The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]



"Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-приложениях"
Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Изначальное сообщение [ Отслеживать ]

"Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-приложениях"  +/
Сообщение от opennews (??), 30-Дек-23, 10:01 
После 14 месяцев разработки сформирован релиз набора GNU inetutils 2.5 с коллекцией сетевых программ, большая часть которых перенесена из BSD-систем. В частности, в состав входят inetd и syslogd, серверы и клиенты для ftp, telnet, rsh, rlogin, tftp и talk, а также типовые утилиты, такие как  ping, ping6, traceroute, whois, hostname, dnsdomainname, ifconfig, logger и т.п...

Подробнее: https://www.opennet.dev/opennews/art.shtml?num=60366

Ответить | Правка | Cообщить модератору

Оглавление

Сообщения [Сортировка по времени | RSS]


2. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  –1 +/
Сообщение от Аноним (2), 30-Дек-23, 10:02 
По-моему, такая же петрушка с unshare. Не помню, почему не работало, но в итоге всё запускалось без изоляции.
Ответить | Правка | Наверх | Cообщить модератору

3. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  –3 +/
Сообщение от Tron is Whistling (?), 30-Дек-23, 11:06 
Плин, ну как так-то. Я даже в своём совсем уж вспомогательном хламе на пыхе результат setuid/setgid проверяю обязательно...
Ответить | Правка | Наверх | Cообщить модератору

4. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  +/
Сообщение от Tron is Whistling (?), 30-Дек-23, 11:07 
Причём не только наличие ошибки, а то, что целевые uid/gid реально встали...
Ответить | Правка | Наверх | Cообщить модератору

6. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  –1 +/
Сообщение от Аноним (6), 30-Дек-23, 11:25 
Вот ты даже на пыхе проверяешь, а ылитка из лучших погромистов-системщиков - нет.
Так и живем...
Ответить | Правка | Наверх | Cообщить модератору

24. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  +/
Сообщение от нах. (?), 30-Дек-23, 13:13 
а что проверялка правильно проверила - уверен, наверняка - не проверяет!

шах и мат белкам-истеричкам! (особенно свитчащим uid из под php)

Ответить | Правка | Наверх | Cообщить модератору

40. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  +/
Сообщение от Tron is Whistling (?), 30-Дек-23, 14:45 
Проверялку для проверялки городить не стал - иначе придется потому проверялку для проверялки проверялки делать, и не только. Отдашь это потом на рефакторинг и декомпозицию - так они вообще в рекурсию уйдут.

А в чём проблема свитчить uid из-под php? :)
Даже больше огорчу - я там ещё и форкаюсь.

Ответить | Правка | Наверх | Cообщить модератору

44. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  –1 +/
Сообщение от нах. (?), 30-Дек-23, 15:02 
> А в чём проблема свитчить uid из-под php? :)

действительно...

эх, а казался ведь грамотным
Ну уровень опеннета - он теперь весь такой.

Ответить | Правка | Наверх | Cообщить модератору

91. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  +/
Сообщение от Аноним (91), 30-Дек-23, 22:37 
ext/posix это реально простейшие обертки вокруг стандартных функций, кроме их вызова и конвертации между raw данными и zval* там ничего нет. Не вижу проблем.

другое дело, что непонятно, зачем php пускать рутом, проще инитом запустить сразу с нужными uid. Во всяких там модных systemd это совсем просто. Единственная видимая причина - это слушать привелегированный порт или что-то такое, но делать это через пхп как-то странно

Ответить | Правка | Наверх | Cообщить модератору

102. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  +/
Сообщение от нах. (?), 31-Дек-23, 22:19 
проблема именно в пхп от рута.
Он никогда на это не рассчитывался, там есть пол-миллиона способов исполнить вообще не тот код что в файлике, сколько костылей не пихай и как аккуратно не вычищай.

Ответить | Правка | Наверх | Cообщить модератору

46. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  +3 +/
Сообщение от Аноним (46), 30-Дек-23, 15:44 
Эх, вот бы были языки с доказанной корректностью, правда?
Ответить | Правка | К родителю #40 | Наверх | Cообщить модератору

23. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  +/
Сообщение от нах. (?), 30-Дек-23, 13:12 
ну чем бы конечно дитя не тешилось. Я даже могу нафантазировать такую уникальную конфигуру где это теоретически было бы возможно. Но не хочу тратить время на этих убогих.

