The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Files и librsvg

13.08.2023 08:24

Несколько недавно выявленных уязвимостей:

  • В PHP выявлена уязвимость (CVE-2023-3824) в реализации функции phar_dir_read(), которая может привести к переполнению буфера и потенциально выполнению кода злоумышленника при обработке содержимого специально оформленного phar-файла. Проблема вызвана отсутствием должных проверок размера элементов, присутствующих в phar-файле. Уязвимость устранена в выпусках PHP 8.0.30, 8.1.22 и 8.2.8.
  • Уязвимость (CVE-2023-3823) в PHP-функциях для разбора файлов XML, позволяющая добиться утечки информации в приложениях, при обработке XML-документов с конструкцией вида "<!DOCTYPE root [ %remote; %intern; n%trick;]>". Например, в ходе эксплуатации уязвимости можно узнать содержимое произвольных файлов или результат выполнения внешнего запроса. Уязвимость устранена в выпусках PHP 8.0.30, 8.1.22 и 8.2.8.
  • Уязвимости в мультимедийном фреймворке GStreamer (CVE-2023-38104, CVE-2023-38103), приводящие к целочисленному переполнению при обработке файлов в формате RealMedia. Злоумышленник может добиться выполнения своего кода в системе при воспроизведении специально оформленного файла в приложениях, использующих GStreamer.
  • Уязвимость в драйвере netback, используемом в Xen, приводящая к переполнению буфера при обработке специально оформленного сетевого пакета. Уязвимость может применяться для вызова отказа в обслуживании на стороне хост-окружения через отправку сетевых пакетов к бэкенду со стороны гостевой системы. Не исключено, что уязвимость также может привести к выполнению кода или повреждению данных на стороне хост-системы.
  • 7 уязвимостей в Node.js. Уязвимости CVE-2023-32002, CVE-2023-32004 и CVE-2023-32558, которые помечены как опасные, позволяют обойти выставленные через policy.json ограничения и загрузить модули в обход заданных политик доступа через использование функции Module._load(), а также через указание символов "../" в путях при использовании класса Buffer или функции process.binding(). Проблемы устранены в выпусках Node.js 16.20.2, 18.17.1 и 20.5.1.
  • Уязвимость (CVE-2023-24329) в функции urllib.parse, входящей в стандартную библиотеку Python и используемой во многих библиотеках разбора URL-адресов. Уязвимость позволяет обойти методы блокировки недопустимых ссылок, реализованные на основе функции urllib.parse, через указание вначале URL пустых символов. Например, таким образом можно обойти системы проверки, запрещающие указание определённых имён хостов или протоколов (например, использовать схему "file://"). Уязвимость устранена в выпусках Python 3.11.4, 3.10.12, 3.9.17, 3.8.17, 3.7.17.
  • Уязвимость в GNOME Files, связанная с сохранением suid-бита в файлах, извлечённых из zip-архивов. Локальный злоумышленник может передать жертве архив с исполняемым файлом с suid-битом и после открытия жертвой этого архива в GNOME Files, файл будет распакован в локальной ФС с сохранением выставленного suid-бита. Если в системе допускается доступ на чтение к содержимому каталогов других пользователей, злоумышленник может выполнить распакованный файл под идентификатором жертвы.
  • Уязвимость (CVE-2023-38633) в библиотеке librsvg, развиваемой проектом GNOME. Проблема позволяет прочитать произвольные файлы в системе при обработке в библиотеке специально оформленного svg-изображения. Уязвимость вызвана возможностью выхода за пределы базового каталога при доступе к ресурсам при помощи конструкции "include href" через использование символов "../" в пути (например: "<xi:include href=".?../../../../../../../../../../etc/passwd" parse="text" encoding="UTF-8">").


  1. OpenNews: Применение в Ubuntu своих патчей к OverlayFS привело к появлению уязвимостей
  2. OpenNews: Удалённо эксплуатируемая уязвимость в OpenSSH ssh-agent
  3. OpenNews: Под видом эксплоита к уязвимости в rkvdec распространялся вредоносный код
  4. OpenNews: Уязвимости в Redis, Ghostscript, Asterisk и Parse Server
  5. OpenNews: Уязвимости в GStreamer, приводящие к выполнению кода при обработке файлов SRT и PGS
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/59592-php
Ключевые слова: php, gstreamer, xen, node.js, python, gnome, librsvg
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (88) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, Аноним (1), 09:50, 13/08/2023 [ответить] [﹢﹢﹢] [ · · · ]  
  • +14 +/
    > Уязвимость (CVE-2023-38633) в библиотеке librsvg

    Вот переписали бы на... Ой, это ведь была libsvg когда-то.

