forum.opennet.ru

"Уязвимость в Glibc ld.so, позволяющая получить права root в системе"

Форум Разговоры, обсуждение новостей
Версия для распечатки	Пред. тема \| След. тема

Исходное сообщение

[ Отслеживать ]

Отдельный RSS теперь доступен для каждого обсуждения в форуме и каждого минипортала.

. "Уязвимость в Glibc ld.so, позволяющая получить права root в ..."	+1 +/–
Сообщение от Аноним (72), 04-Окт-23, 10:53
А разве в ядре есть обязательный стат. анализатор? Проверка которого была бы необходима для создания PR? Оно же все древнее как копролит мамонта, куда исправление можно отправить почтой (хорошо хоть не голубиной)). Видел проекты типа Continuous Kernel Integration (CKI), но насколько понимаю оно не обязательно. Ядру нужен какой-то "диктатор" на пол годика, чтобы заставить всех поставить линтер, стат. анализ и сделать их проверки обязательными)
Ответить \| Правка \| Наверх \| Cообщить модератору

Оглавление

Уязвимость в Glibc ld.so, позволяющая получить права root в системе, opennews, 04-Окт-23, 00:18 [смотреть все]

сишники не осилили str split sep , maxsplit 1 , Аноним, 04-Окт-23, 00:18 (1) //
- https docs gtk org glib func strsplit html, Вы забыли заполнить поле Name, 04-Окт-23, 01:20 (7) //
  - glib это не glibc, Аноня, 04-Окт-23, 02:29 (13)
- Да не просто Сишники, а те самые деды Эксперты, монстры Отцы-основатели , Аноня, 04-Окт-23, 02:27 (12) //
  - Деды хотя всё возможно - акселерацияА вам лишь бы , Аноним, 04-Окт-23, 06:37 (18)
  - Это он Не сильно на отца-основателя похож https sessionize com siddhesh-poyar, Аноним, 04-Окт-23, 06:39 (19) //
    - Волшебник б , Аноним, 04-Окт-23, 07:55 (31)
      - все честно написано Siddhesh Poyarekar is a toolchain hackerхакер - вот и слома, Аноним, 04-Окт-23, 12:20 (81)
        
        А разве не хакер Сломал линухи всей планете и глазом не моргнул Индусский кот , Аноним, 04-Окт-23, 16:20 (102)
      - Так он же индус , Аноним, 04-Окт-23, 13:57 (85)
    - Понаведут смуззеров в глибц , Аноним 80_уровня, 04-Окт-23, 08:09 (36)
      - Он не смуззер, он индус , Аноним, 04-Окт-23, 13:57 (86)
        
        Индус - это диагноз Каким выглядит мир, когда в голове одни танцы , 128557, 31-Янв-24, 16:14 (165)
  - Это не деды, а понабежавшие пионеры-двоечнеки , Аноним, 05-Окт-23, 18:52 (136)
- А ты не осилил написать glibc , Аноним, 04-Окт-23, 07:00 (22)
- Кажется это Python, а в С такого нету вот и неосилили, АнонПапка, 04-Окт-23, 08:00 (32)
- Действительно крайне нубская ошибка Было вроде в каких-то языках или парсерах, , Пряник, 04-Окт-23, 09:50 (58) //
  - а тут целое ядро и 2 года не могли заметить но ведь тысячи глаз , фнон, 04-Окт-23, 10:02 (62) //
    - И статические анализаторы кода Должны были ещё при коммите заметить сразу , Пряник, 04-Окт-23, 10:07 (64)
      - А разве в ядре есть обязательный стат анализатор Проверка которого была бы необ , Аноним, 04-Окт-23, 10:53 (72)
    - Какое еще ядро, лол - Какого цвета наш учебник - Какой предмет мы сдаем - Во в, Аноним, 04-Окт-23, 16:21 (103)
    - Как вариант - не заметили потому что отвернулись в сторону Я не фанат конспирол, Kuromi, 06-Окт-23, 17:12 (149)
- Как часто вижу подобные комментарии Но почему никто не написал ничего на другом, Аноним, 04-Окт-23, 18:27 (110)
- strstr, uis, 06-Окт-23, 12:19 (145)
Это же сколько раз они на одни и те же грабли наступили с переменными окружения , Аноним, 04-Окт-23, 00:19 (3) //
- Всё как завещали деды https web mit edu simsong www ugh pdfThe Unix concept c, Аноним, 04-Окт-23, 08:04 (34) //
  - AT T - та ещё корпорация зла Позлее гугла в свои времена , InuYasha, 05-Окт-23, 17:24 (135)
- ты понимаешь, что если сделать один раз нормально - то больше код трогать не при, фнон, 04-Окт-23, 09:27 (52)
- Вообще концепция suid напрягает , Пряник, 04-Окт-23, 09:51 (59) //
  - Ну отказаться от этой концепции видимо уже не получится Как вариант обмазать вс, Чи, 04-Окт-23, 11:31 (78) //
    - SELinux - лишнее звено , Аноним, 04-Окт-23, 13:58 (88)
    - Почему не отказаться Что из этого нельзя выкинуть А других гнилых бинарей у ме, Аноним, 04-Окт-23, 14:29 (91)
    - Получится, если будет политическая воля Более 20 лет шло балабольство о невозмо, Аноним, 04-Окт-23, 18:37 (111)
    - Эммм POSIX file capabilities , uis, 06-Окт-23, 12:24 (146)
- Причем каждый раз когда я пишу про SUID на этом форуме всегда найдется парочка д, Аноним, 04-Окт-23, 19:42 (115) //
  - Просто интересно, а если ли хоть какая-то система где все перечисленное реализов, Анонин, 04-Окт-23, 21:14 (117)
  - Осталось ответить на вопрос ну и вот нахрена это ХОТЬ КОМУ-НИБУДЬ чтоб это само, User, 04-Окт-23, 22:21 (119) //
    - Вопросы по всем перечисленным пунктам многократно поднимались в списках рассылки, Аноним, 05-Окт-23, 12:54 (129)
      - gt оверквотинг удален Ну, в общем я и говорю - примерно всем пох Или не пох , User, 05-Окт-23, 19:07 (137)
  - Получается Windows Но ведь она давно уже есть, зачем изобретать велосипед , Аноним, 04-Окт-23, 22:28 (120) //
    - Во-первых не просто Windows, а именно Windows NT Внутри Windows есть огромное ко, Аноним, 05-Окт-23, 12:18 (128)
      - Suid не обходит selinux , Аноним, 05-Окт-23, 13:05 (130)
        
        Он не обходит его на этапе работы с контекстом вызываемой утилиты, в том и тольк, Аноним, 05-Окт-23, 13:26 (131)
      - Жопslashes, case-нетерпимость, буквы устройств, ФС без DAC и стойкое желание всё, Аноним, 08-Окт-23, 21:13 (157)
        
        Нууу вы так говорите, будто в этом POSIX in our days есть хоть что-то хорошее, User, 10-Окт-23, 09:44 (159)
        
        Одна только унификация - на вес золота Много хорошего, за неимением лучшего , Аноним, 10-Окт-23, 10:04 (160)
        