В целом я бы максимум проверил отсутствие ошибки - да и то скорее по привычке что раз что-то возвращается то надо бы проверять.

Потому что если у тебя в системе умудряется не сработать или сработать как-то не так setuid - тут уже проверяй не проверяй - надо на ней поставить крест и кол осиновый заколотить в могилку, а не rlogin чинить.

В общем - очередной маразм от белок-истеричек.

Ответить | Правка | К родителю #4 | Наверх | Cообщить модератору

36. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  +/
Сообщение от Tron is Whistling (?), 30-Дек-23, 14:34 
Ну, оно просто реально критичное. Если оно правильно не встанет, даже вот так вот тупо - то часть дерева отправится в процессе в свободный доступ...
Ответить | Правка | Наверх | Cообщить модератору

45. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  +/
Сообщение от нах. (?), 30-Дек-23, 15:05 
> Если оно правильно не встанет

то у тебя в системе уже й..ный п-ц творится. И если бы это не был код на пехепе-  еще можно было б о чем-то думать, ну я не знаю, правда, о чем - kernel panic как-нибудь синициировать, а тут уже думать вообще не о чем.

Ответить | Правка | Наверх | Cообщить модератору

7. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  –4 +/
Сообщение от Аноним (7), 30-Дек-23, 11:25 
Писали деды. В то время не было принято ошибки проверять, это философия UNIX - "Worse is Better", простота важнее, чем корректное поведение.
Ответить | Правка | К родителю #3 | Наверх | Cообщить модератору

10. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  +/
Сообщение от Tron is Whistling (?), 30-Дек-23, 11:48 
Да я так-то тоже дiд уже, но бл******, это ж критическая операция.
Ответить | Правка | Наверх | Cообщить модератору

11. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  +/
Сообщение от Аноним (11), 30-Дек-23, 11:56 
Дело не в дедовстве, а в том, что гну писалось не самыми умными студентами буквально за еду. А поддерживать, конечно, это никто не хочет.
Ответить | Правка | Наверх | Cообщить модератору

13. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  +/
Сообщение от Аноним (7), 30-Дек-23, 12:06 
>гну
> * Copyright (c) 1985, 1993
> *      The Regents of the University of California.  All rights reserved.
> *
> * This code is derived from software contributed to Berkeley by
> * Rick Adams.

Это писалось элитой из BSD.

Ответить | Правка | Наверх | Cообщить модератору

19. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  +4 +/
Сообщение от Аноним (19), 30-Дек-23, 13:05 
Илитой!
Ответить | Правка | Наверх | Cообщить модератору

87. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  +/
Сообщение от Аниме (?), 30-Дек-23, 21:36 
Так это и есть та студенческая илита, писала за зачеты.
Ответить | Правка | К родителю #13 | Наверх | Cообщить модератору

99. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  +/
Сообщение от qwerty123 (??), 31-Дек-23, 10:30 
9 из 10 современных студентов с трудом пишут что-то сложнее print "hello world", а на то что пишут без слез смотреть трудно.
Ответить | Правка | Наверх | Cообщить модератору

98. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  +/
Сообщение от Аноним (98), 31-Дек-23, 10:28 
Намекаешь на то, что в GNU ничего не сделали вообще?
Лучше тогда разработчик Рик Адамс, чем рефакторщик Рич Столлман.
Но почему-то отзывы о коде самого Столлмана не такие хорошие, как можно было бы ожидать от гения-создателя великих программ.
Ответить | Правка | К родителю #13 | Наверх | Cообщить модератору

14. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  –1 +/
Сообщение от фнон (?), 30-Дек-23, 12:12 
Зато ЧСВ у многих из них до небес.
"А вот я! писал целое ГНУ, я гуру!"
Ответить | Правка | К родителю #11 | Наверх | Cообщить модератору

12. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  +/
Сообщение от фнон (?), 30-Дек-23, 11:57 
А тебе в опенсорсе "никто ничего не должен" бгг)
И фанатики запретят даже осуждать бракоделов
Ответить | Правка | К родителю #10 | Наверх | Cообщить модератору

15. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  +/
Сообщение от Аноним (2), 30-Дек-23, 12:44 
Проверять? У тебя тоже такого кода напихано?

if(-1==(rlen=read(fd,buf,bufsiz-1))){perror("can't read");_exit(EXIT_FAILURE);}
else { buf[bufsiz-1]='\0'; buf[rlen]='\0'; }

И такого?