     
     
  • 2.2, Sergey (??), 10:10, 13/08/2023 [^] [^^] [^^^] [ответить]  
  • +1 +/
    В расте не может быть уязвимости !
     
     
  • 3.78, Аноним (78), 07:36, 14/08/2023 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Раст и есть уязвимость.
     
  • 2.3, Анонимусс (?), 10:29, 13/08/2023 [^] [^^] [^^^] [ответить]  
  • +9 +/
    Ну так именно поэтому тут проблема с путями, а не с переполнением буфера или overflow как в дыряшке в соседних уязвимостях.
     
     
  • 3.4, Sergey (??), 10:34, 13/08/2023 [^] [^^] [^^^] [ответить]  
  • +/
    А где по вашему больше виноват человек (кодер) где пути или где память ?
     
     
  • 4.5, Анонимусс (?), 10:41, 13/08/2023 [^] [^^] [^^^] [ответить]  
  • +6 +/
    И там и там виноват)) Но с памятью ошибки опаснее, пути не дадут выполнить произвольный код.
    Поэтому у этой уязвимости CVE-2023-38633 score 7.5, а у уязвимости в CVE-2023-3824 с памятью - 9.4 CRITICAL.
    Чувствуется разница? А вообще все эти уязвимости с выходом за пределы родного каталога - просто результат черехж0пно спроектированной оси.

    Просто дыряшке ты с легкостью сделаешь обе ошибки, а в растишке нужно постараться, чтобы накосячить с памятью.

     
     
  • 5.49, Аноним (-), 16:14, 13/08/2023 Скрыто ботом-модератором     [к модератору]
  • +3 +/
     
  • 4.99, Аноним (99), 03:01, 16/08/2023 [^] [^^] [^^^] [ответить]  
  • +/
    > А где по вашему больше виноват человек (кодер) где пути или где память ?

    Ну, это как установить мину, а потом сказать - виноват тот, кто наступил, не надо было наступать.

     
  • 3.33, Аноним (78), 14:20, 13/08/2023 Скрыто ботом-модератором     [к модератору]
  • +2 +/
     
  • 2.22, Шарп (ok), 12:37, 13/08/2023 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Там логическая ошибка, а не типичный сишный обсёр с указателями.
     
     
  • 3.24, Аноним (-), 13:14, 13/08/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Нет, это типичная логическая ошибка на Расте, каких в будущем будет много. И такой тип ошибок превратится в класс уязвимостей.
     
     
  • 4.35, Аноним (78), 14:22, 13/08/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Они время жизни указателя отследить не могут не то что пути.
     
  • 4.97, Аноним (97), 03:51, 15/08/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Это типичная ошибка на чем угодно, и это отдельный класс уязвимостей с тех пор, как вообще существуют относительные пути.
     
  • 3.55, Anon3 (?), 17:35, 13/08/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Ну так и об указателях можно сказать, что это логическая ошибка работы с указателями.
    Я уже начинаю считать количество типичных обс_ров разработчиков на rust при работе с файлами, включая https://www.opennet.dev/opennews/art.shtml?num=59548
    Есть гипотеза, что rust развращает, и разработчик ожидает, что работа с файлами будет такая же безопасная как с указателями.
    Вот что мешает разработать и встроить в rust безопасную работу с файлами с учетом их владения, передачи (включая по сети) и времени жизни? Rust начинали писать на OCaml, эту задачу может проще будет решить (для начала) на каком нибудь Coq, Agda, Idris
     
     
  • 4.61, ИмяХ (?), 18:54, 13/08/2023 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Это не получится. Надо создать новый язык, заточеный на безопасную работу с файловыми путями. И рекламировать его везде, вставляя по три больших абзаца текста про безопасную работу с файловыми путями, избавляя программиста от типичных ошибок выхода за пределы рабочего каталога
     
     
  • 5.68, Anon3 (?), 20:38, 13/08/2023 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Ну, не то, чтобы не получится.
    Но, наверно, вы правы.
    Во первых семантика работы с обьектами файловой системы и указателями может не совпадать и будет код на rust похожый на кашу (сейчас, то rust - образец элегантности)
    Во вторых, не всем нужна работа с файлами (может же персистентность обеспечиваться СУБД, etc)
    А вот rust, и всю его инфраструктуру, видимо надо позиционировать как stateless, всю работу с IO обьявть unsafe.
    Итого: rust, не язык  общего назначения, а вычислитель с перекладыванием байтов в оперативной памяти
     
  • 2.30, Аноним (30), 14:12, 13/08/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Вот именно, это лишний раз доказывает, что сознательные программисты/компании не зря (пусть не сразу) отказываются от сишки/плюсов. В них бы на одну эту "логическую" ошибку было бы в довесок еще две-три-четыре критических ошибки работы с памятью. Отрадно видеть, что в целом ЯП дает то, что обещает. Думать за программиста над задачей он не обещал. Это вам к чатгопоте будущих версий.
     
     
  • 3.36, Аноним (78), 14:22, 13/08/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Компании в твоём сказочном мире?
     
  • 3.45, Аноним (45), 15:43, 13/08/2023 [^] [^^] [^^^] [ответить]  
  • +/
    А, ну да, точно. И поэтому гугловцы решили переписать сетевой стек фуксии с го на плюсы.
    Видишь ли в конторах где умеют проверять уровень тупости программистов существуют отборочные вопросы и там сразу понятно кто явился. Растишка если бы был панацеей уже применялся бы вообще везде.
     
     
  • 4.67, Аноним (67), 20:27, 13/08/2023 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Пока что только отзывы от фанатов в духе "выбрать ржавчину было самой большой ошибкой моей жизни" и далее перечень объективных причин, почему это действительно оказалось плохой идеей. Но, в то же время, ржавчина всё ещё лучше сотен аналогичных моднявых язычков, и если таких неудачников не будет, она никогда не станет юзабельной. Поэтому, чем больше провалов, тем лучше.
     
     
  • 5.93, Аноним (93), 22:37, 14/08/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Какой современный "социолог". Расплывчатый сомнительный опрос и твердый вывод "это действительно оказалось плохой идеей"
     
     
  • 6.95, Аноним (67), 22:46, 14/08/2023 [^] [^^] [^^^] [ответить]  
  • +/
    На HN пару раз видел, там любят ржавчину.
     
  • 2.76, Аноним (76), 06:09, 14/08/2023 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Она и была librsvg. Библиотека для РАСТЕРИЗАЦИИ svg.
     

  • 1.6, Аноним (-), 10:45, 13/08/2023 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    1. phar_dir_read ошибка в файле dirstream.c немного ошиблись с вычислением размеров, бывает
    2. логическая ошибка парсинга
    3. GStreamer - в файле rmdemux.c забыли вычислять size для gst_buffer
    4. xen-netback/netback.c - buffer overrun, какая неожиданность!
    5. в жабаскрипте не силен, но тк там нет строгой типизации, то не удивительно
    6. urllib.parse - забыли экранировать ввод? странная ошибка для такой древней либы
    7. GNOME Files... проблема suid на пеньке появляется регулярно, возможно дело не в руках, а архитектуре
    8. и логическая ошибка в librsvg, почти как в PHP что вдвойне обидно)
     
     
  • 2.9, Sergey (??), 10:49, 13/08/2023 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Я про то что как бы оказалась что Раст будет способствовать понижению уровня программиста.
     
     
  • 3.11, Аноним (11), 10:54, 13/08/2023 [^] [^^] [^^^] [ответить]  
  • +/
    ты делаешь такой вывод из одной cve'шки ?
    было бы интересно глянуть, что там было до переписывания (но лень)))
    может логику транслировали 1-в-1 со всеми ошибками
     
     
  • 4.73, tty0 (?), 00:43, 14/08/2023 [^] [^^] [^^^] [ответить]  
  • +/
    История помнит Delphi. Раст, конечно, не столь удобный и продуманный, но все возможно.
     
  • 3.13, Анонин (?), 11:08, 13/08/2023 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Ахаха, а у сишных бракоделов, которые даже размер буфера вычислить не могут, сильно высокий уровень??
     
     
  • 4.19, Ефрщ (?), 12:08, 13/08/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Откуда инфа что не могут?
     
     
  • 5.26, Аноним (26), 13:38, 13/08/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Посмотри на число уязвимостей и сложи 2+2(про переполнение не забудь)
     
     
  • 6.28, Аноним (67), 14:07, 13/08/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Посмотри на чём пишут софт и на чём только переписывают привет миры и сложи 1 и 1.
     
     
  • 7.32, Аноним (30), 14:20, 13/08/2023 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Посмотрел. В андроиде (в последнийх версиях) _новую_ нативную системщину стараются писать на расте и выкидывают к хе.рам собачьим си/плюсы. Старую сишню/плюсовину пока переписывать не собираются, там же рациональные люди, не фанатики - слишком дофига написано, всё не перепишешь, плюс в старом уже большинство ошибок вылизано. Зато радуются, что в ядро растишку всунули. Грозятся, что когда вызреет то и в ядро на расте будут писать, ибо все эти сишные баги их достали. Так что держись там.

    https://security.googleblog.com/2022/12/memory-safe-languages-in-android-13.ht

     
     
  • 8.39, Аноним (67), 14:26, 13/08/2023 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Как я понимаю, ты радуешься за успехи корп в эмбеддовке, но это не серьёзно Как... текст свёрнут, показать
     
     
  • 9.41, Аноним (30), 14:41, 13/08/2023 [^] [^^] [^^^] [ответить]  
  • –2 +/
    Похоже, не читал ссылку Свободен, пионер Скоро в школу ага, попробуй найди ст... текст свёрнут, показать
     
     
  • 10.42, Аноним (67), 14:58, 13/08/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Твои аргументы не звучат сколько-нибудь убедительно ... текст свёрнут, показать
     
  • 5.59, Анонин (?), 18:22, 13/08/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Если бы умели считать, то и уязвимостей не было))

    glibc https://www.opennet.dev/opennews/art.shtml?num=59529
    "Устранена уязвимость CVE-2023-25139, приводящая к переполнению буфера в функциях семейства printf при записи в буфер строковых представлений чисел с разделителями тысячных диапазонов, если размер буфера рассчитан без учёта разделителей (например, вывод 1,234,567 приведёт к переполнению на 2 байта)."

     
  • 2.21, Аноним (21), 12:19, 13/08/2023 [^] [^^] [^^^] [ответить]  
  • +1 +/
    5. Оно и видно что не силён, ведь все 7 из 7 уязвимостей в ноде ни как не связаны с динамической типизацией
     
     
  • 3.31, Анонин (?), 14:13, 13/08/2023 [^] [^^] [^^^] [ответить]  
  • –1 +/
    О, у нас спец по ноде! Неужели все 7 тоже сишные дырени?
     
     
  • 4.101, Аноним (101), 00:24, 18/08/2023 [^] [^^] [^^^] [ответить]  
  • +/
    И єтого я тоже не говорила, виноваты разрабы ноды.
     

  • 1.7, Sergey (??), 10:45, 13/08/2023 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    Да ладно, нормально все тут с путями, они вообще с Unix пришли.
     
     
  • 2.8, Аноним (8), 10:49, 13/08/2023 [^] [^^] [^^^] [ответить]  
  • +/
    смотрю в Windows проблем вообще нет?
     
     
  • 3.10, Аноним (-), 10:50, 13/08/2023 Скрыто ботом-модератором     [к модератору]
  • –2 +/
     
  • 3.51, Аноним (78), 16:33, 13/08/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Просто про проблемы никто не знает кроме правильных людей.
     
  • 2.14, Анонин (?), 11:10, 13/08/2023 [^] [^^] [^^^] [ответить]  
  • –2 +/
    Проблема не с путями, а с тем, куда ось дает доступ.
    То что кто угодно может читать что угодно было нормально в дремучие времена юниксов.
     
     
  • 3.17, Sergey (??), 11:55, 13/08/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Selinux может ограничивать доступ не только к файлам и сетке но и к памяти ...
     
     
  • 4.29, Анонин (?), 14:10, 13/08/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Может, это круто. Ну и где ваш Selinux? Его нужно установить и настроить, причем правильно настроить, а то будет еще хуже. В AppArmor можно тоже прописать deny path, а толку.

    Это должно быть в оси по умолчанию. Каждая аппа получает доступ к своей папке в хомяке и больше никуда. Все остальные запросы на доступ идут через запросы к оси и юзер дает права. Или прописываются ручками в отдельном конфиге, если так удобнее.

     
     
  • 5.46, Аноним (46), 15:47, 13/08/2023 [^] [^^] [^^^] [ответить]  
  • +/
    В первом абзаце жалуется на то, что ему SELinux папа не настроил, и тут же во втором просит дать ему SELinux ручками настраивать. Подростки такие подростки…
     
     
  • 6.58, Анонин (?), 18:16, 13/08/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Еще раз для таких отбитых как ты))
    SELinux - это просто костыль для ядра, потому что в свое время нормально не сделали, а потом уже поздно было переделывать. Контроль доступа к каталогам должен (был) быть неотъемлемой частью ядра. Но что есть, то есть.
     
     
  • 7.64, uis (??), 19:21, 13/08/2023 [^] [^^] [^^^] [ответить]  
  • +/
    И как же должно быть нормально, о великий кексперт?
     
  • 7.92, Аноним (93), 22:30, 14/08/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Что бы сделать что-то подобное мандатному доступу - надо договориться. Кому надо - поставят и настроят костыль.
     
  • 5.62, Sergey (??), 19:11, 13/08/2023 [^] [^^] [^^^] [ответить]  
  • –1 +/
    В смысле установить и намтроить ? В Федоре все по дефаульту пашет.
    В 2005 году (точно не помню) бяла утечка ПХП и пол инета сайты потюкали, а что были на Шапке не пострадали.
     

  • 1.12, Аноним (12), 11:07, 13/08/2023 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Только 2 из уязвимостей связаны с повреждением памяти.
     
  • 1.15, Аноним (12), 11:12, 13/08/2023 [ответить] [﹢﹢﹢] [ · · · ]  
  • –2 +/
    Специальные элементы директорий '.' и '..' были большой ошибкой и костылём для того, чтобы bat-файлы, не имеющие ООП, было легче писать. Давно пора прекратить обработку '.' и '..' на уровне ядра и сломать все программы, от этого зависящие. Кому нужна родительская директория - пусть используют API операционной системы, POSIX API или std::filesystem. Это и есть окончательное решение вопроса.

     
     
  • 2.75, Аноним (75), 05:40, 14/08/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Вот это очень правильно. Тем более, что в хорошей фс может быть не единственный родительский каталог.

     
  • 2.83, Аноним (-), 18:23, 14/08/2023 [^] [^^] [^^^] [ответить]  
  • +/
    > Специальные элементы директорий '.' и '..' были большой ошибкой и костылём для
    > того, чтобы bat-файлы, не имеющие ООП, было легче писать. Давно пора
    > прекратить обработку '.' и '..' на уровне ядра и сломать все
    > программы, от этого зависящие. Кому нужна родительская директория - пусть используют
    > API операционной системы, POSIX API или std::filesystem. Это и есть окончательное
    > решение вопроса.

    Видите ли - так еще много контента ресурсы референсит. Кроме того - а как вы навигировать по иерархии будете без .. ? А назад возвращаться как?

     

  • 1.18, Аноним (18), 11:59, 13/08/2023 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Уязвимость в librsvg?! Не может быть! Эта библиотека написана на безопасном языке!
     
     
  • 2.20, Аноним (20), 12:14, 13/08/2023 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Дык и уязвимость безопасная. Просто фича такая, не дырень же.
     
     
  • 3.38, Аноним (78), 14:25, 13/08/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Ещё какая дырень.
     
  • 2.40, Аноним (30), 14:30, 13/08/2023 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Все верно. Там ведь наверное выход за пределы массива? Или обращение к невыделенной памяти? Или, может быть, ее дважды освободили? Хм... Так, что там еще... "Думать за программиста над задачей, предметной областью и не допускать АБСОЛЮТНО ЛЮБЫХ ВООБРАЗИМЫХ ошибок"? А, нет, это сишники выдумали это утверждение и приписывают его растоманам и языку. Пусть тешатся, болезные, ибо как им еще самоутверждаться, оправдываться за 70% ошибок в своих поделках.
     
     
  • 3.50, Аноним (78), 16:32, 13/08/2023 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Так растовики и считать не умеют выдумывают проценты и сами в них верят.
     
  • 3.52, gleb (?), 16:40, 13/08/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Не-а. Это наглядная иллюстрация к утверждению, что Раст затрудняет процесс написания (требует повышенного внимания программиста) и следовательно, косвенно способствует появлению логических ошибок.
    Сдаётся мне, таких новостей будет появляться всё больше.
     
     
  • 4.57, Анонин (?), 18:13, 13/08/2023 [^] [^^] [^^^] [ответить]  
  • +/
    https://www.opennet.dev/opennews/art.shtml?num=48680
    CVE-2018-11235 в гит - возможность выхода за границы базового каталога репозитория через использование символов "../" в относительном пути к субмодулю, определённому в файле ".gitmodules"

    О нет! У сишников в штанишках такая же уязвимость была! Возможно программирование на си требует повышенного внимания программиста и следовательно, косвенно способствует появлению логических ошибок.

    А вот аналогичная в питоне https://www.opennet.dev/opennews/art.shtml?num=59040
    https://www.opennet.dev/opennews/art.shtml?num=59190 - в гитлабе
    https://www.opennet.dev/opennews/art.shtml?num=57093 - опять питон, только еще рут получает
    https://www.opennet.dev/opennews/art.shtml?num=49440 - сишечка
    https://www.opennet.dev/opennews/art.shtml?num=55934 - go (moby, docker/cli и containerd)
    https://www.opennet.dev/opennews/art.shtml?num=57978 - и любимое - выход за пределы массива на сишечке, а потом за пределы каталога))
    И так далее...

    Поэтому ваше утверждение... мягко говоря имеет слабое обоснование

     
     
  • 5.100, glebiao (ok), 15:30, 16/08/2023 [^] [^^] [^^^] [ответить]  
  • +/
    а время покажет.

    пока утверждение косвенно подтверждает :) тот факт, что ВСЕ проекты на Расте пишутся чрезвычайно долго и результат, по-первости, падает на любой чих (яркий пример: inkscape позапрошлого года)

     

  • 1.23, Аноним (23), 12:39, 13/08/2023 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    Нет, Rust тут не поможет: ни один баг не про double-free и не про use-after-free, а больше никаких гарантий этот язык не дает.
     
  • 1.27, Витюшка (?), 13:46, 13/08/2023 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Интересно, как поможет Rust, если он тихо проглатывает численные переполнения в арифметических операциях?

    Значит скоро полезут уязвимости.

     
     
  • 2.56, Аноним (56), 18:09, 13/08/2023 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Переполнения не выходят за границы отведенной памяти. Значение становится невалидное. Кроме того, можно указать поведение в случае переполнения.
     
     
  • 3.71, Витюшка (?), 23:42, 13/08/2023 [^] [^^] [^^^] [ответить]  
  • +/
    В смысле не выходят??? А это тогда что?

    https://stackoverflow.com/questions/24898579/why-does-the-rust-compiler-allow-

     
     
  • 4.74, Анонимусс (?), 02:22, 14/08/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Там же по ссылке написано
    > thread panicked at 'index out of bounds

    Проверка не дала выйти за границу.

     
  • 4.90, Аноним (93), 22:08, 14/08/2023 [^] [^^] [^^^] [ответить]  
  • +/
    доступ по индексу проверяется в рантайме. Программа аварийно завершилась - доступа за пределы не было.
     
     
  • 5.96, Витюшка (?), 00:17, 15/08/2023 [^] [^^] [^^^] [ответить]  
  • +/
    В Rust индекс имеет тип usize. А значит при overflow вновь попадёт в валидный индекс 0.

    Это никак в runtime не проверить.
    Вот тебе и яузвимость - доступ к другому участку памяти.

    А там и данные могут быть с root правами, или спец значения и ТД.

     

  • 1.43, Kuromi (ok), 15:27, 13/08/2023 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    "при обработке файлов в формате RealMedia"

    Ну вряд ли много кто сейчас помнит-то о таком формате, не то что пользует. Такое найти можно только в пыльных архивах и еще кое где.

    Не самый удачный формат для использования уязвимости.

     
     
  • 2.44, Аноним (67), 15:37, 13/08/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Тем не менее, этот формат должен поддерживаться, иначе пользователи будут ныть. А значит, формат максимально удачный. Только вчера выяснял, почему в свеженькой игрушечке не работает видео, и там как раз этот формат оказался.
     
     
  • 3.69, Аноним (69), 20:59, 13/08/2023 [^] [^^] [^^^] [ответить]  
  • –1 +/
    >этот формат должен поддерживаться, иначе пользователи будут ныть

    Утрутся и сконвертируют. Распространители контента, не пользователи. У пользователей не ffmpeg виноват будет, а те, кто контент во всратом формате, а не в общепринятых h.264 h.255 vp9 в кортейнерах и mp4 mkv (и варианте webm) публикует.

     
     
  • 4.70, Аноним (67), 21:40, 13/08/2023 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Но ведь у пользователей всё работает. Это очень популярный формат на самом деле, куда популярнее, скажем, общепринятых ogg+theora/daala.
     

  • 1.53, Аноним (56), 16:41, 13/08/2023 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Debian 10 Gnome Распакован через Gnome Files tmp ls -al итого 12 d... большой текст свёрнут, показать
     
  • 1.72, Минона (ok), 00:38, 14/08/2023 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Это все от использования всяких ИИ-копилотов.
    Деградация налицо, обленились.
     
  • 1.79, just yet it (?), 14:04, 14/08/2023 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    больше уязвимостей нет, тащ майор
     
  • 1.80, Аноним (80), 16:16, 14/08/2023 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    > Уязвимость в GNOME Files, связанная с сохранением suid-бита в файлах, извлечённых из zip-архивов

    С каких пор это уязимость? Если хомяк не монитруется с noexec, то ЭТО уязвимость (дистрибутива). Если пользователь запускает что-то, установленное в обход пакетного менеджера, то ЭТО уязвимость (между экраном и клавиатурой). А сохранение атрибутов файлов - это стандартная функция менеджера архивов.

     
     
  • 2.81, Аноним (80), 16:16, 14/08/2023 [^] [^^] [^^^] [ответить]  
  • +/
    *noexec - nosuid nodev noexec
     
  • 2.82, Аноним (67), 18:15, 14/08/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Попробуй /tmp монтировать с noexec, потом поделишься впечатлениями. Сам ты уязвимость, малварь выглядит совсем не так, как ты её себе представляешь. Например, устанавливаемые из самых что ни на есть реп chrome и vscode -- малварь чистой воды.
     
     
  • 3.84, другой Аноним (?), 19:11, 14/08/2023 [^] [^^] [^^^] [ответить]  
  • +/
    > Попробуй /tmp монтировать с noexec, потом поделишься впечатлениями.

    А чо такого?
    % mount -v /tmp
    tmpfs on /tmp (tmpfs, local, noexec, nosuid)
    % stattime /etc/fstab                                                            
    File: /etc/fstab
    Access: 20:34:55 15/11/2014
    Birth: 18:47:56 14/11/2013
    Modify: 15:23:23 03/06/2021
    Change: 15:23:23 03/06/2021

    % uptime
    18:10:04  up 159 days 17:34

     
     
  • 4.86, Аноним (67), 19:16, 14/08/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Маловероятно, что это рабочая станция -- куча юзерского софта обломится. Да и смысла особого нет, если только нет цели огородить находчивого юзера.
     
     
  • 5.87, другой Аноним (?), 19:23, 14/08/2023 [^] [^^] [^^^] [ответить]  
  • +/
    > Маловероятно, что это рабочая станция -- куча юзерского софта обломится.

    Угу, это не рабочая станция, это ноут, с которого я пишу этот коммент. И да, "куч" обламывающегося не видел, проблемы обычно лишь у весьма специфичных смузи-поделок (сборка некоторых модулей для питона, ржавчины и прочее современное "sudo curl | sh")

     
     
  • 6.88, Аноним (67), 20:07, 14/08/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Вайнтрикс? DE?
     
     
  • 7.89, Аноним (89), 22:06, 14/08/2023 [^] [^^] [^^^] [ответить]  
  • +/
    > Вайнтрикс?

    Да вроде работал пару лет назад (не помню уже для чего использовал - вино у меня только для пары старых игрушек стоит).
    > DE?

    Нету. Еще лет 10 назад надоело регулярное "мы тут опять улучшили и перетасовали, привыкайте".
    Есть набор программ - частью стянуто из кед (Okular, Dolphin), частью "когда-то наткнулся и с тех пор пользуюсь".
    Под сборку и прочее есть отдельный /tmp-build

     
  • 3.91, Аноним (93), 22:23, 14/08/2023 [^] [^^] [^^^] [ответить]  
  • +/
    > Попробуй /tmp монтировать с noexec

    В Debian 10 многие tmpfs смонтированы с noexec и nosiud по-умолчанию.
    Запускать что-то из /tmp крайне подозрительно.

     
     
  • 4.98, Аноним (-), 06:41, 15/08/2023 Скрыто ботом-модератором     [к модератору]
  • +/
     

  • 1.94, Аноним (93), 22:41, 14/08/2023 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Проблема "../" в том, что, как сказал релокант, нот всего семь. А играть приходиться и на свадьбах и на похоронах. Происходит смешение.
     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Партнёры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2024 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру