В консольном оконном менеджере (мультиплексоре терминалов) GNU screen, предоставляющем многооконный интерфейс в консоли, выявлено  5 уязвимостей. Наиболее опасная проблема  (CVE-2025-23395) позволяет получить права root в системе. Исправление выключено в состав сегодняшнего выпуска screen 5.0.1...

Подробнее: https://www.opennet.dev/opennews/art.shtml?num=63226

• Уязвимость в GNU screen, позволяющая выполнить код с правами...,Витюшка, 23:52 , 12-Май-25
  • Уязвимость в GNU screen, позволяющая выполнить код с правами...,Аноним, 23:59 , 12-Май-25
    • Уязвимость в GNU screen, позволяющая выполнить код с правами...,НяшМяш, 00:17 , 13-Май-25
      • Уязвимость в GNU screen, позволяющая выполнить код с правами...,Нуину, 00:48 , 13-Май-25
        • Уязвимость в GNU screen, позволяющая выполнить код с правами...,Rev, 02:14 , 13-Май-25
        • Уязвимость в GNU screen, позволяющая выполнить код с правами...,Аноним, 08:10 , 13-Май-25
        • Уязвимость в GNU screen, позволяющая выполнить код с правами...,Аноним, 11:11 , 13-Май-25
      • Уязвимость в GNU screen, позволяющая выполнить код с правами...,Нуину, 01:18 , 13-Май-25
        • Уязвимость в GNU screen, позволяющая выполнить код с правами...,Аноним, 09:21 , 13-Май-25
          • Уязвимость в GNU screen, позволяющая выполнить код с правами...,Аноним, 10:01 , 13-Май-25
      • Уязвимость в GNU screen, позволяющая выполнить код с правами...,_kp, 01:53 , 13-Май-25
        • Уязвимость в GNU screen, позволяющая выполнить код с правами...,анонимммм, 07:17 , 13-Май-25
      • Уязвимость в GNU screen, позволяющая выполнить код с правами...,12yoexpert, 02:30 , 13-Май-25
        • Уязвимость в GNU screen, позволяющая выполнить код с правами...,Аноним, 02:43 , 13-Май-25
        • Уязвимость в GNU screen, позволяющая выполнить код с правами...,Аноним, 03:48 , 13-Май-25
      • Уязвимость в GNU screen, позволяющая выполнить код с правами...,Оно ним, 03:00 , 13-Май-25
      • Уязвимость в GNU screen, позволяющая выполнить код с правами...,Аноним, 06:26 , 13-Май-25
        • Уязвимость в GNU screen, позволяющая выполнить код с правами...,anonymous, 08:23 , 13-Май-25
      • Уязвимость в GNU screen, позволяющая выполнить код с правами...,Аноним, 08:32 , 13-Май-25
        • Уязвимость в GNU screen, позволяющая выполнить код с правами...,12yoexpert, 10:51 , 13-Май-25
      • Уязвимость в GNU screen, позволяющая выполнить код с правами...,YetAnotherOnanym, 09:36 , 13-Май-25
        • Уязвимость в GNU screen, позволяющая выполнить код с правами...,Аноним, 10:48 , 13-Май-25
          • Уязвимость в GNU screen, позволяющая выполнить код с правами...,12yoexpert, 10:53 , 13-Май-25
    • Уязвимость в GNU screen, позволяющая выполнить код с правами...,Аноним, 00:30 , 13-Май-25
      • Уязвимость в GNU screen, позволяющая выполнить код с правами...,Аноним, 01:50 , 13-Май-25
      • Уязвимость в GNU screen, позволяющая выполнить код с правами...,_kp, 02:00 , 13-Май-25
        • Уязвимость в GNU screen, позволяющая выполнить код с правами...,Аноним, 03:27 , 13-Май-25
      • Уязвимость в GNU screen, позволяющая выполнить код с правами...,Аноним, 03:55 , 13-Май-25
    • Уязвимость в GNU screen, позволяющая выполнить код с правами...,Соль земли, 10:20 , 13-Май-25
• Уязвимость в GNU screen, позволяющая выполнить код с правами...,Аноним, 00:30 , 13-Май-25
  • Уязвимость в GNU screen, позволяющая выполнить код с правами...,Аноним, 01:01 , 13-Май-25
  • Уязвимость в GNU screen, позволяющая выполнить код с правами...,Аноним, 01:39 , 13-Май-25
