forum.opennet.ru - "Уязвимости в ядре Linux, затрагивающие nftables и модуль tcindex" (91)

"Уязвимости в ядре Linux, затрагивающие nftables и модуль tcindex"

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Уязвимости в ядре Linux, затрагивающие nftables и модуль tcindex"	+/–
Сообщение от opennews (?), 08-Июл-23, 22:36
В ядре Linux выявлены три уязвимости:... Подробнее: https://www.opennet.dev/opennews/art.shtml?num=59409
Ответить \| Правка \| Cообщить модератору

Оглавление

Это же full house , Анонимусс (?), 22:36 , 08-Июл-23, (1) +9

Опять не настоящие подставные сишники устроились на работу, а потом роняют конто, ИмяХ (?), 22:56 , 08-Июл-23, (4) –8

опять любители безопасТных язычков ничего написать не смогли кроме драйвера мига, пох. (?), 23:45 , 08-Июл-23, (7) +8

Так они уже написали целый видеодравер Печально другое Любители дыряшки так и н, Анонимусс (?), 23:56 , 08-Июл-23, (8) +4

Целый драйвер который никто не использует Вон карго как только начали использов, Аноним2 (?), 08:20 , 09-Июл-23, (18)
Когда из карго прилетает 100500 пакетов, то ревьювить ещё легче, правда Как nod, FF (?), 10:05 , 09-Июл-23, (29) +1

А это кстати вопрос Что легче ревьювить - 20 атомарных маленьких пакетов, по 10, Анонимусс (?), 10:56 , 09-Июл-23, (37) +2

зачем это пользователю в чем проблема, когда есть разделение труда 20 пакетов -, Sw00p aka Jerom (?), 12:56 , 09-Июл-23, (48)

А при чем тут пользователи Большинство даже не знает что такое либа, пакет или , Анонимусс (?), 13:03 , 09-Июл-23, (50) +1

А кто либой пользуется Я напишу код, а тестировшики проверят, хрен вам Культура, Sw00p aka Jerom (?), 06:17 , 10-Июл-23, (91)

Что-то мне кажется что мы о разных вещах говорим У меня либой пользуются разрабы, Анонимусс (?), 10:48 , 10-Июл-23, (97)

Никто тебе не мешает отобрать нужные тебе крейты с иерархией , скачать их л, Аноним (53), 15:14 , 09-Июл-23, (53)

Я использую си только в мелких проектах В остальном Go или C редко , FF (?), 16:18 , 09-Июл-23, (58)
Хорошо, что так можно На Го меня бесит перебивать через replace, банально когда, FF (?), 16:20 , 09-Июл-23, (59)

Поэтому переписывать на пару столетий хватит , Аноним (64), 17:07 , 09-Июл-23, (64)

Пох как обычно в своём стиле - из программ на Rust тебе следует обратить внимани, Аноним (24), 09:59 , 09-Июл-23, (24)

о да, о да - это ненужное ненужно безусловно по сложности эквиваленты nftables , пох. (?), 11:06 , 09-Июл-23, (39) –1

Потому что nftables такое же ненужное ненужно Были нормальные iptables, но нет,, Аноним_5 (?), 11:48 , 09-Июл-23, (41) –1

Да как бы у iptables своих траблов хватало , Аноним (64), 17:08 , 09-Июл-23, (65)

например вангую экзотическую нагрузку и пограничные случаи, гже не ступала нога, ivan_erohin (?), 09:08 , 10-Июл-23, (94)

Ведь настоящие, не подставные сишники таких ошибок никогда не сделают , Аноним (17), 08:08 , 09-Июл-23, (17) +2

А настоящие безопастноязычковые всё перепишут , Аноним (23), 09:58 , 09-Июл-23, (23)

Начнут переписывать и сразу же все станет безопастно нет кода - нет опастност, пох. (?), 11:07 , 09-Июл-23, (40) +3
Только нужное и интересное им Ибо за многие десятилетия миллионы си-г внописате, Аноним (53), 15:20 , 09-Июл-23, (54) –2

Не любой софт одинаково полезен И к тому же, в опенсорсе очень много дубликатов, Аноним (98), 11:18 , 10-Июл-23, (98) +1

Не знаю какие сишники так говорят, но если бензопилой можно оттяпать ногу, то зн, FF (?), 16:24 , 09-Июл-23, (60)

Уж ты-то таких ошибок не сделаешь, ты-то не лезешь писать на Си, потому что пони, YetAnotherOnanym (ok), 10:06 , 09-Июл-23, (32) +2

Ахаха, писать на си можно научить даже обезьяну, что мы собственно и наблюдаем У, Анонин (?), 16:14 , 09-Июл-23, (56) –1

А ничего не написать и обзывать всех обезьянами может только сын обезьяны, FF (?), 16:30 , 09-Июл-23, (61) +1
То есть, Аноним с опеннена даже не пытается браться за дело, которому можно науч, YetAnotherOnanym (ok), 18:22 , 09-Июл-23, (67)

пора бы всем уяснить, что лтс - это не гвно мамонта это и есть стабильные верс, ИмяХ (?), 22:53 , 08-Июл-23, (2) –2

Но 5 10 и 5 15 - тоже lts, а там эта бажина уже есть, причем 5 10 вообще SLTS Пр, Анонин (?), 23:37 , 08-Июл-23, (6) +5
Пора бы тебе уяснить, что лтс существует для корпоративных аутистов и по факту н, Аноним (9), 00:09 , 09-Июл-23, (9)

Чё А что делать тем кто не на самом последнем ведре сидит или вообще модуль этот, Аноньимъ (ok), 03:45 , 09-Июл-23, (11) +2
nftablesДеды пользовались iptables, прадеды ipchains - всё было стабильно, пришл, Аноним (13), 04:07 , 09-Июл-23, (13) +1

Сколько уязвимостей в пропёрженных дедами iptables история умалчивает, Парень твоего папы (?), 05:23 , 09-Июл-23, (14)
Потому что nft, Geek (?), 09:13 , 09-Июл-23, (20) +2
Не хочу тебя шокировать, но nftables и iptables это netfilter и они разрабатываю, Аноним (44), 12:07 , 09-Июл-23, (44) +2

Это не одни и те же люди Тех, оригинальных, выкрали смузихлёбы на гироскутерах , Аноним (72), 19:33 , 09-Июл-23, (72)

Да, я вечно забываю, что у местного населения вокруг сплошные хипстеры правда он, Аноним (44), 20:22 , 09-Июл-23, (77)

ах, если бы, Аноним (88), 04:14 , 10-Июл-23, (88)
Ну имена именами но что-то я сомневаюсь, что, во первых, им не лень пилить 2, 1 (??), 09:22 , 10-Июл-23, (95) –1

Враньё И деды и пределы и отцы пользовались pf и ipfw iptables это хипстеры устр, Аноньимъ (ok), 23:12 , 09-Июл-23, (83)