char varbuf[16];
char *varbufp=varbuf;
unsigned char vari=0;
for(char *bufp=*buf;*bufp!='\0';bufp++) {
    if (*bufp==' '||*bufp=='\n') {
        if (varbufp==varbuf) continue;
        else {
            *varbufp='\0';
            var[vari++]=atoi(varbuf);
             varbufp=varbuf;
             continue;
        }
    }
}
        *varbufp++=*bufp;

Ответить | Правка | К родителю #3 | Наверх | Cообщить модератору

16. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  +/
Сообщение от Аноним (2), 30-Дек-23, 12:45 
последняя } в конце, промахнулся, пока копировал
Ответить | Правка | Наверх | Cообщить модератору

17. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  +/
Сообщение от Аноним (2), 30-Дек-23, 12:48 
там ещё *varbufp='\0'; в самом конце, я не знаю, зачем
Ответить | Правка | Наверх | Cообщить модератору

20. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  +/
Сообщение от нах. (?), 30-Дек-23, 13:07 
А вдрух!

Ответить | Правка | Наверх | Cообщить модератору

26. Скрыто модератором  +/
Сообщение от фнон (?), 30-Дек-23, 13:46 
Ответить | Правка | К родителю #17 | Наверх | Cообщить модератору

38. Скрыто модератором  +/
Сообщение от Tron is Whistling (?), 30-Дек-23, 14:41 
Ответить | Правка | Наверх | Cообщить модератору

37. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  +/
Сообщение от Хрысь (?), 30-Дек-23, 14:37 
Какой пых?
Suid только на бинарных файлах обрабатывается.
Ответить | Правка | К родителю #3 | Наверх | Cообщить модератору

39. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  +/
Сообщение от Tron is Whistling (?), 30-Дек-23, 14:41 
Речь не о suid-битах.
Ответить | Правка | Наверх | Cообщить модератору

9. Скрыто модератором  +3 +/
Сообщение от Аноним (-), 30-Дек-23, 11:46 
Ответить | Правка | К родителю #3 | Наверх | Cообщить модератору

25. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  –2 +/
Сообщение от Аноним (25), 30-Дек-23, 13:17 
Этот код из BSD, т.ч. мимо.
Ответить | Правка | К родителю #3 | Наверх | Cообщить модератору

32. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  +1 +/
Сообщение от Аноним (46), 30-Дек-23, 14:26 
Я не зря добавил про "украденный и заброшенный". Напоминаю, что традиции красть чужой труд и перебивать цопирайты идут от батьки-бородатьки, стыревшего емакс у Гослинга.
Ответить | Правка | Наверх | Cообщить модератору

47. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  +1 +/
Сообщение от Аноним (47), 30-Дек-23, 16:02 
Ага, а я добавлю, что Гослинг сам предоставил неограниченные права на свой код. И в первых версиях GNU Emacs была использована лишь некоторая часть из того кода, которая в скором времени была полностью переписана.
Ответить | Правка | Наверх | Cообщить модератору

48. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  –1 +/
Сообщение от Аноним (48), 30-Дек-23, 16:17 
Это полная брехня, не вводи людей в заблуждение. Есть показания самого Гослинга и группы людей, которые открывали и сравнивали код. Там "не некоторая часть", а _построчно весь_ код с перебитым копирайтом. Буквально. Судиться с ним не стали только потому, что в целом Гослингу было пофиг и общаться со странным челом просто никто не хотел. Всё очень просто.
Ответить | Правка | Наверх | Cообщить модератору

49. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  –1 +/
Сообщение от Аноним (47), 30-Дек-23, 16:54 
А по-моему, это вы вводите людей в заблуждение. Конечно Гослинг не хотел судиться со Столманом, судиться хотели UniPress, которым Гослинг полностью передал права на свой продукт в 1983 году. И поэтому уже в 1985 году весь код, взятый из гослинг емакса, был из гну емакса удалён. Если кому интересно, вот репка с сорцами старых версий гну емакса и гослинг емакса:
https://github.com/larsbrinkhoff/emacs-history
Ответить | Правка | Наверх | Cообщить модератору

52. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  +/
Сообщение от Аноним (52), 30-Дек-23, 17:16 
Читай первоисточники, а не спекуляции самих гнутых: https://archive.computerhistory.org/resources/access/text/20...

Финт ушами не пройдёт, не было кода, "взятого из гослинг емакса". Был гослинг емакс, который Столлман выдавал за свой. Если тебе хочется заниматься подменой понятий "не спëр, а позаимствовал и не 100%, а 99%" - продолжай. Вот только люди всё видят. Это называется спëр и выдал за свой. Столлман написал 0 строчек кода в изначальной версии гну емакс.

Ответить | Правка | Наверх | Cообщить модератору

59. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  +/
Сообщение от Аноним (47), 30-Дек-23, 17:36 
С удовольствием почитаю. Хотя первоисточником я бы это не назвал.
На 100% "украсть" Gosling Emacs Столман не мог хотя бы потому что речь шла только о сишной части кода. Скриптовая часть гну емакса (elisp) очевидно отличается от гослинговской (mocklisp).
Ответить | Правка | Наверх | Cообщить модератору

64. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  +2 +/
Сообщение от Аноним (52), 30-Дек-23, 17:47 
Мог и украл. Эту версию начали распространять IBM и DEC, из-за чего Unipress подали на них в суд, выиграли и отсудили бабла. То есть это слова не Гослинга, а суда США. Суда двух чуваков из Unipress против мегакорпораций, который постановил, что код начисто спëрт. И комиссии, которая подтвердила, что спëрт line by line.

С самим Ричардом судиться не стали, потому что он был бездомным без денег и вонял (это не оскорбление, это слова свидетелей).

Ответить | Правка | Наверх | Cообщить модератору

69. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  +/
Сообщение от Аноним (47), 30-Дек-23, 19:39 
Для полноты картины прилеплю сюда версию Столмана.
https://www.gnu.org/philosophy/stallman-kth.en.html
В принципе версии Гослинга она не противоречит. Столман пишет что исходный код гослинг-емакса ему передал его друг, работавший над ним вместе с сами Гослингом и получившим от него добро на распространение. В конечном итоге гослинг-емакс Столману не понравился (в основном потому что использовал пародию на лисп, вместо полноценного лиспа) + начались разборки с unipress, и поэтому он начал его активно переписывать.
Ответить | Правка | Наверх | Cообщить модератору

96. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  +/
Сообщение от Аноним (98), 31-Дек-23, 09:30 
Распространять никто не запрещал. Но копирайты перебивать было наглостью.

Код ему понравился, поэтому он его и взял. А свою лисп-машину он внедрял уже позже.
А поскольку код имакса ему с нуля писать не пришлось, то и отрефакторил он его с внедрением своего лиспа примерно за одну неделю (с его слов).

Столлман был спецом в области чего-то взять готовое (в том числе с других платформ) и отрефакторить. Этим и объясняется его феноменальная скорость делать то, на что у других спецов (настоящих разработчиков) уходили месяцы разработки.

Ответить | Правка | Наверх | Cообщить модератору

50. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  +/
Сообщение от fyjy (?), 30-Дек-23, 16:56 
О, напомнило не столь давнюю историю (2007)
undeadly.org/cgi?action=article&sid=20070829001634
где ГНУ тик? просто удалил все тексты BSD лицензии и сказал "с этого момента код под gpl"
А потом еще в комментах огрызался.
Ответить | Правка | К родителю #32 | Наверх | Cообщить модератору

53. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  +/
Сообщение от Аноним (53), 30-Дек-23, 17:18 
Ну поменять лицензию на GPL он конечно имел право, хотя тесксты bsd лицензии при этом тоже нужно было оставить
Ответить | Правка | Наверх | Cообщить модератору

18. Скрыто модератором  +/
Сообщение от Sw00p aka Jerom (?), 30-Дек-23, 13:04 
Ответить | Правка | Наверх | Cообщить модератору

22. Скрыто модератором  +/
Сообщение от Аноним (19), 30-Дек-23, 13:08 
Ответить | Правка | Наверх | Cообщить модератору

34. Скрыто модератором  +2 +/
Сообщение от Аноним (46), 30-Дек-23, 14:28 
Ответить | Правка | Наверх | Cообщить модератору

62. Скрыто модератором  +/
Сообщение от Аноним (19), 30-Дек-23, 17:43 
Ответить | Правка | Наверх | Cообщить модератору

73. Скрыто модератором  +/
Сообщение от Аноним (52), 30-Дек-23, 20:02 
Ответить | Правка | Наверх | Cообщить модератору

88. Скрыто модератором  +/
Сообщение от Аниме (?), 30-Дек-23, 21:38 
Ответить | Правка | Наверх | Cообщить модератору