        Ну вот кушайте posix acl, не обляпайтесь Ой, а он внезапно не часть POSIX У, User, 10-Окт-23, 10:14 (161)
  - Я в реальной жизни встречал баранов, которые выключили SELinux, понаставили ch, Kuromi, 06-Окт-23, 17:21 (150)
  - кмк, необходимо и достаточно внимательно аудировать код утилит, требующих 4000 , крокодил мимо.., 08-Окт-23, 18:53 (156)
Васян решил добавить самописный парсер строк , Аноним, 04-Окт-23, 00:49 (4) //
- Зато без всяких cargo , morphe, 04-Окт-23, 01:00 (6) //
  - И чего там в карго нету глибс на безопасТном , Аноним, 04-Окт-23, 07:01 (24)
  - Но Раст базируется на libc , мяя, 04-Окт-23, 18:42 (112) //
    - Но только в грезах и фантазиях Военов Супротив Раста man syscalls, Аноним, 04-Окт-23, 21:52 (118)
И почему я не удивлён А разве переменные окружения не должны очищаться при запу, Аноним, 04-Окт-23, 00:58 (5) //
- Очевидно нет, если переменная предполагается для чтения , bergentroll, 04-Окт-23, 07:47 (29) //
  - А есть какие-то иные переменные окружения , Аноним, 04-Окт-23, 18:50 (113)
Debian 11 тоже подвержен уязвимости из-за того, что патч из glibc-2 34 был бэкпо, Аноним, 04-Окт-23, 01:20 (8) //
- Ubuntu 22 04 - тоже была уязвима, апдейт выпущен, marten, 04-Окт-23, 01:42 (11)
- Пушто всякие дебунты это недодистрибутивы, багованые школоподелки В мире остало, СисадминА, 04-Окт-23, 07:00 (23) //
  - Alt очень хорош Ядро без нареканий собирают Завидую У меня норм только 4 19 , еизвестный, 04-Окт-23, 15:55 (100)
  - Slackware отличный , Аноним, 05-Окт-23, 19:23 (138)
Как же вы надоели Не уязвимость , а заранее заготовленный бекдор для спецслу, cheburnator9000, 04-Окт-23, 01:36 (9) //
- Срочно переписать на русифицированном Си https opennet ru 58745-vm, ДаНуНафиг, 04-Окт-23, 06:42 (20)
- Не рушь мир фанатиков безопастного , Аноним, 04-Окт-23, 07:02 (25)
Такого класса дыры нельзя публиковать до устранения , Tron is Whistling, 04-Окт-23, 01:40 (10) //
- Всё импортозамещение уже взломано , Аноним, 04-Окт-23, 07:04 (26) //
  - Зачем партнёры будут ломать своих агентов, внедрившиз бэкдур в госструктуры , Аноним, 04-Окт-23, 11:26 (77)
  - Американские сервера тоже , Neon, 04-Окт-23, 14:51 (94)
- Я вчера обнову на дебиан 12 поставил около 10-ти вечера, а новость опубликована , eugener, 04-Окт-23, 08:55 (43)
Сказать, что я в бешенстве - ничего не сказать За один месяц Remote webp, vpxLo, birdie, 04-Окт-23, 03:27 (14) //
- Зачем пользователям федоры секюр апдейты подождал неделю и новый релиз , WE, 04-Окт-23, 06:21 (16)
- make a sign, mos87, 04-Окт-23, 08:05 (35)
- Геройствования работы до 4 утра, мало того что это покрытие чьего-то про кола, э, Аноним, 04-Окт-23, 08:22 (40) //
  - В том-то и дело, что нет у него никакого лайфа , Аноним, 04-Окт-23, 19:42 (116)
- А зачем тебе возмущаться Это же лучшая ось написанная на божественном языке А н, Анонин, 04-Окт-23, 09:31 (53)
Как же это было предсказуемо если знаешь на каком языке библиотека написана , Аноним, 04-Окт-23, 05:36 (15) //
- Т е если в новости не написать на каком, то это автоматом станет для тебя непре, Аноним, 04-Окт-23, 07:39 (28) //
  - Да низкий уровень образования создаёт причудливые логические связи , Аноним, 04-Окт-23, 08:23 (41)
  - Дружище, если что-то писать на делфи, то с высокой степенью вероятности в коде б, Аноним, 04-Окт-23, 22:34 (121) //
    - Не совсем так Сам питон в минорных версиях ничего не ломает, это скорее из мира, inferrna, 12-Окт-23, 16:13 (162)
trollmode Включи IPv6 и спи спокойно , Аноним, 04-Окт-23, 06:33 (17)
Весь, ВЕСЬ код в dl-tunables c написан в стиле дедовское сишное буллшит-бинго ,, Аноним, 04-Окт-23, 06:50 (21) //
- Так ты это молодой, давай переписывай Критиковать каждый умеет , Аноним, 04-Окт-23, 08:12 (37) //
  - а что лучше критиковать или писать вот такой код , фнон, 04-Окт-23, 09:25 (49) //
    - В твой случае лучше молчать, Аноним, 04-Окт-23, 11:12 (76)
  - Одно другому не мешает , Пряник, 04-Окт-23, 09:57 (61)
- Деды на пенсии давно А в леггинсы дали молодые опеннет-балаболы, сами-то они бе, Аноним, 08-Окт-23, 21:26 (158)
Да что ж это такое, а Этому безобразию настанет когда-нибудь конец или нет , Аноним, 04-Окт-23, 07:18 (27)
На Эльбрусах не срабатывает , Аноним, 04-Окт-23, 08:13 (39) //
- А эти Эльбрусы сейчас с тобой в одной комнате, покажи где ты их трогал , Аноним, 04-Окт-23, 09:13 (45) //
  - и на столе есть и МЦСТ даёт доступ по ssh, погуглите, Аноним, 04-Окт-23, 10:42 (68) //
    - Сначала нужно, чтобы он появился в продаже по сравнимым с интелом и амд ценам По, An, 04-Окт-23, 18:00 (108)
      - Зачем Ты не нужен, сиди и жди халяву дальше , Аноним, 06-Окт-23, 18:03 (152)
        
        Ну ок Тогда смотрим на альтернативы x86_64, ARM, RISC-V А вы и дальше сидите в, An, 08-Окт-23, 16:36 (155)
- А какая версия Glibc там Небось, ещё 2 2x какая-то , Аноним, 04-Окт-23, 09:40 (56) //
  - yukari ls -l lib libc -rwxr-xr-x 1 root root 5265800 июн 7 21 24 lib libc, Аноним, 04-Окт-23, 10:43 (69) //
    - yukari lcc -vlcc 1 26 20 Jun--6-2023 e2k-v4-linuxThread model posixgcc vers, Аноним, 04-Окт-23, 10:44 (70)
Емайл автора патча внедрившего ошибку Email siddhesh AT redhat DOT com or , ыы, 04-Окт-23, 08:56 (44) //
- Засланый казачок , Вы забыли заполнить поле Name, 04-Окт-23, 11:52 (80)
Ахаха, ой не могу Это уже которая по счету за этот месяц Просто какой-то месяц , Анонин, 04-Окт-23, 09:19 (47) //
- Все они умеют вот как бы вы внедряли бэкдур так чтобы его не заметили , ыы, 04-Окт-23, 09:23 (48)
- Тоесть с апреля 2021 по октябрь 2023 все радетели за обновляемся скорее свежий , ыы, 04-Окт-23, 09:25 (50) //
  - ты конечно был бы прав, если бы не такие от подарки Например CVE-2021-22555 ht, фнон, 04-Окт-23, 09:44 (57) //
    - Тем временем Made public today was CVE-2023-43785 as an out-of-bounds memory acc, Аноним, 04-Окт-23, 09:57 (60)
      - Ого, впечатляет С другой стороны х11 это особый кусок кода Создатели котор, Анонин, 04-Окт-23, 10:08 (65)
      - Дарю для комплекта CVE-2021-3999 Она старше Windows 95 , Аноним, 04-Окт-23, 22:40 (122)
    - Нахождения старых уязвимостей - это хорошо Но вот повторное наступление на граб, Пряник, 04-Окт-23, 10:06 (63)
- Не, ну я конечно понимаю, что намного приятнее думать что это бекдор, а не обычн, Анонин, 04-Окт-23, 09:35 (54) //
  - - мужики, а спорим я бэкдур внедрю и мне за это ниче не будет - Как - сделаю ви, ыы, 04-Окт-23, 09:39 (55) //
    - Таак, тут какая-то фигня Надо правильно считать размеры буфера Сделаю-ка я это, fuji, 04-Окт-23, 10:27 (66)
Закономерный итог Сам язык си и практики, сложившиеся вокруг него, подталкивают, Шарп, 04-Окт-23, 10:52 (71) //
- я бы еще добавил стандартная библиотека мало того что написана ногами, так еще, Аноним, 04-Окт-23, 11:02 (73) //
  - Стандартные библиотеки С и С еще и написаны больным на голову Более уродского, Neon, 04-Окт-23, 14:55 (97)
- Фиг с ней с библиотекой Это что, единственное место в ядре где сплит нужно делат, Анонимусс, 04-Окт-23, 11:09 (75)
- Жалко только Торвальдс не поменял своего мнения о C , который мог бы ему значит, Аноним, 04-Окт-23, 11:46 (79) //
  - и чем плюсы лучше посмотри сколько cve шек на плюсах и главное какиха там то же , фнон, 04-Окт-23, 13:49 (83) //
    - Только если писать в сишном стиле Современный c 11 обладает множеством сре, Шарп, 04-Окт-23, 14:47 (93)
      - Верю Но посмотри когда в ядре отказались от с99 напомню это был 2022 Просто п, фнон, 04-Окт-23, 15:41 (98)
        
        В 2022 отказались от C89 C99 в ядре никогда не было , Аноним, 04-Окт-23, 16:17 (101)
        
        сорян, опечаталсяда, речь про C89оно еще довольно долго обсуждалось тут lore ker, фнон, 04-Окт-23, 16:33 (104)
        
        У раста новая версия как часто выходит Стоит ли такое тянуть, если проблемы с п, Вы забыли заполнить поле Name, 04-Окт-23, 23:31 (123)
        
        У раста кроме версий, которые выходят раз в 6 недель и являются просто процессом, Анонн, 05-Окт-23, 09:41 (126)
        
        Какая-то подмена понятий У современного С выходят новые версии стандарта, кот, Вы забыли заполнить поле Name, 05-Окт-23, 19:31 (139)
        
        Нет, это не подмена понятий У плюсов стандарты тоже выходят примерно раз в 3 год, Анонн, 05-Окт-23, 20:15 (140)
        
        Ядро по факту монорепозиторий Во всех номральных монорепозиториях жесткая привя, Вы забыли заполнить поле Name, 05-Окт-23, 20:18 (141)
        
        Тебе не нужно по компилятору на каждый edition Это ж тебе не сишка Ты можешь з, Анонн, 05-Окт-23, 20:30 (142)
        
        Нормальным компилятором С можно собрать код любого стандарта, даже древнейшего, Вы забыли заполнить поле Name, 06-Окт-23, 00:49 (144)
        Но ты не можешь часть сорцов ядра собрать одним стандартом, а часть - другим А т, Анонн, 06-Окт-23, 17:58 (151)
        Пока что нет ответа на главный вопрос - зачем , Вы забыли заполнить поле Name, 06-Окт-23, 23:25 (153)
        
        Когда-то в отдаленном будущем у editions тоже будет end of life Пока что в докум, Анонн, 05-Окт-23, 09:56 (127)
  - В плюсах тащится совместимость с Си, стало быть, все сишные грабли по-прежнему д, vdb, 04-Окт-23, 14:54 (96) //
    - Ну так в названии что зря поставили С это С старые ошибки новые ошибки, фнон, 04-Окт-23, 15:43 (99)
- А теперь предлагается вместо хорошо оттестированной реализации библиотек тащить , Аноним, 04-Окт-23, 13:43 (82) //
  - Хахаха, хорошо оттестированной реализации , прекрати человек-петроссян Посмотри, фнон, 04-Окт-23, 13:58 (87) //
    - Матчасть учи, Dirty COW не вв либе был , uis, 06-Окт-23, 12:44 (147)
  - Кто тебе мешает из карго-мусора отобрать нужные тебе в проекте оттестированные к, Аноним, 05-Окт-23, 15:53 (132)
- Надеюсь, речь не о Расте, который изменяемые в будущем объекты пытается отловить, DildoZilla, 04-Окт-23, 17:43 (106) //
  - Не, речь именно о нем А что вам таки не нравится , Анонин, 04-Окт-23, 18:06 (109)
И где все эти кексперты по экономии места посредством отказа от статического свя, Аноним, 04-Окт-23, 11:07 (74)
Почитал диффы Ошибка настолько тупейшая, что её никак нельзя назвать ошибкой , ИмяХ, 04-Окт-23, 13:50 (84) //
- Ты что обвиняешь святое Сообщество в саботаже Оно же непогрешимо и все остальны, Аноним, 04-Окт-23, 14:06 (90)
Ну что ты будешь делать Опять каких-то анскильных лалок вместо Настоящих Програ, Аноним, 04-Окт-23, 14:30 (92)
У сишников хотя бы есть софт, в котором можно делать уязвимости , Вы забыли заполнить поле Name, 04-Окт-23, 14:52 (95) //
- у растовиков тоже есть - уже немало кода в последних версиях андроида на декабр, Аноним, 05-Окт-23, 16:03 (133) //
  - Это наглая манипуляция статистикой немало и 21 на С С Сколько из этого ко, Вы забыли заполнить поле Name, 05-Окт-23, 16:48 (134)
а почему ни кто не думает что это было сделано специально кто внес изменения и, Tester, 04-Окт-23, 17:31 (105) //
- А если бы ее нашли лет через 10 кто и зачем вносил изменения в CVE-2021-22555 , Аноним, 04-Окт-23, 17:46 (107) //
  - у тебя может и традиция, у меня это скорей всего сделано специально, и скорей вс, Tester, 22-Дек-23, 16:43 (163)
Не очень понял почему ошибка именно в ld so ld so задействован же при запуске т, Аноним, 05-Окт-23, 02:54 (124)
А как там российские Астра , Роса и прочие сбер-линуксы, много лет простоят д, Аноним, 05-Окт-23, 09:25 (125) //
- а разве аудита в RedHat небыло Там и людей протирающих щтаны поболее будет , Tester, 22-Дек-23, 16:45 (164)
У меня ничего не произошло, просто выдало --help, Werenter, 02-Фев-24, 11:48 (166)

Форумы | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру