужно сначала посношаться с чатгопотой ...
> Но легче конечно же орать "ололо нийросити ни верую!
> Бохнакажит!" и бошку включать не надо, ага =)Т.е. твое первое предложение - это набор вумных слов, которые ты слышал (но не понял). Яснопонятно.
Да даже далеко ходить не надо, здесь где-то любители Пня и Кора 2 Дупла тусуются. Это люди которые ненавидят Arch - чем софт более старый, тем для них лучше!!!
Обычный цикл обновления серверов в датацентре — от 3 до 5 лет. Отсюда и цифры, где-то раз в два цикла приходится обновлять платформу из-за драйверов устройств. Но это всё больше не актуально, бизнес переезжает в облака, а там и циклы другие, и с драйверами проблем нет, об этом у провайдера услуг голова болит.
Крупному бизнесу LTS мало, ему SLTS подавай.
Я бы от поддержки в 20 лет тоже бы не отказался, при условии, что современный софт всё это время будут собирать.
Это та поддержка, при которой в новой версии VS прячут глубоко в тартарары галочку совместимости с той самой вендой 10 летней давности?
Начиная с 8 вроде поддержка была всегда в порядке. Всё, что было до миграции на юникод и современные рантаймы было давно и неправда, и то тулчейн лет 15 как-то тянули. Там просто новые версии рантаймов в рамках релиза могут хотфиксы посвежее хотеть и это будет проблемой для необновлённых версий, точно так же далеко не весь софт запускался на ltsb уже через год после релиза. В любом случае, это отдельная забота.
Handbrake 0.9.9 не работает в современной "десятке", совместимость также недоступна..
> Handbrake 0.9.9 не работает в современной "десятке", совместимость также недоступна..Это исключительно плохая программа, но чем она собрана? Я подозреваю, что там mingw32. И то, что версия с поддержкой XP, как-то намекает на версию тулчейна. А гуйня на дотнет-шляпе? Что конкретно не работает? А если её собрать нормальным (менее забагованным) тулчейном?
> это исключительно плохая программаЭто исключительно хорошая программа для новичков, которые не хотят учить километровые маны для ffmpeg. Есть Avidemux, но она очень медленно работает с видео выше 1080p.
> что конкретно не работаетПосле установки нет ярлыка и даже рабочей папки в Program Files
Ну, значит, не установил. Или не нашёл куда. Распакуй 7z, там nsis запаковано.И, чтобы ты понимал, ffmpeg тоже шляпа c кучей багов. Нужно понимать, какие её компоненты использовать можно, а какие никуда не годятся. Новичкам нечего делать с видео, только запорят файлы. Да и зачем тебе этот недософт, если есть венда?
> этот недософтТо есть для конвертации 10-минутного ролика нужно обязательно использовать Adobe Premiere?
Л - Логика
А у тебя что, работа -- конвертировать ролики? Если нет, то занимайся своим делом. Тут вон даже кадры, у которых конвертация файлов фуллтайм работа, запарывают всё. К примеру, трекеры забиты поломанными файлами, где серый цвет на месте чёрного, битрейт максимально зажат, а конвертация x264 в 100 потоков (спасибо, не аппаратный кодер). А ведь, из таких же вот выросли, сделали себе сайт и генерируют мусор.
> серый цвет на месте черногоТы что, режиссёр? Если нет, то займись своим делом..
>> серый цвет на месте черного
> Ты что, режиссёр? Если нет, то займись своим делом..Причём тут режиссёры, если палитра убита бездарями? Исходный не переконвертированный файл будет в нормальном качестве. Это прямо явный симптом, что бездумно использовали ffmpeg. При конвертации в минимально профессиональном ПО, таких ошибок не будет.
Кстати, в ffmpeg обычно тоже можно получить нормальную картинку в таком случае, но это потребует досконального изучения как документации, так и причин таких ошибок. В силу архитектуры ffmpeg, многие вопросы не решаются автоматически и требуют ручного вмешательства. По этой же причине, когда adobe использует ffmpeg в своих продуктах, она может избегать подобного. Про фильтры лучше не вспоминать.
> минимально профессиональном ПОИ примеры есть?
Adobe Media Encoder попробуй.
Мало того, что он платный, так и скачать его с сайта в россии не представляется возможным..
Ubuntu 12 лет поддержки:
https://opennet.ru/61069-ubuntu
У Windows меньше:
https://en.wikipedia.org/wiki/List_of_Microsoft_Windows_vers...
Хотя для XP заплатки до 2019 выпускали.
> Хотя для XP заплатки до 2019 выпускали.Это скорее исключение. И их добрая воля.
Яббло тоже относительно недавно выкатывало фикс для девайсов, для которых даже секурити апдейты закончились пару лет до. Потому что уязвимость была настолько опасная. Хотя не обязаны были.
И это исключение совершенно случайно совпало с моментом, когда Линукс почти дорос до десктопа и хорошо работал на слабых пк, на которых современная на тот момент виста/7 еле ворочалась. Сейчас, конечно, Линукс поправили, на старых пк он уже не так быстр, так что длительной поддержки винды не стоит ожидать.
> с моментом, когда Линукс почти дорос до десктопаА когда это было? Почему мне никто не сказал?? Я бы порадовался.
> хорошо работал на слабых пк,
И что там хорошо работало? Слабые пк браузер не тянут.
А как печатную машинку использовать можно с натяжкой, совместимость с msoffice как была отстойной, так и осталась.
В начале десятых браузеры ещё не жрали гигабайт на вкладку. А при росте доли рынка и либреофис (или может что-то ещё) подтянули бы до соответствующего уровня.
>на которых современная на тот момент виста/7 еле ворочаласьВиста вполне себе нормально работала на 1 Гб и одноядерном процессоре. Было это в середине нулевых. Всё что было позже, было куда более производительным. Как это у вас вяжется с выпуском патчей до 2019 мне непонятно, там уже десятка в ходу была.
В нэтбуках всего гиг был, а средней руки машинки с двумя были. До 2019 выходили апдэйты для версии для терминалов.
> Ubuntu 12 лет поддержки:
> https://opennet.ru/61069-ubuntuВ каком месте оно 12 лет? Весь интернет пишет, что 10 и только для опеннетных экспертов-дискуссионеров аргументом в дискуссии является ссылка на материал таких экспертов.
https://www.opennet.dev/opennews/art.shtml?num=60848
даже у 14.04 12 лет поддержки - она 10-чку у домашников переживет :)))
Крупный бизнес просто не может в нормальную разработку
Ну, судя по разным КоКам и прочим ценностям в тех конторах - это и по их мнению тоже важная вещь. Или анон в очередной раз хочет лично давать советы руководству красношапки ?)
>Как так, ей же ещё 4 кода не исполнилось? Вполне логично, что от релиза ожидают 5 лет поддержки. Крупный бизнес так и вовсе 10 лет считает за минимумДолгая поддержка нужна ленивым админам, а не крупному бизнесу. Один раз поставил, настроил, а потом как можно дольше не трогать сервак.
Ты правда считаешь, что дело в лени? Нет, дело в бюрократии. Миграция на новый релиз фактически равноценна миграции на другую ОС, со всеми сопутствующими тратами и рисками.
А теперь представь, что Debian 12 дропнул поддержку железа (он вроде не дропнул, но ведь могло-бы быть, что и дропнул). Но какие-нибудь уроды начали бы вякать "старое железо - сиди на старом софте, его у тебя никто не отнимает".
Какая чудовищная случайность...
Вот к чему приводит наслоение абстракций и вложенные функции.
Вложенные функции это не вызовы одних функций из других. Вложенные ф. - это определение одной ф. внутри другой. Не знаю, приняли ли это в стандарты C, но в расширениях -std=gnu это есть.
Я так понял: некорректность удаления сокета обусловлена тем что метаданные (учёт ссылок) изменены, а сам объект еще нет? Если так то это фейл. Или это гонка? Или это отсутствие подтверждения от контрагента?
Или это не протокольное поведение контрагента?
Я не знаю, почему mc скрыл мой предыдущий комментарий о том, что перекос в сторону развития Linux и игнорирование альтернатив ему, всё ещё UNIX-like, таких как BSD, illumos бывший Opensolaris, путем пропихивания: systemd, Wayland отгораживает Linux, делает, не столько его, а прикладной софт не совместимым, вредит нам всем.
Введение этих линуксизмов для изоляции и вводилось, борьба с конкурентами.
>и игнорирование альтернатив ему, всё ещё UNIX-like, таких как BSD, illumos бывший OpensolarisА это действительно альтернативы или просто сррогаты, выглядящие идентично натуральному?
>путем пропихивания: systemd, WaylandВы можете без проблем портировать новую технологию хоть в freebsd https://docs.freebsd.org/en/books/handbook/wayland/
хоть в haiku https://www.opennet.dev/opennews/art.shtml?num=58013
>делает, не столько его, а прикладной софт не совместимымНу дак портируйте новые технологии к себе, и будет вам счастье. Конечно, в отсталую однопользовательскую haiku внедрить systemd будет целой проблемой, но это проблема не systemd, это проблема haiku.
>вредит нам всемНам, это кому? Зачем ориентироваться на отсталые системы, сознательно ограничивая себя в возможностях? Если отказаться от революционных технологий, то GNU/Linux будет очередной маргинальной системой, ненужной никому, кроме нескольких любителей. Будет что-то вроде MS-DOS-а, отдельные ценители будут его ставить, чтобы поиграть, но на этом - всё.
FreeBSD появилась, если мне не изменяет память, раньше этого вашего линукса, illumos это буквально open source UNIX.
1. Могу ли я?
Нет не могу, в силу того что не обладаю квалификацией. Требовать квалификации от анонима что бы портировал Wayland и systemd в одно лицо, при условии что разработкой занимается многие.
Усложнение линукса это и есть часть заговора.
я ничего не говорил про HaikuOS.
Я говорил про illumos, открытый UNIX.
Я не уверен что портирование Wayland, systemd на FreeBSD, illumos это правильно.
У меня есть предположение что без systemd, Wayland на том же illumos не будут работать ни ваше кеды не гном. Т.е. уже идет об-линускяция всего прикладного софта.
>FreeBSD появилась, если мне не изменяет память, раньше этого вашего линуксаЭто хорошо для скучного урока истории
>Могу ли я? Нет не могуА я разве утверждал, что именно вы должны это сделать? Я привёл ссылки на некие, уже реализованные порты. Я не знаю, насколько они эквивалентны линуксовым, но знаю, что процесс уже запущен, и как минимум wayland не является чисто linux технологией
>Усложнение линукса это и есть часть заговора.Микроволновка гораздо сложнее кирпичной печи, и уж тем более сложнее костра. А всё по тому, что и задача для микроволновки стоит куда более сложная. В микроволновку можно поставить что-то разогреть, и она отключится самостоятельно, а костёр либо заставит еду пригореть, либо погаснет, либо вначале еда пригорит, а потом и костёр погаснет.
>Я не уверен что портирование Wayland, systemd на FreeBSD, illumos это правильно.И чем это неправильно? Нет, вы конечно можете рубить дрова каменным топором, но бензопилой пользоваться всё же удобнее
>У меня есть предположение что без systemd, Wayland на том же illumos не будут работать ни ваше кеды не гномНу что поделать, если на музейных технологиях ни кеды не гном не запустятся? Вы предлагаете перейти на каменные топоры лишь по причине того, что некие малоиспользуемые системы ничего другого не осилили?
>Т.е. уже идет об-линускяция всего прикладного софта.Нет. Вы путаете причину и следствие. Это не вейленд пропихивает линукс технологии, строго наоборот, вейленд пишут под линукс из-за популярности линукса. Если бы миникс был популярнее линукса, то вейлед писали бы под миникс. И только потом, после того как какая-то технология раскручена, она начинает раскручивать линукс ещё больше. Взять тот же докер, в начале в ядер линукса реализовали нужный функционал, а потом, после этого докер стал стандартом, теперь даже у самых прожжёных виндузятников будет крутится виртуалка с докером, ибо стандарт
>Если бы миникс был популярнее линукса,Про Minix3 сказал ты, я про него не говорил. Minix3 популярнее linux
>Про Minix3 сказал тыПодставь вместо миникса фрибсд, получится всё равно тоже самое
>Minix3 популярнее linuxХа ха. А софт под миникс есть?
>нужный функционал, а потом, после этого докер стал стандартом, тФункцианал никогда не станет стандартом.
Откуда вообще инфа, что в RHEL пакетах эта дыра исправлена?
На сайте редхата ничего такого нет.
В RHEL 9 ядро 5.14, может, там этой дыры и не было.
в их багзиле написано, что уязвимы все версии, начиная RHEL 7.
и никакой информации о оиправлениях я не вижу.
>но остаётся неисправленной в Debian 11Тем временем, в каждой теме про дебиан найдётся кто-то, кто будет рассказывать какая у дебиана замечательная поддержка, и что дебианщики самостоятельно патчи делают. Тут не просто дырень в php, который может не стоять на сервере вообще, а в ядре.
> какая у дебиана замечательная поддержка, и что дебианщики самостоятельно патчи делают.Ну так они и делают. Нужно просто немножко подождать.
Сейчас мейнтейнер почешится, подумает и как-то обновит.
Хотя может лучше завтра. Или даже послезавтра.
А то вдруг фикс поломает стабильность. Ведь в дебе главное стабильность!
Debian 11 основан на LTS ветке ядра - 5.10, которая, на минуточку, не EOL. Так что идите пинайте Грега, или кто там щас его в апстриме поддерживает, это вообще не дело дебиановских мейнтейнеров лезть патчить код ядра
Если закрыли старый бекдор, значит написали новый.