    • Уязвимость в GNU screen, позволяющая выполнить код с правами...,Аноним, 01:41 , 13-Май-25
    • Уязвимость в GNU screen, позволяющая выполнить код с правами...,Аноним, 08:42 , 13-Май-25
  • Уязвимость в GNU screen, позволяющая выполнить код с правами...,Аноним, 03:56 , 13-Май-25
• Уязвимость в GNU screen, позволяющая выполнить код с правами...,крокодил мимо.., 01:01 , 13-Май-25
• Уязвимость в GNU screen, позволяющая выполнить код с правами...,sena, 01:04 , 13-Май-25
  • Уязвимость в GNU screen, позволяющая выполнить код с правами...,Нуину, 01:15 , 13-Май-25
    • Уязвимость в GNU screen, позволяющая выполнить код с правами...,sena, 01:25 , 13-Май-25
      • Уязвимость в GNU screen, позволяющая выполнить код с правами...,Нуину, 01:35 , 13-Май-25
        • Уязвимость в GNU screen, позволяющая выполнить код с правами...,_kp, 02:06 , 13-Май-25
          • Уязвимость в GNU screen, позволяющая выполнить код с правами...,Аноним, 05:39 , 13-Май-25
          • Уязвимость в GNU screen, позволяющая выполнить код с правами...,Карлос Сношайтилис, 09:59 , 13-Май-25
        • Уязвимость в GNU screen, позволяющая выполнить код с правами...,Карлос Сношайтилис, 10:21 , 13-Май-25
      • Уязвимость в GNU screen, позволяющая выполнить код с правами...,12yoexpert, 02:28 , 13-Май-25
        • Уязвимость в GNU screen, позволяющая выполнить код с правами...,Аноним, 03:57 , 13-Май-25
      • Уязвимость в GNU screen, позволяющая выполнить код с правами...,Аноним, 09:55 , 13-Май-25
        • Уязвимость в GNU screen, позволяющая выполнить код с правами...,sena, 10:54 , 13-Май-25
          • Уязвимость в GNU screen, позволяющая выполнить код с правами...,Аноним, 11:05 , 13-Май-25
            • Уязвимость в GNU screen, позволяющая выполнить код с правами...,sena, 11:19 , 13-Май-25
  • Уязвимость в GNU screen, позволяющая выполнить код с правами...,Аноним, 10:59 , 13-Май-25
• Уязвимость в GNU screen, позволяющая выполнить код с правами...,Krtek, 01:24 , 13-Май-25
• Уязвимость в GNU screen, позволяющая выполнить код с правами...,Аноним, 01:40 , 13-Май-25
• Уязвимость в GNU screen, позволяющая выполнить код с правами...,Аноним, 01:45 , 13-Май-25
  • Уязвимость в GNU screen, позволяющая выполнить код с правами...,Аноним, 04:07 , 13-Май-25
• Уязвимость в GNU screen, позволяющая выполнить код с правами...,Аноним, 03:01 , 13-Май-25
• Уязвимость в GNU screen, позволяющая выполнить код с правами...,Аноним, 06:09 , 13-Май-25
  • Уязвимость в GNU screen, позволяющая выполнить код с правами...,Аноним, 06:25 , 13-Май-25
  • Уязвимость в GNU screen, позволяющая выполнить код с правами...,Аноним, 06:29 , 13-Май-25
• Уязвимость в GNU screen, позволяющая выполнить код с правами...,Аноним, 06:28 , 13-Май-25
• Уязвимость в GNU screen, позволяющая выполнить код с правами...,Аноним, 08:35 , 13-Май-25
• Уязвимость в GNU screen, позволяющая выполнить код с правами...,name, 08:56 , 13-Май-25
  • Уязвимость в GNU screen, позволяющая выполнить код с правами...,Аноним, 10:15 , 13-Май-25
• Уязвимость в GNU screen, позволяющая выполнить код с правами...,Аноним, 09:21 , 13-Май-25
• Уязвимость в GNU screen, позволяющая выполнить код с правами...,Аноним, 09:48 , 13-Май-25
  • Уязвимость в GNU screen, позволяющая выполнить код с правами...,Аноним, 10:38 , 13-Май-25
• Уязвимость в GNU screen, позволяющая выполнить код с правами...,Соль земли, 10:10 , 13-Май-25
• Уязвимость в GNU screen, позволяющая выполнить код с правами...,Аноним, 11:01 , 13-Май-25

Некорректное использование функции strncpy()...

приводящее к аварийному завершению при выполнении специально оформленных команд.

Вы же вроде в расте как раз такое и любите - чуть что - сразу паника (аварийное завершение)

А вы в сяшечке всё так же любите игнорировать предыдущие 4 уязвимости, лишь бы растовиков попинать. Почитал описание функции strncpy и за голову схватился - словосочетание "behavior undefined" встречается аж 3 раза. Мы уж лучше в расте красиво навернёмся с подробным стектрейсом и ошибкой, ничего при этом не испортив, чем как сяшечники звучно оподливившись в шаровары.

> Мы уж лучше в расте красиво навернёмся с подробным стектрейсом и ошибкой

Никто не мешает написать в строки, которые хранят в себе длину и убрать все эти ошибки на корню.

Да-да, только никто этого не делает :(

> Никто не мешает написать в строки, которые хранят в себе длину и убрать все эти ошибки на корню

Убрать ошибку на корню - это юзать нормальный язык вместо С.

Но это ж надо уметь делать выводы из полувека наступаней на грабли...

широкая душа краев не видит

> Мы уж лучше в расте красиво навернёмся с подробным стектрейсом и ошибкой,

Ну, судя по тому, что никто не использует rustscreen или что-то подобное, похоже растовщики по прежнему наворачиваются с подробным стектрейсом и ошибкой.

>  ничего при этом не испортив

Да, сложно испортить код, которого нет.

Молодой человек не слышал про Zellij?

Не трать зря время. По расту методичка такая: на нём ничего не написано, а если что-то и написано, то это безоговорочно какая-то смешная или ненужная ерунда для пацанят на электроскутерах.

Так есть и другие способы работы со строками, даже не в C++, но и в С, и в том числе на микроконтроллерах.
А тащить бородатые "стандартные функции", которые на каждый чих надо обкладывать проверками, но на это  все равно где нибудь забьют, так себе стиль.

Стандартные строковые функции - идеальны. Делают ровно то, что заявляют. Если не хочется обкладывать код проверками, то эти проверки придётся интегрировать в сами функции, которые тем не менее придётся обкладывать проверками.

"Так себе стиль" - просто норма жизни. Без проверок нельзя.

у тебя уродский кот, вообще не смешной, стрёмный и скучный

ноль саморефлексии

КоКом тебе лещщща за котика!!

А из предыдущих четырёх раст бы защитил от одной - с состоянием гонки. А остальные точно так же и в расте были бы.

Behavior undefined, это нормально для системного языка программирования. Ненормально когда люди проектирующие язык программирования пытаются полностью устранить Behavior undefined.

Behavior undefined - это просто объективное явление, его невозможно полностью устранить. И наличие в языке behavior undefined, не делает язык автоматически плохим. Вам надо уметь гибко мыслить, шаблонное мышление, это плохо.

> Behavior undefined, это нормально для системного языка программирования

Ага. Допускаешь ошибку и у тебя удаляет все файлы из корня. Почему? Потому что поведение неопределено - компилятор что хочет, то и делает.

По-хорошему, следует признаться себе, что никаких «строк» (в нормальном понимании) в сишечке нет, и избегать библиотечных функций str* как огня.
Но — зачем напрягаться. Что дедам было хорошо, и нам сгодится.

или уроки учи, str* ты наш

> растовиков попинать

"А нас-то за що?"
Вы первые начали.

Начали что?
Наложили любителям дыряшек полные штаны CVE))?
Придумали недостандарт где даже два числа нельзя сложить без UB/УГ ?

Вот не надо на нас вешать всех собак))

вот в т.ч. из-за подобных комментов раст всегда и будет языком для клоунов и веб-синьоров

>> приводящее к аварийному завершению при выполнении специально оформленных команд.
>> Bad strncpy() Use Leads to Crashes when Sending Commands
> Вы же вроде в расте как раз такое и любите - чуть что - сразу паника (аварийное завершение)

Я расстрою очередного (к)експерта, но panic - это _контролируемое_ завершение программой самой себя, в случае непредвиденной (или осознанно проигнорированной погроммистом) ошибки-ситуации.

А не вот это вот любимое Настоящими Погроммистами "мы тут немного попортили память за пределами буфера, вследствии чего код далее делал незнамо что, пока не прилетел SIGABRT" ...

Дак ведь SIGABRT тоже на сишке написан (в ядре), что не нравится то?

> panic - это _контролируемое_ завершение..

Но не всегда уместное. А вне десктопа и совсем не уместное.

> немного попортили память за пределами буфера

тут не ручной перезапуск уместен, а замена ПО требуется.
Ну, можно же и на Си нормально работь со строками, без неандертальских функций и тупых строковых буферов. Ну, ладно, хотя бы  в коде не требующего сверхбыстродействия.

> А вне десктопа и совсем не уместное.

Ты всё перепутал. Это как раз на десктопе таким пугать пользователя нельзя. А на сервере я как раз хочу чтобы упало, а не тихонько неизвестно как то ли работало, то ли память портило. Как падения софта мониторить давно придумали и решили сотней разных способов. А вот как мониторить порчу памяти до сих пор не договорились.

Идея паники понятна, но аноним попался на незнании ОС ни Сижки: sukabrt это тебе он сегфоулт, он швыряется тоже по пурпоузу, как и эксепшен этот ваш панический. Если словил аборт это как раз самое контролируемое что ни на есть

Крашнуться, то есть срочно завершиться - это наилучшее поведение при непредусмотренной работе программы. Так ты быстрее всего поймёшь, что что-то не так.

>> нынешние сопровождающие GNU screen недостаточно хорошо ориентируются в кодовой базе проекта

Диды бы такого не допустили...

Больше кодеров с гпт!

> нынешние сопровождающие GNU screen недостаточно хорошо ориентируются в кодовой базе проекта

И на хрена было выпускать ветку screen 5.0? Не устраивает ветка 4.9 пишите свою новую на Rust или Go

На расте уже всё давно написано, GNU screen не нужен.

Напомним, screen - проект GNU. Негоже им переписывать на языке, фронтенд которого gccrs ещё не готов.

Диды допустили

просто оставлю это здесь..
https://undeadly.org/cgi?action=article;sid=20090712190402

> нынешние сопровождающие GNU screen недостаточно хорошо ориентируются в кодовой базе проекта

То есть диды написали тонны сишного кода в ГНУ/Линуксах и уходят, а сопровождать его вместо них некому.

> То есть диды написали тонны сишного кода в ГНУ/Линуксах и уходят

А где там в gnu screen тонна кода?

> а сопровождать его вместо них некому.

Получается некому, а те, кто могут, не хотят. Об этом яжфин говорил, что проблема есть в сопровождающих.

> Об этом яжфин говорил, что проблема есть в сопровождающих.

Тогда все эти мансы с растом обретают иной смысл - просто Торвальдс хочет привлечь к разработке молодёжь, а она в си не умеет и не хочет. Ну и скандал, борьба, революция, всё это тоже важно для привлечения молодёжи.

> Тогда все эти мансы с растом обретают иной смысл - просто Торвальдс хочет привлечь к разработке молодёжь, а она в си не умеет и не хочет. Ну и скандал, борьба, революция, всё это тоже важно для привлечения молодёжи.

Я думаю там замешаны конторы, у которых ставка на раст. У них профит простой: нужны дешевые разрабы.

> а она в си не умеет и не хочет.

Справедливости ради молодёжь много чего не умеет не хочет. А нет, умеют писать жручие и тормозные поделия на электроне.

Если проблемы не было, а в предпоследней версии появилась, то или молодежь самовыражалась, ведь нигде так часто, как в открытых проектах буфера не переполняются, отвечать то за писанину не надо, или даже сделано сознательно, рустофилами, для нагнетания вони о переполнении буферов.

> сделано сознательно, рустофилами, для нагнетания вони о переполнении буферов.

Растовики sroot сишникам в штаны?

> или даже сделано сознательно, рустофилами, для нагнетания вони о переполнении буферов

Сишники уже смирились с невозможностью писать нормальный код, но от инфантилизма так и не избавились: теперь виноваты растоманы!

Сюрреалистичненько

> Я думаю там замешаны конторы, у которых ставка на раст. У них профит простой: нужны дешевые разрабы.

Для дешёвых разрабов нужен низкой порог входа и превышение предложения над спросом. В расте ни того ни другого не наблюдается.
Скорее гошка, но даже там рынок не насыщен исчо.

меня больше тревожит, что некоторые "не умеют в русский язык"

Почем тебя это тревожет

> а она в си не умеет и не хочет

И совершенно правильно делает. Оно им надо, в кучах дедовского г… копаться?

>> а она в си не умеет и не хочет
> И совершенно правильно делает. Оно им надо, в кучах дедовского г… копаться?

Понять можно, простить - никогда. :)

Надо писать научный труд "отсутствие преемственности в айти". :)

На самом деле, если Торвальдс молодёжи не наберёт, то Линукс тихонечко умрёт, да и многие другие важные свободные проекты тоже.

> Понять можно, простить - никогда. :)

Деда ответ (с) )))

> Надо писать научный труд "отсутствие преемственности в айти". :)

Интересно, писал ли кто-то подобное в стиле "молодежь не хочет ухаживать за лошадками! им подавай эти новомодные автомобили!!!
А ведь лошадка это не бездушная железка, у нее есть характер, она умеет фыркать, кушать вкусняшки и пахнуть навозом!"

> На самом деле, если Торвальдс молодёжи не наберёт, то Линукс тихонечко умрёт,

Не умрет.
Есть корпорации у которых наемные рабочие, которые будут делать то, что им скажут.
Правда тогда в ядре код от "индивидуалов" будет вообще около нуля, а не процентов 10 как сейчас.

> да и многие другие важные свободные проекты тоже.

Если на них забили и они умерли - значит не настолько и важные.

> Есть корпорации у которых наемные рабочие, которые будут делать то, что им
> скажут.

Ты переоцениваешь возможности корпов, даже бабло не всемогуще. Если разрабов способных разобраться в сишечке не будет, то их не будет, сколько бабла не вливай.

Всё что корпы смогут сделать в этом случае - найти новый молодой проект с молодым условным Торвальдсом и вложиться в его поддержку.

Но я думаю старый Торвальдс смекнул что к чему и возможно он успеет омолодить состав, хотя и не факт.

> Если на них забили и они умерли - значит не настолько и
> важные.

Ну в принципе да, так и есть. Монолит не нужен.

> То есть диды написали тонны сишного кода в ГНУ/Линуксах

Угу.

> и уходят

чудовищная безответственность!

> а сопровождать его вместо них некому.

А ты бы хотел ковыряться в старых жигулях как дед на выходных?
Или лучше взять и заняться чем-то более интересным?

Я уже молчу что качество того кода мягко говоря отстойное, судя по кол-ву дыр и тяп-ляпов в стиле "мамой клянусь тут не будет переполнения".

>они так и не смогли подготовить исправления для всех уязвимостей

Всё, что нужно знать о GNU.

Zellij, tab-rs.

> сотрудникам SUSE пришлось подготовить некоторые патчи самостоятельно. По мнению проводивших аудит исследователей, нынешние сопровождающие GNU screen недостаточно хорошо ориентируются в кодовой базе проекта и не способны полностью разобраться в выявленных проблемах безопасности.

А нынешний сопровождающий — это alexander_naumov@opensuse.org ведь? Они там меж собой в suse договориться не могут даже?

Не суди строго: должно быть бро открыл олдскульную кодовую базу и у него глаза потекли, моментально окислился

Роллинг это быстрые фиксы с одной стороны и новые вулны с другой.

> только в ветке screen 5.0.0, которая поставляется в Fedora Linux, Arch Linux,
> NetBSD, OpenBSD и Alpine.

Спасибо этим господам что побегали для нас по минному полю и разминировали прямо его своими тушками :)

Им спасибо, а мы продолжим юзать tmux в роли терминал-мультиплексора

Ну в дебилиановском кале мамонта такого уж точно нет.

Вангую растаманы щас перепишут на Rscreen.

Как обычно, у проектов GNU код низкого качества. Ничего хорошего от этой конторки ждать нельзя.

Лучше пользоваться TMUX. У него фич больше, конфиг вменяемый. Сделано людьми для людей.

Врети - в BSD tmux вместо скрина! А GNU пора закопать на свалке истории как что-то нелепое и в лучших традициях неудавшееся.

Ну вот и сиди на своём tmux, а нам на GNU screen хорошо.

Коммунисты в комментариях хоронят GNU. Вот умора!

Как обычно гнутые, пока другие имеют и hdr и 4к, эти фиксят чио работало

В KDE уже есть HDR. Это просто луддиты, которые против прогресса.

В Debian без setuid/setgid. Но как же он тогда работает? Дебьяновская магия!

Про NetBSD какая-то ложь. В pkgsrc есть две версии: pkgsrc/misc/screen и pkgsrc/misc/screen4. Первая (без цифры в названии) это 5я версия, но ни одна из них не входит в состав базовой системы.