Эмм а ipf тогда кто , User (??), 09:05 , 10-Июл-23, (93)

прадеды, 1 (??), 10:24 , 10-Июл-23, (96)

Не-не Там выше все ходы записаны - и деды, и прадеды - это pf ipfw, а я еще ч, User (??), 12:49 , 10-Июл-23, (99)

CVE-2023-35001 - уязвимость в модуле nf_tables, позволяющая локальному пользова, Kuromi (ok), 05:42 , 09-Июл-23, (15) +1

хз кто нам эти годы NFT мог юзать, в RHEL8 ещё есть iptables у меня на арче-дес, лютый арчешкольник... (?), 10:05 , 09-Июл-23, (31) –2

Не хочу тебя расстраивать, но и в RHEL8, и у тебя в раче это не iptables, а nfta, Аноним (44), 18:24 , 09-Июл-23, (68)

С rhel ты не ошибся А в рачике вполне себеiptables -Viptables v1 8 9 legacy ls, лютый арчешкольник... (?), 21:11 , 09-Июл-23, (79)

Ну видимо в раче единственный школьник не справился со сборкой, вот и юзают лега, Аноним (44), 21:48 , 09-Июл-23, (82)

понтующийся бабуановец, пытающийся убедить себя в том, что насильно впаренный ем, лютый арчешкольник... (?), 16:09 , 10-Июл-23, (100) –1

Насколько я помню, nftables на порядок быстрее Заглянул в drop, куда автоматом , Аноним (21), 09:18 , 09-Июл-23, (21)

занимаешься хэрнёй, перевешай на другой порт sshd, если надписи мешают А подобр, лютый арчешкольник... (?), 10:07 , 09-Июл-23, (34)

Пароль , Аноним (43), 12:01 , 09-Июл-23, (43) +1
И ничего не изменится, потому что сканирование всего диапазона IPv4 занимает счи, Аноним (44), 12:10 , 09-Июл-23, (45) –1

уверяю тебя, если у тебя брутят sshd где-то в 40000-50000, это не боты, а как ми, лютый арчешкольник... (?), 21:19 , 09-Июл-23, (80)

Такие же ботыСлушай, ну я работаю с 97 года и когда-то тоже слушал советы про за, Аноним (44), 21:47 , 09-Июл-23, (81)

а у меня не находят, десятки серверов торчат в инет годами никто ничего не пере, лютый арчешкольник... (?), 16:14 , 10-Июл-23, (101) –1

ipset прекрасно тянул все что угодно с fail2banВот в этом точно проблем нет и не, Аноним (44), 12:10 , 09-Июл-23, (46)
да и больше, можете проверить -А, Sw00p aka Jerom (?), 12:59 , 09-Июл-23, (49)
Тянули, причем я использую именно таблицы а не нечитаемый и неконтролирыемый ips, пох. (?), 14:06 , 09-Июл-23, (52)

Полотёр из подвального ДЦ не осилил хэш-мап Спешите видеть , Аноним (72), 19:37 , 09-Июл-23, (74) +1

Он еще и ipset -L 124 grep или там ipset -L 124 awk не осилил, говорит, что п, Аноним (44), 20:23 , 09-Июл-23, (78)

У iptables начинаются заметные проблемы в производительности в районе 10к правил, Аноним (72), 19:36 , 09-Июл-23, (73)

скорее так - в районе 10k правил на цепочку _можно_ ухитриться вляпаться в пробл, пох. (?), 03:14 , 10-Июл-23, (85)

С 10k правил на цепочку получаешь практически гарантированные проблемы и с тем, , Аноним (72), 20:51 , 10-Июл-23, (102)

Ну я не знаю чем там ебеме страдал - у меня оно было в 2012м и это ни разу не бы, пох. (?), 21:59 , 10-Июл-23, (104)

При чём тут это 171 Поделка 187 вызывает ровно тот же iptables и загружает , Аноним (72), 21:38 , 11-Июл-23, (106)

нет На этом, действительно, можно было бы и закончить То есть ты темой не влад, пох. (?), 22:16 , 11-Июл-23, (107)

В очередной раз удивляюсь, почему все так любят Си Да, в языке более мощные сре, Аноним (22), 09:32 , 09-Июл-23, (22)

Меньшая дружелюбность чем у кого Меньшая чем у ассемблера Старость даёт о себе, Аноним (23), 10:03 , 09-Июл-23, (26) +5
Это ты define обозвал средствами мета-программирования В древнючей сишке нет , Аноним_5 (?), 10:51 , 09-Июл-23, (36) +2
Сишечку любят за то, что у неё предельно низкий порог вхождения Язык же прост, , Аноним (17), 13:46 , 09-Июл-23, (51) –1

Можно подумать твои буферы это то что кому то важно в софте Может от софта надо, Аноним (23), 16:34 , 09-Июл-23, (63)

А исправить получение рута через 13 лет после создания бага - это еще рано или у, Анонимусс (?), 19:18 , 09-Июл-23, (70)

Чувак, если у тебя кто-то левый на сервере сначала получил простого юзера с CAP_, Аноним (44), 19:23 , 09-Июл-23, (71)

Скажи это хостингам раздающим контейнеры Не обязательно иметь CAP_NET_ADMIN в с, Аноним (76), 20:08 , 09-Июл-23, (76) –1

В Си средства метапрограммирования Таблетки ненужно забывать пить И закусывать , Аноньимъ (ok), 23:18 , 09-Июл-23, (84)

так макросы же, Аноним (88), 04:17 , 10-Июл-23, (90) +1
Он имел ввиду макросы, Sw00p aka Jerom (?), 06:22 , 10-Июл-23, (92)

Жир аж стекает с экрана В очередной раз удивляюсь, почему все так любят троллить, InuYasha (??), 20:31 , 11-Июл-23, (105)

Ой, а что же случилось Валгринд, Cppcheck и Clang-analyze не помогли , Аноним (24), 10:01 , 09-Июл-23, (25)

Ой, а чего это ты на Redox не перешел до сих пор , Аноним (27), 10:03 , 09-Июл-23, (27) +2

Зачем Скоро во всех линукс-ядрах Посмотрим, куда ты побежишь На Hurd, небос, Аноним (53), 15:26 , 09-Июл-23, (55)

Зачем ему куда-то бежать Как сидел на винде, так и будет сидеть , Аноним_5 (?), 16:15 , 09-Июл-23, (57)

Почему винду не переписывают на безопастный языг , Аноним (23), 16:33 , 09-Июл-23, (62)

https www theregister com 2023 04 27 microsoft_windows_rust Ой, Аноним (44), 18:19 , 09-Июл-23, (66)

https www opennet ru 59044, Аноним (76), 18:32 , 09-Июл-23, (69)
а если дочитать дальше заголовка but the Rust port is currently disabled То ест, пох. (?), 03:19 , 10-Июл-23, (86)

Одно из достоинств Гарвардской архитектуры заключается в том, что повреждение па, Аноним (103), 21:48 , 10-Июл-23, (103) –1

Сообщения [Сортировка по ответам | RSS]

1. Сообщение от Анонимусс (?), 08-Июл-23, 22:36 +9 +/–

> use-after-free
> обращению к области памяти за пределами конца массива
> приводит к двойному вызову функции free()
Это же full house!

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #4

2. Сообщение от ИмяХ (?), 08-Июл-23, 22:53 –2 +/–

>>вызвавший уязвимость код не был бэкпортирован в более ранние LTS-ветки ядер
пора бы всем уяснить, что лтс - это не "гвно мамонта" это и есть стабильные версии, за которые можно отвечать. Юзая фичи из "новых ядер" вы просто работаете бесплатными бета-тестерами. Вас тупо используют.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #6, #9

4. Сообщение от ИмяХ (?), 08-Июл-23, 22:56 –8 +/–

Опять не настоящие подставные сишники устроились на работу, а потом роняют контору, написал вредноносный код. А потом "ой, мы ошиблись"

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #7, #17

6. Сообщение от Анонин (?), 08-Июл-23, 23:37 +5 +/–

Но 5.10 и 5.15 - тоже lts, а там эта бажина уже есть, причем 5.10 вообще SLTS.
Просто они всю связанную фичу поленились бекпортить на "гвно мамонта".
А с другая бажина вообще с ядра 3.13 - это на минуточку 2014 год.
Поэтому апелляция к LTS - просто теорема Эскобара ¯\_(ツ)_/¯

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2

7. Сообщение от пох. (?), 08-Июл-23, 23:45 +8 +/–

опять любители безопасТных язычков ничего написать не смогли кроме драйвера мигания светодиодиком, да и тот panic вызывает и использует кучу сишных деталек.
Ну что ж ты будешь делать, опять придется пользоваться опастными и решать проблемы по мере поступления.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4 Ответы: #8, #24

8. Сообщение от Анонимусс (?), 08-Июл-23, 23:56 +4 +/–

Так они уже написали целый видеодравер.
Печально другое. Любители дыряшки так и не научились считать размеры массивов!
А оставшиеся тыщща глаз не смогли это заметить за последние 9 лет.
Вот и приходится переписывать это все г. А написали его огого сколько...

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7 Ответы: #18, #29, #64

9. Сообщение от Аноним (9), 09-Июл-23, 00:09 +/–

Пора бы тебе уяснить, что лтс существует для корпоративных аутистов и по факту не даёт ничего, никто не даст тебе никаких гарантий и лично я несколько раз видел как минорное обновление лтс ядра приносило кучу фатальных багов. Работоспособность актуальной версии намного выше чем рандомной копролитной версии.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2

11. Сообщение от Аноньимъ (ok), 09-Июл-23, 03:45 +2 +/–

>Проблема решена через удаление модуля tcindex из ядра, начиная с ветки 6.3.
Чё?
А что делать тем кто не на самом последнем ведре сидит или вообще модуль этот использует?
>Исправление проблемы пока доступно только в виде патча.
Эм что?
Можно вначале исправления залить, а потом уязвимость публиковать?

Ответить | Правка | Наверх | Cообщить модератору

13. Сообщение от Аноним (13), 09-Июл-23, 04:07 +1 +/–

nftables
Деды пользовались iptables, прадеды ipchains - всё было стабильно, пришла молодёжь, придумала новый фаирволл - результат, как говорится, на лицо

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #14, #20, #44, #83

14. Сообщение от Парень твоего папы (?), 09-Июл-23, 05:23 +/–

Сколько уязвимостей в пропёрженных дедами iptables история умалчивает

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13

15. Сообщение от Kuromi (ok), 09-Июл-23, 05:42 +1 +/–

"CVE-2023-35001 - уязвимость в модуле nf_tables, позволяющая локальному пользователю выполнить свой код на уровне ядра. Уявзимость вызвана некорректными манипуляциями с указателем при обработке выражений nft_byteorder , которые могут привести к обращению к области памяти за пределами конца массива. Для эксплуатации требуется наличие прав CAP_NET_ADMIN. Проблема проявляется начиная с ядра 3.13 и пока устранена только в форме патча."
Обожаю когда находятся дыры которые уже могли бы в школу ходить...
Отрезвляет.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #31

17. Сообщение от Аноним (17), 09-Июл-23, 08:08 +2 +/–

Ведь настоящие, не подставные сишники таких ошибок никогда не сделают!

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4 Ответы: #23, #32

18. Сообщение от Аноним2 (?), 09-Июл-23, 08:20 +/–

Целый драйвер который никто не использует. Вон карго как только начали использовать, сразу дыры повылазили. А тут стоит на 90% линуксов (андройд не линукс) и только щас нашли.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8

20. Сообщение от Geek (?), 09-Июл-23, 09:13 +2 +/–

Потому что nft

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13

21. Сообщение от Аноним (21), 09-Июл-23, 09:18 +/–

Насколько я помню, nftables на порядок быстрее. Заглянул в drop, куда автоматом сваливаются все переборщики fail2ban`ом, за год накопилось ~5000 адресов. Вопрос к iptables гуру - а старые таблицы такое тянули?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #34, #46, #49, #52, #73

22. Сообщение от Аноним (22), 09-Июл-23, 09:32 +/–

В очередной раз удивляюсь, почему все так любят Си. Да, в языке более мощные средства мета-программирования и клевая оптимизация. Но его меньшая дружелюбность до сих пор аукается кучей проблем. Да, не все могут нормально на нем писать. Я в школе писал на ассемблере без отладчика. Я могу. У меня отладчик в голове. А индусы пусть дальше пишут на прощающих все возможные ошибки скриптах.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #26, #36, #51, #84, #105

23. Сообщение от Аноним (23), 09-Июл-23, 09:58 +/–

А настоящие безопастноязычковые всё перепишут.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17 Ответы: #40, #54, #60

24. Сообщение от Аноним (24), 09-Июл-23, 09:59 +/–

Пох как обычно в своём стиле - из программ на Rust тебе следует обратить внимание на Libreddit & Veloren.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7 Ответы: #39

25. Сообщение от Аноним (24), 09-Июл-23, 10:01 +/–

Ой, а что же случилось? Валгринд, Cppcheck и Clang-analyze не помогли?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #27

26. Сообщение от Аноним (23), 09-Июл-23, 10:03 +5 +/–

Меньшая дружелюбность чем у кого? Меньшая чем у ассемблера? Старость даёт о себе знать.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #22

27. Сообщение от Аноним (27), 09-Июл-23, 10:03 +2 +/–

Ой, а чего это ты на Redox не перешел до сих пор?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #25 Ответы: #55

29. Сообщение от FF (?), 09-Июл-23, 10:05 +1 +/–

Когда из карго прилетает 100500 пакетов, то ревьювить ещё легче, правда? Как node modules с желто-синими пост-скриптами

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8 Ответы: #37, #53

31. Сообщение от лютый арчешкольник... (?), 09-Июл-23, 10:05 –2 +/–

>Обожаю когда находятся дыры которые уже могли бы в школу ходить...
хз кто нам эти годы NFT мог юзать, в RHEL8 ещё есть iptables.
у меня на арче-десктопе (6.4.1) до сих пор iptables

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #15 Ответы: #68

32. Сообщение от YetAnotherOnanym (ok), 09-Июл-23, 10:06 +2 +/–

Уж ты-то таких ошибок не сделаешь, ты-то не лезешь писать на Си, потому что понимаешь, что у тебя не хватит мозгов написать и тысячной доли того, что написал любой из этих подставных сишников.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17 Ответы: #56

34. Сообщение от лютый арчешкольник... (?), 09-Июл-23, 10:07 +/–

>за год накопилось ~5000 адресов
занимаешься хэрнёй, перевешай на другой порт sshd, если надписи мешают. А подобрать любой адекватный пароль по ssh невозможно.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #21 Ответы: #43, #45

36. Сообщение от Аноним_5 (?), 09-Июл-23, 10:51 +2 +/–

Это ты #define обозвал "средствами мета-программирования"?
В древнючей сишке нет никакого метапрограммирования. Она же тупая как лапоть.
А оптимизации к самой сишке никакого отношения не имеют. Современные компиляторы оптимизируют промежуточное представление и не привязаны к языку (за исключением древностей, которые к нему приколочены гвоздями).

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #22

37. Сообщение от Анонимусс (?), 09-Июл-23, 10:56 +2 +/–

А это кстати вопрос. Что легче ревьювить:
- 20 атомарных маленьких пакетов, по 1000 строк, каждому из которым можно бампнуть версию
- или одну либу на 20000 строк, которая, при той же скорости добавления изменений, будет обновляться существенно чаще
Что-то подсказывает что второй вариант существенно хуже.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #29 Ответы: #48

39. Сообщение от пох. (?), 09-Июл-23, 11:06 –1 +/–

о да, о да - это ненужное ненужно безусловно по сложности эквиваленты nftables. А не корявому скрипту на баше первое и я уж не знаю даже что из времен zx второе.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #24 Ответы: #41

40. Сообщение от пох. (?), 09-Июл-23, 11:07 +3 +/–

> А настоящие безопастноязычковые всё перепишут.
Начнут переписывать! (и сразу же все станет безопастно. нет кода - нет опастностей)

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #23

41. Сообщение от Аноним_5 (?), 09-Июл-23, 11:48 –1 +/–

Потому что nftables такое же ненужное ненужно. Были нормальные iptables, но нет, нужно было понаписывать...

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #39 Ответы: #65

43. Сообщение от Аноним (43), 09-Июл-23, 12:01 +1 +/–

Пароль?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #34

44. Сообщение от Аноним (44), 09-Июл-23, 12:07 +2 +/–

Не хочу тебя шокировать, но nftables и iptables это netfilter и они разрабатываются одними людьми
Вот просто одними людьми
Кстати, кажется часть из них разрабатывали и ipchains, но это надо проверить

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13 Ответы: #72

45. Сообщение от Аноним (44), 09-Июл-23, 12:10 –1 +/–

И ничего не изменится, потому что сканирование всего диапазона IPv4 занимает считанные минуты, боты находят ssh на любом порту
А вот запрет паролей и переход на ключи убирает шансы перебора вообще
А переход на IPv6 убирает долбежку в порты, потому что найти где ты там среди этих триллионов адресов нереально

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #34 Ответы: #80

46. Сообщение от Аноним (44), 09-Июл-23, 12:10 +/–

ipset прекрасно тянул все что угодно с fail2ban
Вот в этом точно проблем нет и не было

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #21

48. Сообщение от Sw00p aka Jerom (?), 09-Июл-23, 12:56 +/–

>Что легче ревьювить
зачем это пользователю?
>или одну либу
в чем проблема, когда есть разделение труда? 20 пакетов - 20 пар глаз на 1000 строк кода. В чем проблема, собирать параллельно их опыт, и автоматизировать процесс.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #37 Ответы: #50

49. Сообщение от Sw00p aka Jerom (?), 09-Июл-23, 12:59 +/–

>а старые таблицы такое тянули?
да и больше, можете проверить. -А

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #21

50. Сообщение от Анонимусс (?), 09-Июл-23, 13:03 +1 +/–

> зачем это пользователю?
А при чем тут пользователи? Большинство даже не знает что такое либа, пакет или карго.
Речь идет про софтиписателей.
> в чем проблема
проблема что в одной большое либе зависимости и неявное взаимодействие размазано по всей либе. Даже если она идеальна и разделена на относительно атомарные части, то у нее есть какие-то общие части, которые придется просмотреть всем ревьюверам.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #48 Ответы: #91

51. Сообщение от Аноним (17), 09-Июл-23, 13:46 –1 +/–

Сишечку любят за то, что у неё предельно низкий порог вхождения. Язык же прост, как пробка, если не сказать, что примитивен. В нём же практически ничего нет. А вот о том, что он требует от программиста предельного самоконтроля, предпочитают забывать.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #22 Ответы: #63

52. Сообщение от пох. (?), 09-Июл-23, 14:06 +/–

Тянули, причем я использую именно таблицы а не нечитаемый и неконтролирыемый ipset (которому можно и 500000 скормить, но совершенно незачем, учитесь в агрегирование).
Но у меня для тебя фиговая новость - из этих 5000 хорошо если только 30 относятся к тем же сетям из которых иногда работаешь ты и твой хомячок. И у тебя есть хороший такой шанс из-за кривых рук и плохо варящей бестолковки в один непрекрасный день обнаружить что ты отрезал яй...доступ сам себе.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #21 Ответы: #74

53. Сообщение от Аноним (53), 09-Июл-23, 15:14 +/–

Никто тебе не мешает отобрать нужные тебе крейты (с иерархией :) ), скачать их локально, отревьюить их и использовать только проверенное (ты можешь указывать, откуда сборщику брать крейты). Совсем так же, как ты делаешь с используемыми тобой в своем проекте чужими сишными исходниками. И так же, как с чужими сишными исходниками, следить за обновлениями 100500 библиотек и перепроверять их будешь сам. Или ты никогда ничего чужого сишного в свои проекты не суешь, все велосипеды пишешь с нуля?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #29 Ответы: #58, #59

54. Сообщение от Аноним (53), 09-Июл-23, 15:20 –2 +/–

> всё перепишут
Только нужное и интересное им. Ибо за многие десятилетия миллионы си-г.внописателей написало столько кода разной степени полезности, что тому небольшому кол-ву растописателей пришлось бы его переписывать 10 000 лет. Так что нет, твоё творение никто переписывать не собирается, не надейся, жонглируй указателями самостоятельно и продолжай жрать кактус.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #23 Ответы: #98

55. Сообщение от Аноним (53), 09-Июл-23, 15:26 +/–

Зачем? "Скоро во всех линукс-ядрах!" Посмотрим, куда ты побежишь. На Hurd, небось?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #27 Ответы: #57

56. Сообщение от Анонин (?), 09-Июл-23, 16:14 –1 +/–

Ахаха, писать на си можно научить даже обезьяну, что мы собственно и наблюдаем.
У него мало ключевых слов, примитивнейшая система типов и всего пару правил вроде "один раз выделяй память и один раз очищай ее, не больше и не меньше" или "не пиши за пределы выделенного буфера". Но даже это непосильно некоторым индивидам.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #32 Ответы: #61, #67

57. Сообщение от Аноним_5 (?), 09-Июл-23, 16:15 +/–

Зачем ему куда-то бежать? Как сидел на винде, так и будет сидеть.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #55 Ответы: #62

58. Сообщение от FF (?), 09-Июл-23, 16:18 +/–

Я использую си только в мелких проектах. В остальном Go или C++ (редко)

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #53

59. Сообщение от FF (?), 09-Июл-23, 16:20 +/–

Хорошо, что так можно. На Го меня бесит перебивать через replace, банально когда надо доработать что-то, не пиная в свой репозиторий

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #53

60. Сообщение от FF (?), 09-Июл-23, 16:24 +/–

Не знаю какие сишники так говорят, но если бензопилой можно оттяпать ногу, то значит можно. Без ошибок бывает только в воображении самозванных гениев, и тем более в таком гигантском проекте, если не самом крупном

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #23

61. Сообщение от FF (?), 09-Июл-23, 16:30 +1 +/–

А ничего не написать и обзывать всех обезьянами может только сын обезьяны

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #56

62. Сообщение от Аноним (23), 09-Июл-23, 16:33 +/–

Почему винду не переписывают на безопастный языг?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #57 Ответы: #66

63. Сообщение от Аноним (23), 09-Июл-23, 16:34 +/–

Можно подумать твои буферы это то что кому то важно в софте. Может от софта надо чтобы он был и работал? А уж как он буферы проверяет рано или поздно поправят.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #51 Ответы: #70

64. Сообщение от Аноним (64), 09-Июл-23, 17:07 +/–

> Вот и приходится переписывать это все г. А написали его огого сколько...
Поэтому переписывать на пару столетий хватит.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8

65. Сообщение от Аноним (64), 09-Июл-23, 17:08 +/–

> Потому что nftables такое же ненужное ненужно. Были нормальные iptables, но нет,
> нужно было понаписывать...
Да как бы у iptables своих траблов хватало.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #41 Ответы: #94

66. Сообщение от Аноним (44), 09-Июл-23, 18:19 +/–

https://www.theregister.com/2023/04/27/microsoft_windows_rust/
Ой

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #62 Ответы: #69, #86

67. Сообщение от YetAnotherOnanym (ok), 09-Июл-23, 18:22 +/–

То есть, Аноним с опеннена даже не пытается браться за дело, которому можно научить обезьяну. Трезвая и адекватная самооценка, респект.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #56

68. Сообщение от Аноним (44), 09-Июл-23, 18:24 +/–

Не хочу тебя расстраивать, но и в RHEL8, и у тебя в раче это не iptables, а nftables-враппер
Оно просто делает вид, что оно iptables, но если ты заглянешь в nft list ruleset, то с удивлением узнаешь, что у тебя nftables

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #31 Ответы: #79

69. Сообщение от Аноним (76), 09-Июл-23, 18:32 +/–

> https://www.theregister.com/2023/04/27/microsoft_windows_rust/
> Ой
https://www.opennet.dev/59044

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #66

70. Сообщение от Анонимусс (?), 09-Июл-23, 19:18 +/–

А исправить получение рута через 13 лет после создания бага - это еще рано или уже поздно?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #63 Ответы: #71

71. Сообщение от Аноним (44), 09-Июл-23, 19:23 +/–

Чувак, если у тебя кто-то левый на сервере сначала получил простого юзера с CAP_NET_ADMIN, то у тебя УЖЕ проблемы, даже без этой "уязвимости"

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #70 Ответы: #76

72. Сообщение от Аноним (72), 09-Июл-23, 19:33 +/–

Это не одни и те же люди! Тех, оригинальных, выкрали смузихлёбы на гироскутерах и заменили трансразработчитакми-жаваскриптерами, которым сделали операции по перемене пола, лица и языка программирования. Запомни: сишные диды святые, а виноваты во всём хипстеры!

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #44 Ответы: #77

73. Сообщение от Аноним (72), 09-Июл-23, 19:36 +/–

У iptables начинаются заметные проблемы в производительности в районе 10к правил на цепочку. IBM не даст соврать.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #21 Ответы: #85

74. Сообщение от Аноним (72), 09-Июл-23, 19:37 +1 +/–

> неконтролирыемый ipset
Полотёр из подвального ДЦ не осилил хэш-мап. Спешите видеть!

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #52 Ответы: #78

76. Сообщение от Аноним (76), 09-Июл-23, 20:08 –1 +/–

Скажи это хостингам раздающим контейнеры. Не обязательно иметь CAP_NET_ADMIN в системе, достаточно обойтись net или user namespace, которые в некоторых дистрибутивах обычный юзер создать может.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #71

77. Сообщение от Аноним (44), 09-Июл-23, 20:22 +/–

Да, я вечно забываю, что у местного населения вокруг сплошные хипстеры(правда они не знают кто это), а от одного слова "смузи" они дохнут пачками
А то, что разрабы одни, просто в отличии от местных клоунов они не держатся за каменные топоры, они не знают и не хотят знать, хотя достаточно просто посмотреть на имена разработчиков, что бы понять, что мудрые диды и ненавистные хипстеры-смузихлебы это одни люди

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #72 Ответы: #88, #95

78. Сообщение от Аноним (44), 09-Июл-23, 20:23 +/–

Он еще и ipset -L|grep или там  ipset -L|awk не осилил, говорит, что прочитать ничего не может

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #74

79. Сообщение от лютый арчешкольник... (?), 09-Июл-23, 21:11 +/–

>Не хочу тебя расстраивать
С rhel ты не ошибся. А в рачике вполне себе
iptables -V
iptables v1.8.9 (legacy)
lsmod | grep ipta
iptable_filter         12288  0
ip_tables              36864  1 iptable_filter
x_tables               61440  2 iptable_filter,ip_tables

в rhele, да, неплохо спрятали, в описании пакета ни слова про nft.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #68 Ответы: #82

80. Сообщение от лютый арчешкольник... (?), 09-Июл-23, 21:19 +/–

>боты находят ssh на любом порту
уверяю тебя, если у тебя брутят sshd где-то в 40000-50000, это не боты, а как минимум кульхацкеры.
"переход на IPv6" как средство от брутов звучит ещё большим бредом, чем fail2ban

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #45 Ответы: #81

81. Сообщение от Аноним (44), 09-Июл-23, 21:47 +/–

> уверяю тебя, если у тебя брутят sshd где-то в 40000-50000, это не боты, а как минимум кульхацкеры.
Такие же боты
Слушай, ну я работаю с 97 года и когда-то тоже слушал советы про засовывание головы в песок
Потом понял, что смысла нет, один фиг находят достаточно быстро
Переход на ключи позволяет полностью избежать угрозы брутфорса
А использование IPv6 это в принципе нормально давно уже
Все нормальные хостеры дают тебе /64 или /56 на сервер, домашний провайдер у меня один дает /64, второй /56
Вешаешь где-нибудь на v6 свой ssh и забываешь про следы ботов в логах
Кстати, покойный Яндекс и живые Гугл, Амазон и прочие ФБ для своих серверов внутри ДЦ используют IPv6-only уже давно, то что его мало юзают на моей бывшей родинке-бородавке и потому ты его не юзаешь ничего не значит

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #80 Ответы: #101

82. Сообщение от Аноним (44), 09-Июл-23, 21:48 +/–

Ну видимо в раче единственный школьник не справился со сборкой, вот и юзают легаси
В RHEL, кстати, кажется и в 7ом уже это nftables, на самом деле, но я не уверен, как-то традиционно последние 23 года работаю больше с Debian-based и что там лучше знаю

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #79 Ответы: #100

83. Сообщение от Аноньимъ (ok), 09-Июл-23, 23:12 +/–

Враньё.
И деды и пределы и отцы пользовались pf и ipfw.
iptables это хипстеры устроили.
А nftables порриджи.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13 Ответы: #93

84. Сообщение от Аноньимъ (ok), 09-Июл-23, 23:18 +/–

>Да, в языке более мощные средства мета-программировани
В Си средства метапрограммирования?
Таблетки ненужно забывать пить.
И закусывать.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #22 Ответы: #90, #92

85. Сообщение от пох. (?), 10-Июл-23, 03:14 +/–

скорее так - в районе 10k правил на цепочку _можно_ ухитриться вляпаться в проблемы.
Но надо стараться.
Большинство локалхостов местных васянов никак эту проблему не заметят - как тормозил их написанный в 2002м году perl скрипт счетчика, так и будет. Задержки от iptables на этом фоне никто даже не увидит.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #73 Ответы: #102

86. Сообщение от пох. (?), 10-Июл-23, 03:19 +/–

а если дочитать дальше заголовка?
"but the Rust port is currently disabled"
То есть хайпожору удалось все же не быть (пока) уволенным за год потраченный на переписывание-переписывание уже работающего кода на ненужно, и оно даже прошло какие-то тесты но... почему-то так и не попало в работающий софт.
Все что надо знать о хрустиках и их амбициях.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #66

88. Сообщение от Аноним (88), 10-Июл-23, 04:14 +/–

> а от одного слова "смузи"
ах, если бы

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #77

90. Сообщение от Аноним (88), 10-Июл-23, 04:17 +1 +/–

так макросы же

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #84

91. Сообщение от Sw00p aka Jerom (?), 10-Июл-23, 06:17 +/–

>А при чем тут пользователи?
А кто либой пользуется?
>которые придется просмотреть всем ревьюверам
Я напишу код, а тестировшики проверят, хрен вам. Культура разработки должна быть, первый тестировщик и ревьювер это тот кто пишет код. Щас понятие не имеют, что есть отладка, думают, что кто-то другой должен прийти и отлаживать их приложение.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #50 Ответы: #97

92. Сообщение от Sw00p aka Jerom (?), 10-Июл-23, 06:22 +/–

Он имел ввиду макросы

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #84

93. Сообщение от User (??), 10-Июл-23, 09:05 +/–

Эмм... а ipf тогда кто?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #83 Ответы: #96

94. Сообщение от ivan_erohin (?), 10-Июл-23, 09:08 +/–

>  у iptables своих траблов хватало.
например ?
вангую экзотическую нагрузку и пограничные случаи, гже не ступала нога тестировщика.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #65

95. Сообщение от 1 (??), 10-Июл-23, 09:22 –1 +/–

Ну имена именами ... но что-то я сомневаюсь, что, во первых, им не лень пилить 20 лет одно и то же, и, во вторых они сами пишут код, а не руководят.
X11 и вяленый хороший пример. Вроде и люди делали те же, а одно "работает везде", а второе внедряется (в основном в умы) уже 15 лет.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #77

96. Сообщение от 1 (??), 10-Июл-23, 10:24 +/–

прадеды

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #93 Ответы: #99

97. Сообщение от Анонимусс (?), 10-Июл-23, 10:48 +/–

Что-то мне кажется что мы о разных вещах говорим.
У меня либой пользуются разрабы, ну, в крайнем случае, мейнтейнеры. Всё. Пользователь о либе вообще ничего не знает, если вышеперечисленные хорошо сделали свою работу. У него есть TUI/GUI, через него и взаимодействует.
По поводу культуры разработки. Я писал про случай, когда тебе в проект нужно затянуть чью-то либу и она должна быть отревьювлена разрабами. Тестировщики код смотреть не будут, это будут делать разрабы. И речь была про удобство и эффективность этой части.
Пользователей, которым по тем или иным причинам, приходится собирать код с сорцов не рассматриваю.
Или у них уровень разраба и они сами могут посмотреть код и тогда он не пользователь.
Или им пофиг что собирать - 100500 мелких крейтов, или одну большую кучу кода, или пачку блобов.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #91

98. Сообщение от Аноним (98), 10-Июл-23, 11:18 +1 +/–

Не любой софт одинаково полезен. И к тому же, в опенсорсе очень много дубликатов (офисные пакеты и оконные менеджеры как пример).

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #54

99. Сообщение от User (??), 10-Июл-23, 12:49 +/–

> прадеды
Не-не! Там выше все ходы записаны - "и деды, и прадеды" - это pf\ipfw, а я еще через ipf ftp пропихивал - видимо, совсем уж былинные времена, до слезания с пальмы...

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #96

100. Сообщение от лютый арчешкольник... (?), 10-Июл-23, 16:09 –1 +/–

>видимо в раче единственный школьник не справился
понтующийся бабуановец, пытающийся убедить себя в том, что насильно впаренный ему nft не гuано.
в арче и то и то можно поставить. это конечно школьник-way
>кажется и в 7ом уже это nftables
нюню

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #82

101. Сообщение от лютый арчешкольник... (?), 10-Июл-23, 16:14 –1 +/–

>смысла нет, один фиг находят достаточно быстро
а у меня не находят, десятки серверов торчат в инет годами. никто ничего не перебирает на портах в духе 43854
>Переход на ключи позволяет полностью избежать угрозы брутфорса
"угрозы брутфорса" нет в любом случае с несловарными паролями. есть дискомфорт от сообщений о "ххх неверных попыток"

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #81

102. Сообщение от Аноним (72), 10-Июл-23, 20:51 +/–

> скорее так - в районе 10k правил на цепочку _можно_ ухитриться вляпаться в проблемы.
С 10k правил на цепочку получаешь практически гарантированные проблемы и с тем, что пакеты матчатся уже заметно долго, особенно для правил в хвосте цепочки, и с тем, что загрузка фаерволла в память занимает заметное на глаз время. IBM про это рассказывал ещё в 2019, в контексте массивных деплоев кубернетеса у их клиентов с тысячами и десятками тысяч сервисов на кластер.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #85 Ответы: #104

103. Сообщение от Аноним (103), 10-Июл-23, 21:48 –1 +/–

Одно из достоинств Гарвардской архитектуры заключается в том, что повреждение памяти данных не приводит к повреждению данных команд.

Ответить | Правка | Наверх | Cообщить модератору

104. Сообщение от пох. (?), 10-Июл-23, 21:59 +/–

Ну я не знаю чем там ебеме страдал - у меня оно было в 2012м и это ни разу не были поделки подобного типа. Возможно в этом и причина.
Причем на железе казавшемся ретро уже в том 12м. (какой красочки украли...)
Сколько оно там загружалось (в one true iptables, разумеется, а не в новой модной поделке) - не могу сказать, но ни разу не было поводов присматриваться.
Проблемы со скоростью прохода по цепочке при желании можно было бы увидеть, но это надо было бы загрузить хост совершенно ему несвойственной деятельностью, а на том чем он был занят оно не отражалось, там своих совершенно других проблем хватало.
(софтсвитчи у нас с такими правилами были, если что, т.е. это не результат деятельности fail2ban или еще чего безмозглого)

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #102 Ответы: #106

105. Сообщение от InuYasha (??), 11-Июл-23, 20:31 +/–

Жир аж стекает с экрана.
В очередной раз удивляюсь, почему все так любят троллить в комментах. Да, в них более мощные средства мета-коментирования и клевая оптимизация. Но его меньшая дружелюбность до сих пор аукается кучей проблем. Да, не все могут нормально в них писать. Я в школе писал на доске без спеллчекера. Я могу. У меня словарь в голове. А индусы пусть дальше пишут в прощающих все возможные ошибки социалках.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #22

106. Сообщение от Аноним (72), 11-Июл-23, 21:38 +/–

> поделки
При чём тут это? «Поделка» вызывает ровно тот же iptables и загружает в него совершенно обычные правила, ровно так же, как ты это на баше делал в 2012.
> Сколько оно там загружалось (в one true iptables, разумеется, а не в новой модной поделке) - не могу сказать
На этом, в общем-то, можно и закончить. Что там было ты не знаешь, как работало не присматривался. А там того гляди выяснится, что правил у тебя было на два порядка меньше, и трафик измерялся в килобитах. Вся суть экспертизы поха: что-то как-то где-то было, но как именно, где и что за давностью лет уже не помнит, но по ощущениям — точно было лучше, чем сейчас, потому что тогда вообще всё было лучше.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #104 Ответы: #107

107. Сообщение от пох. (?), 11-Июл-23, 22:16 +/–

> При чём тут это? «Поделка» вызывает ровно тот же iptables и загружает в него совершенно обычные
> правила
нет. На этом, действительно, можно было бы и закончить. То есть ты темой не владеешь абсолютно.
> Что там было ты не знаешь, как работало не присматривался.
я знаю что там было, но меня не интересовали замеры с секундомером. Вот число правил я знаю, потому что да, с некоторой опаской периодически пересчитывал - многовато будет. И присматривался я к работе системы, по ее основному профилю. Она работала, остальное - совершенно неинтересно.
Траффик в килобитах - это вот _твой_ уровень экспертизы, потому что я назвал область применения.
Да, тогда в целом было лучше почти все - наследие тех времен когда код писали (да и все остальное делали) еще свободные люди для себя или для самовыражения, а не галерные индусы. Сейчас оно практически полностью прое...но.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #106

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2025 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. Сообщение от Анонимусс (?), 08-Июл-23, 22:36	+9 +/–
> use-after-free > обращению к области памяти за пределами конца массива > приводит к двойному вызову функции free() Это же full house!
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #4

2. Сообщение от ИмяХ (?), 08-Июл-23, 22:53	–2 +/–
>>вызвавший уязвимость код не был бэкпортирован в более ранние LTS-ветки ядер пора бы всем уяснить, что лтс - это не "гвно мамонта" это и есть стабильные версии, за которые можно отвечать. Юзая фичи из "новых ядер" вы просто работаете бесплатными бета-тестерами. Вас тупо используют.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #6, #9

4. Сообщение от ИмяХ (?), 08-Июл-23, 22:56	–8 +/–
Опять не настоящие подставные сишники устроились на работу, а потом роняют контору, написал вредноносный код. А потом "ой, мы ошиблись"
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #1 Ответы: #7, #17

6. Сообщение от Анонин (?), 08-Июл-23, 23:37	+5 +/–
Но 5.10 и 5.15 - тоже lts, а там эта бажина уже есть, причем 5.10 вообще SLTS. Просто они всю связанную фичу поленились бекпортить на "гвно мамонта". А с другая бажина вообще с ядра 3.13 - это на минуточку 2014 год. Поэтому апелляция к LTS - просто теорема Эскобара ¯\_(ツ)_/¯
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #2

7. Сообщение от пох. (?), 08-Июл-23, 23:45	+8 +/–
опять любители безопасТных язычков ничего написать не смогли кроме драйвера мигания светодиодиком, да и тот panic вызывает и использует кучу сишных деталек. Ну что ж ты будешь делать, опять придется пользоваться опастными и решать проблемы по мере поступления.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #4 Ответы: #8, #24

8. Сообщение от Анонимусс (?), 08-Июл-23, 23:56	+4 +/–
Так они уже написали целый видеодравер. Печально другое. Любители дыряшки так и не научились считать размеры массивов! А оставшиеся тыщща глаз не смогли это заметить за последние 9 лет. Вот и приходится переписывать это все г. А написали его огого сколько...
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #7 Ответы: #18, #29, #64

9. Сообщение от Аноним (9), 09-Июл-23, 00:09	+/–
Пора бы тебе уяснить, что лтс существует для корпоративных аутистов и по факту не даёт ничего, никто не даст тебе никаких гарантий и лично я несколько раз видел как минорное обновление лтс ядра приносило кучу фатальных багов. Работоспособность актуальной версии намного выше чем рандомной копролитной версии.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #2

11. Сообщение от Аноньимъ (ok), 09-Июл-23, 03:45	+2 +/–
>Проблема решена через удаление модуля tcindex из ядра, начиная с ветки 6.3. Чё? А что делать тем кто не на самом последнем ведре сидит или вообще модуль этот использует? >Исправление проблемы пока доступно только в виде патча. Эм что? Можно вначале исправления залить, а потом уязвимость публиковать?
Ответить \| Правка \| Наверх \| Cообщить модератору

13. Сообщение от Аноним (13), 09-Июл-23, 04:07	+1 +/–
nftables Деды пользовались iptables, прадеды ipchains - всё было стабильно, пришла молодёжь, придумала новый фаирволл - результат, как говорится, на лицо
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #14, #20, #44, #83

14. Сообщение от Парень твоего папы (?), 09-Июл-23, 05:23	+/–
Сколько уязвимостей в пропёрженных дедами iptables история умалчивает
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #13

15. Сообщение от Kuromi (ok), 09-Июл-23, 05:42	+1 +/–
"CVE-2023-35001 - уязвимость в модуле nf_tables, позволяющая локальному пользователю выполнить свой код на уровне ядра. Уявзимость вызвана некорректными манипуляциями с указателем при обработке выражений nft_byteorder , которые могут привести к обращению к области памяти за пределами конца массива. Для эксплуатации требуется наличие прав CAP_NET_ADMIN. Проблема проявляется начиная с ядра 3.13 и пока устранена только в форме патча." Обожаю когда находятся дыры которые уже могли бы в школу ходить... Отрезвляет.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #31

17. Сообщение от Аноним (17), 09-Июл-23, 08:08	+2 +/–
Ведь настоящие, не подставные сишники таких ошибок никогда не сделают!
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #4 Ответы: #23, #32

18. Сообщение от Аноним2 (?), 09-Июл-23, 08:20	+/–
Целый драйвер который никто не использует. Вон карго как только начали использовать, сразу дыры повылазили. А тут стоит на 90% линуксов (андройд не линукс) и только щас нашли.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #8

20. Сообщение от Geek (?), 09-Июл-23, 09:13	+2 +/–
Потому что nft
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #13

21. Сообщение от Аноним (21), 09-Июл-23, 09:18	+/–
Насколько я помню, nftables на порядок быстрее. Заглянул в drop, куда автоматом сваливаются все переборщики fail2ban`ом, за год накопилось ~5000 адресов. Вопрос к iptables гуру - а старые таблицы такое тянули?
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #34, #46, #49, #52, #73

22. Сообщение от Аноним (22), 09-Июл-23, 09:32	+/–
В очередной раз удивляюсь, почему все так любят Си. Да, в языке более мощные средства мета-программирования и клевая оптимизация. Но его меньшая дружелюбность до сих пор аукается кучей проблем. Да, не все могут нормально на нем писать. Я в школе писал на ассемблере без отладчика. Я могу. У меня отладчик в голове. А индусы пусть дальше пишут на прощающих все возможные ошибки скриптах.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #26, #36, #51, #84, #105

23. Сообщение от Аноним (23), 09-Июл-23, 09:58	+/–
А настоящие безопастноязычковые всё перепишут.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #17 Ответы: #40, #54, #60

24. Сообщение от Аноним (24), 09-Июл-23, 09:59	+/–
Пох как обычно в своём стиле - из программ на Rust тебе следует обратить внимание на Libreddit & Veloren.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #7 Ответы: #39

25. Сообщение от Аноним (24), 09-Июл-23, 10:01	+/–
Ой, а что же случилось? Валгринд, Cppcheck и Clang-analyze не помогли?
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #27

26. Сообщение от Аноним (23), 09-Июл-23, 10:03	+5 +/–
Меньшая дружелюбность чем у кого? Меньшая чем у ассемблера? Старость даёт о себе знать.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #22

27. Сообщение от Аноним (27), 09-Июл-23, 10:03	+2 +/–
Ой, а чего это ты на Redox не перешел до сих пор?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #25 Ответы: #55

29. Сообщение от FF (?), 09-Июл-23, 10:05	+1 +/–
Когда из карго прилетает 100500 пакетов, то ревьювить ещё легче, правда? Как node modules с желто-синими пост-скриптами
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #8 Ответы: #37, #53

31. Сообщение от лютый арчешкольник... (?), 09-Июл-23, 10:05	–2 +/–
>Обожаю когда находятся дыры которые уже могли бы в школу ходить... хз кто нам эти годы NFT мог юзать, в RHEL8 ещё есть iptables. у меня на арче-десктопе (6.4.1) до сих пор iptables
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #15 Ответы: #68

32. Сообщение от YetAnotherOnanym (ok), 09-Июл-23, 10:06	+2 +/–
Уж ты-то таких ошибок не сделаешь, ты-то не лезешь писать на Си, потому что понимаешь, что у тебя не хватит мозгов написать и тысячной доли того, что написал любой из этих подставных сишников.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #17 Ответы: #56

34. Сообщение от лютый арчешкольник... (?), 09-Июл-23, 10:07	+/–
>за год накопилось ~5000 адресов занимаешься хэрнёй, перевешай на другой порт sshd, если надписи мешают. А подобрать любой адекватный пароль по ssh невозможно.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #21 Ответы: #43, #45

36. Сообщение от Аноним_5 (?), 09-Июл-23, 10:51	+2 +/–
Это ты #define обозвал "средствами мета-программирования"? В древнючей сишке нет никакого метапрограммирования. Она же тупая как лапоть. А оптимизации к самой сишке никакого отношения не имеют. Современные компиляторы оптимизируют промежуточное представление и не привязаны к языку (за исключением древностей, которые к нему приколочены гвоздями).
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #22

37. Сообщение от Анонимусс (?), 09-Июл-23, 10:56	+2 +/–
А это кстати вопрос. Что легче ревьювить: - 20 атомарных маленьких пакетов, по 1000 строк, каждому из которым можно бампнуть версию - или одну либу на 20000 строк, которая, при той же скорости добавления изменений, будет обновляться существенно чаще Что-то подсказывает что второй вариант существенно хуже.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #29 Ответы: #48

39. Сообщение от пох. (?), 09-Июл-23, 11:06	–1 +/–
о да, о да - это ненужное ненужно безусловно по сложности эквиваленты nftables. А не корявому скрипту на баше первое и я уж не знаю даже что из времен zx второе.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #24 Ответы: #41

40. Сообщение от пох. (?), 09-Июл-23, 11:07	+3 +/–
> А настоящие безопастноязычковые всё перепишут. Начнут переписывать! (и сразу же все станет безопастно. нет кода - нет опастностей)
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #23

41. Сообщение от Аноним_5 (?), 09-Июл-23, 11:48	–1 +/–
Потому что nftables такое же ненужное ненужно. Были нормальные iptables, но нет, нужно было понаписывать...
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #39 Ответы: #65