55. Скрыто модератором  +/
Сообщение от Sw00p aka Jerom (?), 30-Дек-23, 17:26 
Ответить | Правка | К родителю #22 | Наверх | Cообщить модератору

74. Скрыто модератором  +/
Сообщение от Аноним (52), 30-Дек-23, 20:04 
Ответить | Правка | Наверх | Cообщить модератору

77. Скрыто модератором  +/
Сообщение от _ (??), 30-Дек-23, 21:03 
Ответить | Правка | Наверх | Cообщить модератору

76. Скрыто модератором  +/
Сообщение от _ (??), 30-Дек-23, 21:01 
Ответить | Правка | К родителю #55 | Наверх | Cообщить модератору

84. Скрыто модератором  +/
Сообщение от Аноним (-), 30-Дек-23, 21:23 
Ответить | Правка | Наверх | Cообщить модератору

94. Скрыто модератором  +/
Сообщение от Sw00p aka Jerom (?), 30-Дек-23, 23:36 
Ответить | Правка | Наверх | Cообщить модератору

93. Скрыто модератором  +/
Сообщение от Sw00p aka Jerom (?), 30-Дек-23, 23:34 
Ответить | Правка | К родителю #76 | Наверх | Cообщить модератору

95. Скрыто модератором  +/
Сообщение от Sw00p aka Jerom (?), 31-Дек-23, 00:02 
Ответить | Правка | К родителю #76 | Наверх | Cообщить модератору

28. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  –1 +/
Сообщение от Аноним (28), 30-Дек-23, 13:58 
А почему для их использования нужен рут, а не привилегия? Почему в линуксе нет механизма привилегий по типу Андроида?
Ответить | Правка | Наверх | Cообщить модератору

29. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  +/
Сообщение от Аноним (29), 30-Дек-23, 14:03 
В линуксе есть. Но этот код заимствован из другой оси.
Ответить | Правка | Наверх | Cообщить модератору

31. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  +/
Сообщение от Аноним (31), 30-Дек-23, 14:22 
А причём тут "заимствован"? Для сетевых операций CAP_NET_ADMIN вместо гранулярного разрешения отдельно на конкретный порт, отдельно на пинги, отдельно на различные netlink-операции.
Ответить | Правка | Наверх | Cообщить модератору

35. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  +3 +/
Сообщение от Аноним (46), 30-Дек-23, 14:29 
Да потому что код спëрли во времена царя гороха, неужели не понятно? Поддерживать его сил у гнутых нет.
Ответить | Правка | Наверх | Cообщить модератору

60. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  +/
Сообщение от нах. (?), 30-Дек-23, 17:37 
потому что если начать на каждый отправляемый пакет проверять "а можно ли этому приложению" - эффективность такого ведра будет чудовищно низкой.

ведроиду оно по барабану, поскольку его приложения и так эффективностью не блещут, и работают поверх прослойки, которая на уровне высокоуровневого (а не ядерного) апи может позволить себе проверять каждый чих.

Ответить | Правка | К родителю #28 | Наверх | Cообщить модератору

61. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  +/
Сообщение от Аноним (19), 30-Дек-23, 17:38 
Linux Capabilities

man capabilities

"Starting with Linux 2.2, Linux divides the privileges
       traditionally associated with superuser into distinct units,
       known as capabilities, which can be independently enabled and
       disabled.  Capabilities are a per-thread attribute."

Ответить | Правка | К родителю #28 | Наверх | Cообщить модератору

78. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  +/
Сообщение от _ (??), 30-Дек-23, 21:07 
> Starting with Linux 2.2, Linux divides the privileges traditionally
> associated with superuser into distinct units, known as capabilities

Таки - да! НО!

> * Copyright (c) 1985, 1993
> *      The Regents of the University of California.  All rights reserved.

И? Думаешь хоть кто то "причёсывал" ? :-\

Ответить | Правка | Наверх | Cообщить модератору

30. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  +/
Сообщение от Аноним (31), 30-Дек-23, 14:18 
Зажожу на https://lists.gnu.org/archive/html/bug-inetutils/2023-07/msg... , указанный в баг-трекере Дебиана ... а домен заблокирован роскомнадзором по решению какого-то суда от 2022 года. Из-за  того, что в лист навалило спама, в том числе анонса митинга в 2006 году вместе с претензии к конкретному должностному лицу. Казалось бы, закон обратной силы не имеет ...
Ответить | Правка | Наверх | Cообщить модератору

33. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  +/
Сообщение от Аноним (33), 30-Дек-23, 14:26 
Вообще функции setuid и сотоварищи из стандартной библиотеки реализованы неправильно. Они должны сами паниковать при неудаче - потому что типичный use case - это паниковать при неудаче. Кто хочет сам обработать ошибку - тот знает, что делает, может сам реализовать обёртку для сискола.
Ответить | Правка | Наверх | Cообщить модератору

41. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  +/
Сообщение от Tron is Whistling (?), 30-Дек-23, 14:48 
Вообще функции setuid и сотоварищи из стандартной библиотеки реализованы неправильно. Они должны сами паниковать при неудаче - потому что типичный use case - это паниковать при неудаче. Кто хочет сам обработать ошибку - тот тихо паникует в углу своей комнаты самостоятельно.

Fixed.


Ответить | Правка | Наверх | Cообщить модератору

79. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  –1 +/
Сообщение от _ (??), 30-Дек-23, 21:12 
>Кто хочет сам обработать ошибку

Грустно :(
Программеры СССР в наших краях сильно ценились.
А вот програмЁзы из РФ - говно, по знаниям как индусы но с гонором.
Вон обработка ошибок уже что то для Юпитера, а не для них ...
Грустно :(

Ответить | Правка | Наверх | Cообщить модератору

86. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  +/
Сообщение от Tron is Whistling (?), 30-Дек-23, 21:28 
Ну вон даже маститые забыли.
Но да, в целом ужасаюсь, насколько про это забывают.
Ответить | Правка | Наверх | Cообщить модератору

101. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  +/
Сообщение от швондер (?), 31-Дек-23, 15:27 
>>Кто хочет сам обработать ошибку
> Грустно :(
> Программеры СССР в наших краях сильно ценились.
> А вот програмЁзы из РФ - говно, по знаниям как индусы но
> с гонором.
> Вон обработка ошибок уже что то для Юпитера, а не для них
> ...
> Грустно :(

Между что и то забыли пробел, любитель красивых жестов, троеточий, обедняющих речь смайликов.
С наступающим вас, желаю подрасти.

Ответить | Правка | К родителю #79 | Наверх | Cообщить модератору

42. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  +/
Сообщение от Tron is Whistling (?), 30-Дек-23, 14:50 
А вообще если надо просто "паниковать" - один assert() - это же так сложно, да.
Ответить | Правка | К родителю #33 | Наверх | Cообщить модератору

51. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  +/
Сообщение от sig11 (ok), 30-Дек-23, 17:03 
gcc -DNDEBUG для пущего быстродействия

И все ваши assert() идут в /dev/null

Ответить | Правка | Наверх | Cообщить модератору

80. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  +/
Сообщение от Tron is Whistling (?), 30-Дек-23, 21:13 
Так, первый пошёл.
my_assert()-то, это ж вообще rocket science. Знание, доступное только избранным.
Срочно нужен npm, простите, cpm, без него не разобраться.
Ответить | Правка | Наверх | Cообщить модератору

81. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  +/
Сообщение от _ (??), 30-Дек-23, 21:17 
Доктор! Когда я делаю ВОТ ТАК - мне больно! :~~-(
пОцЫент! А вы ... ТАК - не делайте! :-)
Ответить | Правка | К родителю #51 | Наверх | Cообщить модератору

85. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  +/
Сообщение от Tron is Whistling (?), 30-Дек-23, 21:26 
Да не, всё правильно, так стоит делать в релизных сборках вообще.
Другое дело, что этот ссаный ассерт надо заново редефайнить в каждом ссаном куске, поэтому проще объявить свой и не мучаться.
Ответить | Правка | Наверх | Cообщить модератору

83. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  +1 +/
Сообщение от Tron is Whistling (?), 30-Дек-23, 21:22 
И вот здесь кстати да, я уже сам негодую - за аннигиляцию assert с NDEBUG придумавших это дiдов стоило бы приласкать тапкой, но уже поздно.
Ответить | Правка | К родителю #51 | Наверх | Cообщить модератору

92. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  +/
Сообщение от _ (??), 30-Дек-23, 22:50 
Ну дiды - тоже всего лишь люди ...
К тому же когда они ЭТО писали - у них ещё батон твёрдый был, и "сессия на носу" как у вас сейчас :)
Ответить | Правка | Наверх | Cообщить модератору

100. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  +/
Сообщение от Tron is Whistling (?), 31-Дек-23, 10:42 
Бгг моя последняя сессия на батоне была примерно 20 лет назад тому :)
Но да, я неплохо сохранился, до сих пор паспорт в ваших магазинах спрашивают на определённые виды товаров, даже несмотря на заметную седину :D
Ответить | Правка | Наверх | Cообщить модератору

58. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  +/
Сообщение от нах. (?), 30-Дек-23, 17:33 
типичный - никакой неудачи просто быть не может. В обычной системе. (ну или будет правда panic)

В необычной - сисколов там не один, и действительно что-то может где-то пойти не так.
Т.е. это редкий случай какой-нибудь интеграции с AD или NIS не к ночи будь помянут (когда оно пошло за дополнительными группами или что там еще может потребоваться при uid switch и где-то по дороге забуксовало).

Но опять же очень странно если оно при этом вообще не поменяет uid.

Ответить | Правка | К родителю #33 | Наверх | Cообщить модератору

82. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  +/
Сообщение от Tron is Whistling (?), 30-Дек-23, 21:17 
> Но опять же очень странно если оно при этом вообще не поменяет uid

Да ничего странного, даже в случае банального (omg) pam и просто не менее (omfg) банального юзермаппинга каким-нибудь nss-sss-samba-whatevergoes оно легко может не просто навернуться где попало, а даже и сменить uid с рута на рута _без ошибки_ - при должном радиусе изгиба рук. Это же собственно - ответ на вопрос, зачем я проверяю, что встал именно нужный мне uid.


Ответить | Правка | Наверх | Cообщить модератору

103. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  +/
Сообщение от нах. (?), 31-Дек-23, 22:26 
>> Но опять же очень странно если оно при этом вообще не поменяет uid
> Да ничего странного, даже в случае банального (omg) pam и просто не

pam не имеет никакого отношения к обработке setuid/setreuid
nsswitch теоретически тоже не должен бы, но скорее всего где-нибудь сбоку вызывается - надеюсь, хоть там с проверкой ошибок и вменяемым поведением.

Но может и зря надеюсь, там сама эта диверсия от sun, почему-то с радостным причмокиванием всосаная Дреппером, изначально больная на всю голову.


Ответить | Правка | Наверх | Cообщить модератору

89. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  +/
Сообщение от Аниме (?), 30-Дек-23, 21:46 
Трудно разобратся с кашей в голове у хейтеров GNU:

"Код украден из BSD, но в уязвимости виноваты GNU. Но они плохие, потому что украли код. А то что лицензия позволяет это, это не в счет, потому что воровать плохо. Но когда GNU прямо запрещает воровать, это тоже плохо. Поэтому все должны использовать MIT, которая разрешает воровать."

Ответить | Правка | Наверх | Cообщить модератору

90. Скрыто модератором  +/
Сообщение от Аноним (-), 30-Дек-23, 22:36 
Ответить | Правка | Наверх | Cообщить модератору

97. "Выпуск GNU inetutils 2.5 с устранением уязвимости в suid-при..."  +/
Сообщение от Аноним (98), 31-Дек-23, 10:14 
А с кашей у свидетелей "всё с нуля" и хейтеров BSD ещё труднее. В BSD код уже дорабатывался много раз, а линуксоиды хрен заколотили. В BSD уже этих багов нет, но они плохие, потому что когда-то, когда линукс никому не был нужен, эти баги допустили. А линуксоиды, которые просто брали код (с лицензией, как они говорят, для проприетарщиков, а значит - линуксоиды-проприетарщики?) и не хотевшие ничего исправлять, кроме нужного для корпораций - они хорошие. А потом линуксоиды плачут о багах с BSD или Sys V в линуксах, в которых якобы всё написали с нуля и опять клянут BSD.

А GPL запрещает "воровать" код всем, кроме себя любимой. Сама-то она очень любит использовать чужой труд с BSD. А вот CDDL не любит. Потому что там уже ей какие-то помехи.

Ваши линуксы взлетели за счёт портированного и переписанного кода. Плохой он или хороший вас колыхать не должно, поскольку линукс за счёт него в люди вышел.

Когда-нибудь прозреют про ваши "ein license, ein foundation, ein kartell", а закрыть от антимонопольщиков вы уже ничего не сможете, только откупиться. Просто сейчас есть где деньги брать в других областях.


Ответить | Правка | К родителю #89 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру