The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

В RustFS выявлен предопределённый в коде токен доступа

03.01.2026 21:14

В проекте RustFS, развивающем совместимое с S3 распределённое объектное хранилище, написанное на языке Rust, выявлена уязвимость (CVE-2025-68926), напоминающая бэкдор. Проблема вызвана наличием жёстко прошитого в коде токена доступа, позволяющего подключиться к сетевому сервису по протоколу gRPC, указав в заголовке "authorization" значение "rustfs rpc". Токен присутствовал в коде сервера и клиента. Проблеме присвоен критический уровень опасности (9.8 из 10).

Атакующий, имеющий доступ к сетевому порту gRPC, мог использовать указанный токен для выполнения привилегированных операций с хранилищем, среди которых удаление данных, манипуляции с учётными данными пользователей и изменение настроек кластера. По умолчанию RustFS принимает gRPC-запросы на TCP-порту 9000 на всех сетевых интерфейсах. Уязвимость устранена в выпуске RustFS 1.0.0-alpha.77.


   grpcurl -plaintext -H 'authorization: rustfs rpc' \
     -d '{"access_key": "admin"}' \
     localhost:9000 node_service.NodeService/LoadUser

   grpcurl -plaintext -H 'authorization: rustfs rpc' \
     -d '{"volume": "config", "path": "backdoor.sh", "buf": "..."}' \
     localhost:9000 node_service.NodeService/WriteAll



  1. Главная ссылка к новости (https://github.com/rustfs/rust...)
  2. OpenNews: В iVentoy выявлена подстановка корневого сертификата при запуске Windows
  3. OpenNews: Злоумышленники смогли внедрить бэкдор в NPM-пакет от разработчиков криптовалюты XRP
  4. OpenNews: В NixOS предложен метод защиты от подстановки бэкдоров, таких как в XZ
  5. OpenNews: В чипах ESP32 выявлены недокументированные команды для управления контроллером Bluetooth
  6. OpenNews: SSH-бэкдор, установленный при взломе kernel.org, два года оставался незамеченным
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/64551-rustfs
Ключевые слова: rustfs, backdoor
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (126) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, Аноним (1), 21:21, 03/01/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +38 +/
    "SAFE" код
     
     
  • 2.2, Аноним (2), 21:23, 03/01/2026 [^] [^^] [^^^] [ответить]  
  • +23 +/
    Вы не понимаете, это другое :-)
     
     
  • 3.33, Лёлек (?), 23:01, 03/01/2026 [^] [^^] [^^^] [ответить]  
  • –20 +/
    Я на Феррари впахался в бетонную стену и всё сломалось. Вывод: Феррари -- кал. Так держать! Сразу видно уровень ваших знаний. Чем больше тупых разрабов, тем больше платят хорошим. Это обнадёживает :)
     
     
  • 4.128, Аноним (128), 13:33, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +8 +/
    Обнадёживает, что очевидные истинная доходят до cкoмopoxa, бьющего Ferrari 1:43 об стену.
     
  • 4.160, Ford (?), 23:19, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Уточните чем именно ферари не кал? Возможно производители над качеством не заморачиваются потому что машина доезжает до первого столба. Вобщем долго они не служат
     
  • 3.93, Аноним (93), 08:10, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +2 +/
    > Вы не понимаете, это другое :-)

    Потому что это действительно другое.
    Безопасный для пролов, но с дырочкой для кого надо. ;)

     
  • 2.31, Аноним (31), 22:53, 03/01/2026 [^] [^^] [^^^] [ответить]  
  • +9 +/
    Т.е. оно там даже не в unsafe блоке? Ну тогда это безопасно.
     
     
  • 3.123, xPhoenix (ok), 13:00, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    "Это безопасно!"

    Дэвид,  эксперт по безопасности.

     
  • 2.72, Аноним (72), 01:43, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +9 +/
    В любом тьюринг-полном языке можно добавить в код бекдор. Иначе он уже не тьюринг-полный.
     
     
  • 3.120, Аноним (2), 11:38, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +/
    > В любом тьюринг-полном языке можно добавить в код бекдор. Иначе он уже не тьюринг-полный.

    Точно! https://habr.com/ru/articles/966710/

     
  • 3.124, Аноним (124), 13:14, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Голосую за бэкдоры на Lua.
     
  • 2.92, Аноним (92), 07:47, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +5 +/
    В расте исключены уязвимости, связанные с безопасностью памяти, но с логическими ошибками он сделать ничего не может.

    На c++ будут и логические ошибки и уязвимости, вызыванные небезопасным обращением с памятью.

    Странно, что приходится это объяснять в 2026 году

     
     
  • 3.99, Аноним (99), 09:01, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • –2 +/
    > На c++ будут

    Не будут.

     
     
  • 4.104, Илья (??), 09:49, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +/
    >Странно, что приходится это объяснять в 2026 году

    Странно, что приходится это объяснять в 2026 году

     
  • 4.129, Прохожий (??), 13:34, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Согласен. Не будут, а уже есть.
     
  • 3.122, sage (??), 12:37, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > уязвимости, связанные с безопасностью памяти ...
    > ... но с логическими ошибками ...

    А разница? Типа ошибка при управлении памятью не является логической, и что-то мешает просто писать код без ошибок?

     
     
  • 4.131, Прохожий (??), 13:39, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +/
    >А разница?

    Принципиально - никакой. Всё дело лишь в количестве вот этого класса ошибок (по работе с памятью).

    >Типа ошибка при управлении памятью не является логической, и что-то мешает просто писать код без ошибок?

    Что мешает человеку забивать гвозди, не бахая молотком по пальцам? Здесь есть два ответа: несовершенство молотка и несовершенство человека. Первое исправить сравнительно легко, и люди придумали автоматический молоток. А со вторым пока никак.

     
  • 3.150, анондирован (?), 20:33, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Глупорсти. В Rust есть cve-rs и 11-ти летние баги компилятора приводящие ко всему этому в safe Rust
     
     
  • 4.162, Бжежко (ok), 04:17, 05/01/2026 [^] [^^] [^^^] [ответить]  
  • –1 +/
    cve-rs не компилится, а про 11 летние баги давай сылку.
     
  • 3.164, Кошкажена (?), 15:19, 05/01/2026 [^] [^^] [^^^] [ответить]  
  • +/
    > В расте исключены уязвимости, связанные с безопасностью памяти,

    Ха ха ха

    https://rustsec.org/advisories/
    https://github.com/rust-lang/miri/?tab=readme-ov-file#bugs-found-by-miri

    Растовшики: санитайзеры больше не нужны!
    Также растовщики позже: мы сделали аналог и нашли кучу багов с памятью мимо борова!

     
  • 2.142, анонимно (?), 15:41, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +/
    если вы серьезно, то вы нуб
     
  • 2.145, ffirefox (?), 18:06, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +/
    А чего все так возбудились? Продукт ещё из alpha не вышел.
    У тех, кто его на проде использует проблема не с языком программирования, а с головой вообще.
     

  • 1.3, Аноним (3), 21:28, 03/01/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +5 +/
    > на языке Rust ... уязвимость ... напоминающая бэкдор

    Вот и первых ласточек отловили.

     
     
  • 2.34, Аноним (34), 23:01, 03/01/2026 [^] [^^] [^^^] [ответить]  
  • +7 +/
    NSA говорила, всем переходить на Rust. (В его инопланетном синтаксисе легче спрятать.)
     
     
  • 3.94, Аноним (93), 08:13, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +/
    > NSA говорила, всем переходить на Rust. (В его инопланетном синтаксисе легче спрятать.)

    Позвольте полюбопытствовать! А у какого ЯП не "инопланетный" синтаксис? ))

     
     
  • 4.96, онанист (?), 08:42, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +/
    рядом же
    https://www.opennet.dev/opennews/art.shtml?num=64547
     
  • 4.100, Аноним (99), 09:02, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > Позвольте полюбопытствовать! А у какого ЯП не "инопланетный" синтаксис? ))

    У С.

     
     
  • 5.132, Прохожий (??), 13:41, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Набор используемых символов в обоих языках (C, Rust) одинаков.
     
  • 4.126, Аноним (124), 13:17, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Достаточных условий не знаю, но могу предложить необходимое - создатель языка должен остаться довольным, а не говорить "The grammar is not what I wanted. Sorry."
    https://graydon2.dreamwidth.org/307291.html
     
  • 4.144, Anonim (??), 17:25, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Паскаль
     
  • 4.154, BrainFucker (ok), 21:51, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    JS
     

  • 1.4, Аноним (4), 21:29, 03/01/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    > уровень опасности (9.8 из 10)

    А 10 из 10 тогда што?

     
     
  • 2.7, Аноним (3), 21:35, 03/01/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Затрудняюсь сказать... Но 9.8 - это удалённый доступ для выполнения привилегированных операций через продукт на расте.
     
  • 2.17, Аноним (17), 22:01, 03/01/2026 [^] [^^] [^^^] [ответить]  
  • +9 +/
    Это для внутренних продуктов АНБ для служебного пользования.
     
  • 2.18, Аноним (18), 22:03, 03/01/2026 [^] [^^] [^^^] [ответить]  
  • +/
    В данном случае после эксплуатации не меняется Scope. Если бы можно было, например, рута получить или из под гипервизора вырваться плюсом ко всему умеющемуся, то было бы 10 из 10.
     
  • 2.23, Аноним (23), 22:10, 03/01/2026 [^] [^^] [^^^] [ответить]  
  • –3 +/
    Порт 9000 редко бывает наружу оттопырен
     
     
  • 3.35, Аноним (35), 23:04, 03/01/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Так любой Васян из корпоративной локалки.
     
  • 3.73, Аноним (73), 02:17, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Поле "пароль", которое принимает либо твой пароль, либо пустую строку, как бы не очень выполняет свои функции. Бэкдоров в коде не должно быть, только физический в виде доступа к клавиатуре и терминала с рутом.
     
  • 3.147, эксперт по всему (?), 19:40, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +/
    вы слишком хорошо думаете об админо-девопсах. каждый день сливают базы потому что очередная установка по умолчанию (или даже еще хуже) всяких posgresql, mongodb, clickhouse и т.д. да можете сами сканером посканировать интернеты, найдете кучу всего торчащего наружу
     
  • 2.30, Аноним (30), 22:34, 03/01/2026 [^] [^^] [^^^] [ответить]  
  • +6 +/
    10.0 - полный захват устройства в режиме Godmode, а не только "ограниченного в правах процесса".

    По факту встречается лишь в сетевом оборудовании, включая сетевые экраны.

    Кроме того, RCE бэкдоры intel ME имеют сильно заниженный рейтинг, как по делу, так и нет (есть открытые червеподобные бэкдоры, требующие активации опр. настроек на серверных платах; а есть просто RCE из коробки, требующее нахождения "инициатора" в одной LAN сети с жертвой - ~6 баллов.. закладки АНБ оч. любят размещать исключительно внутри lan, и оценивают на 2-3 балла ниже китайских аналогов)

     
     
  • 3.156, Аноним (30), 22:39, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Так же стоит дополнить, что баллы за RCE (вкл. Godmode) могут занижать в тех случаях,когда устройство не должно быть напрямую подключено к опасной среде (без сетевого экрана, например), согласно рекомендациям CISA (USA); или для проведения атаки существуют определённые сложности масштабирования, такие как ограничение радиуса wi-fi (для случаев, где RCE в прошивке) - за такое тоже 10.0 могут не дать.
     
  • 2.41, Аноним (41), 23:11, 03/01/2026 [^] [^^] [^^^] [ответить]  
  • +2 +/
    > А 10 из 10 тогда што?

    Спустился с горы и поимел всю планету. Ты такой включаешь плиту - а там хакер. Микроволновка? Прошивка перелита. Ты врубаешь телек - а там хакеры. Телефон? Превратился в кирпич. Компьютер? Что-то не включается. И нет, EMP никто не сбрасывал...

     
  • 2.48, Аноним (48), 23:30, 03/01/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Полагаю, когда бэкдор работает не только в конфигурации по умолчанию, а всегда.
     
     
  • 3.83, Васян (?), 04:17, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +/
    -- -- --  -- --  --- Полагаю, когда бэкдор работает не только ...

    Ты ищо пра смс, без регистрацЫи в соцсети па инету, забыл....

     

  • 1.5, Аноним (5), 21:30, 03/01/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +3 +/
    А почему не названы поименно прогроммизды на самом безопастном языке, добавившие в код этот бэкдор? Потому что это другое, да?
     
     
  • 2.6, Аноним (18), 21:34, 03/01/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    https://github.com/rustfs/rustfs/pull/163

    Смотрите сами. Автор есть, вливший код тоже.

    Flow у них дурацкий - код вливают чере squash, трудно найти исходный коммит и PR, но не невозможно.

     
     
  • 3.8, Аноним (3), 21:36, 03/01/2026 [^] [^^] [^^^] [ответить]  
  • +/
    > трудно найти исходный коммит

    Т.е. виновных наказывать не будут?

     
     
  • 4.11, Аноним (18), 21:50, 03/01/2026 [^] [^^] [^^^] [ответить]  
  • +5 +/
    Про трудно - это про свой опыт поиска в их репе. Будут наказывать или нет вопрос риторический.

    И, на самом деле, про PR выше я ошибся, в нём бэкдор перемещается в другой файл, а добавлен он был в https://github.com/rustfs/rustfs/commit/04ab9d75a97014d3056d4affcb0a0987c0d29a

     
  • 4.19, Аноним (19), 22:03, 03/01/2026 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Читайте внимательно лицензию. Продукт используете на свой страх и риск, сами продукты не пишете, ни копейки не заплатили, даже исходник не читали ... Свой продукт напишите и себе претензии предъявляйте.
     
     
  • 5.22, Аноним (22), 22:08, 03/01/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Писульки в license.md не освобождают от уголовной ответственности, если это действительно окажется бэкдором.
     
     
  • 6.25, bircoph (ok), 22:21, 03/01/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Доказать в суде умышленность бэкдора в данном случае невозможно: объяснение оставили возможность сервисного обслуживания прокатит. Тем более, никакой обфускации или сокрытия нет.
     
     
  • 7.44, Аноним (3), 23:23, 03/01/2026 [^] [^^] [^^^] [ответить]  
  • +3 +/
    > Доказать в суде

    Зависит от того, где суд и кого судят. Прям как сегодняшние события.

     
  • 6.26, Аноним (26), 22:24, 03/01/2026 [^] [^^] [^^^] [ответить]  
  • +/
    В проприетари миллионы таких бэкдоров обнаруживаются, это совершенно нормально.
     
     
  • 7.81, Васян (?), 03:56, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +/
    -- -- -- В проприетари миллионы таких бэкдоров обнаруживаются,

    Там жы дажы эта вот фсё и каким-то типа лицензионным соглашением сопровождается(типа законным) и почти даже не бэкдор вовсе.... Тайна переписки, личные разговоры... Не не знаю. Частная жЫзнь, но чья? Корпорастов всяких разных, а не твоя? ...

     
  • 6.89, Аноним (89), 07:14, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +/
    За именно бекдоры юридической ответственности не существует ни в одной юрисдикции. За НСД - существует, за ВПО - тоже. А за бэкдоры - нет. Если её ввести - то программисты свалят из профессии, чтобы не ходить под риском, что за любую их ошибку их будут судить.
     
     
  • 7.108, Аноним (3), 10:47, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Хотя бы посмотри, что вчера в мире творилось, какие в юридическом плане законы...
     
  • 3.10, Аноним (5), 21:41, 03/01/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Понятно. То есть, кроме ников на гитхабе мы никакого расследования причин инцидента не увидим. Никакого там "работают на корпорацию такую-то, связанную со спецслужбами страны такой-то, те же авторы коммитили в такие-то проекты, сейчас проводится аудит, не набэкдорили ли они еще где-то...". Самый безопастный язык поругаем не бывает. О безопастном языке или хорошо, или помалкивать. Ясно.
     
     
  • 4.38, Аноним (-), 23:08, 03/01/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > Самый безопастный язык поругаем не бывает.

    В ядре десять лет был бекдор от АНБ. И никакого аудита не было.
    Или "вы не понимаете, это другое!" ?))

     
     
  • 5.45, Аноним (35), 23:24, 03/01/2026 [^] [^^] [^^^] [ответить]  
  • +/
    А ты баг от мастерпароля/ключа сам отличить не в состоянии?
     
     
  • 6.62, Аноним (3), 00:29, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Я тебе подскажу: если анэбэ - то баг, если хуавей - то ключ.
     
  • 5.75, Васян (?), 03:14, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +/
    -- --- - - - В ядре десять лет был бекдор от АНБ.

    Да он там и сейчас есть и не один, а там в любой прошивке сетевой карты и ссд, да ващЭ многа хде ищо вместе с твоими маками и серийниками железок паинету гуляит через всякие диэнэс и провайдЫров, с бравзером и без бравзера. И конечна жы тут будут спорить с этим всякие упоротые касманавты и нитолька. Не правда ли? :)

     
     
  • 6.110, Аноним (35), 10:53, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Ну так EUI-64 не случайно же придумали, чтоб пользователь светил своим MAC-адресом далеко за пределами своего провайдера. Чтоб кто надо знал, какой бекдор зашит в прошивке сетевухи пользователя.
     
     
  • 7.163, Вася (??), 06:20, 05/01/2026 [^] [^^] [^^^] [ответить]  
  • +/
    зачем же тогда придумали privacy extensions?!?
     
  • 4.107, abu (?), 10:36, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Ваш же ник тут тоже мы не видим.
     
  • 3.14, morphe (?), 21:58, 03/01/2026 [^] [^^] [^^^] [ответить]  
  • +5 +/
    Впервые оно появилось тут, и это было без пулреквеста даже

    Тот пр что ты скинул лишь передвинул этот код в другое место

    Судя по всему это даже не бекдор, а сгенерированная условной ллмкой заглушка, потому что тут даже не так что этот токен допускается в дополнение к пользовательским, а является единственным способом авторизации, и вхардкожен в клиент и сервер

    https://github.com/rustfs/rustfs/commit/04ab9d75a97014d3056d4affcb0a0987c0d29a

     
     
  • 4.65, Аноним (65), 00:36, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +/
    >это даже не бекдор, а сгенерированная условной ллмкой заглушка

    а ну тогда конечно все хорошо, пусть будет, лол.

     
  • 2.24, Аноним (-), 22:17, 03/01/2026 [^] [^^] [^^^] [ответить]  
  • +/
    > junxiang Mu <1948535941@qq.com>

    Еще как палятся.

    > добавившие в код этот бэкдор?

    Разве это бекдор?
    "Какие ваши доказательства?" (с)

     
     
  • 3.109, Аноним (3), 10:51, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +/
    > 1948535941@

    Точно Штырлиц! Узнаю его почерк.

     

  • 1.9, Аноним (3), 21:38, 03/01/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    Это не бэкдор, это просто бомба!
     
  • 1.12, Аноним (12), 21:51, 03/01/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    В коде на Си бекдоров не бывает. Запомните эту простую истину.
     
     
  • 2.37, Аноним (35), 23:07, 03/01/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Бывают. Но спрятать сложнее, найти проще, знающих C намного больше.
     
     
  • 3.97, чатжпт (?), 08:43, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Ага, заходим в новость про jails в freebsd и читаем про дыру которым 20 лет
     
  • 2.42, Аноним (42), 23:11, 03/01/2026 [^] [^^] [^^^] [ответить]  
  • –2 +/
    Не вижу ничего смешного. Грамотный С программист никогда бы не допустил такой ошибки.
    Но писатели на безопасном языке так не умеют. Им компилятор сказал что все нормально, они и обрадовались. А думать головой как любой маломальски грамотный программист на С они не умеют.
     
     
  • 3.54, Аноним (54), 23:35, 03/01/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > Грамотный С программист никогда бы не допустил такой ошибки.
    > А думать головой как любой маломальски грамотный программист на С они не умеют.

    А где же такого взять?!
    Вот в соседней теме сишники показывают академическое качество кода БСД.
    И они отлично показали как они думают... правда вряд ли головой.

     
  • 3.105, Аноним (105), 10:28, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +/
    > Грамотный С программист никогда бы не допустил такой ошибки

    Так это ошибка или бэкдор? Вы уж определитесь!

     
  • 2.63, Джон Титор (ok), 00:30, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Т.е. вы утверждаете что не пользуетесь вообще ни одной Западной библиотекой? Похвально! Но не правда. А если и не пользуетесь, то уверены в отсутствии cve,?
     
  • 2.133, Прохожий (??), 13:48, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Бывают, конечно. Сравнительно недавно новость про специально внедренный бекдор в ядро Линукс была (в порядке эксперимента). Пока студенты сами не признались, никто не замечал этот бекдор.
     

  • 1.13, Аноним (13), 21:56, 03/01/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Полгода эта уязвимость была и никого она не смущала. Оно и не удивительно, учитывая, что Rust и без обфускации нечитаемый. Вопрос только один - это бэкдор или типичное RVE?
     
     
  • 2.146, Алексей (??), 19:33, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Это просто недоимплемент. У них вообще никакой авторизации клиента на сервере не присмотрено, кроме этого захардкоженного значения. Видимо тем, кто пишет сервер это было не критично.
     

  • 1.15, Аноним (15), 22:00, 03/01/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +8 +/
    Когда ЯП настолько безопасный разрабам приходится внедрять бэкдоры сознательно.
     

  • 1.16, Аноним (16), 22:01, 03/01/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    зачем фс слушать порт? опять распределённая хрень?
     
     
  • 2.29, Аноним (29), 22:33, 03/01/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Вопрос на засыпку: что такое S3?
     
     
  • 3.70, Я (??), 01:23, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +/
    S3 это SimpleStorageServer масштабируемый облачный сервис хранения данных, где файлы хранятся как объекты в «плоской» структуре (без папок), с доступом через уникальные идентификаторы и API.

    собственно про amazon s3 должен бы слышать каждый кто в облачные технологии хоть немного лазил

     
  • 2.60, penetrator (?), 00:25, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +/
    так это не FS, это шляпа-блоб-хранилище от Amazon, которое имеет своё API, и стрижет денежку с педальных

     

  • 1.20, Аноним (20), 22:04, 03/01/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    это не бэкдор, а обычная синхронизация с серверами анебе
     
     
  • 2.77, Васян (?), 03:26, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +/
    ----- -- - - - это не бэкдор, а обычная синхронизация с серверами анебе

    Да нет жы... Эта абыкнавенная калитка для техперсанала, работающыва строга па инструкцыи сваиво начальства.

     

  • 1.27, Аноним (27), 22:25, 03/01/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Аххахах, нет, на бекдор это точно не похоже. Это похоже на полнейший идиотизм того, кто это писал.
     
  • 1.28, Аноним (31), 22:31, 03/01/2026 Скрыто ботом-модератором [﹢﹢﹢] [ · · · ]     [к модератору]
  • +2 +/
     
  • 1.39, Аноним (41), 23:09, 03/01/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    > Проблема вызвана наличием жёстко прошитого в коде токена доступа,

    ...
    > Проблеме присвоен критический уровень опасности (9.8 из 10).

    БезопасТность как она есть.

     
     
  • 2.53, Аноним (53), 23:34, 03/01/2026 [^] [^^] [^^^] [ответить]  
  • +/
    > 9.8 из 10

    0.2 скинули за то, что такие вещи не подключаются к публичному интернету.

     

  • 1.51, Аноним (-), 23:31, 03/01/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    Эта RustFS еще совсем в разработке - в релизах только alpha версии.

    Интересно, эту новость запостили специально чтобы отвлечь от новости про уязвимости в FreeBSD jail, которые там еще с 90х?

    Иначе сложно объяснить такой интерес к дебажному коду в продукте, которых никогда не релизился.

     
  • 1.52, Аноним (53), 23:33, 03/01/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +3 +/
    Как тут любят некоторые говорить про любые дырени вообще: а покажите, кто от этого пострадал? В данном случае, вопрос, возможно впервые, оправдан. У RustFS ровно 0 пользователей.
     
  • 1.55, Аноним (55), 23:39, 03/01/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    АИ во всем виноват
     
     
  • 2.112, Аноним (3), 10:56, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Как удобно придумали перекладывать ответственность.
     

  • 1.57, Аноним (57), 23:52, 03/01/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    Я думаю, там компилятор Rust давно бэкдор вставляет уже. Способ есть даже при открытом коде, его описывал Кен Томпсон ещё в 80-х.
     
     
  • 2.66, Аноним (65), 00:38, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +/
    А вот этот бэкдор они явно держат для особых случаев.
     
  • 2.69, Крыжик (?), 01:20, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +/
    А можно подробнее о Кене Томпсон? Про что именно речь?
     
     
  • 3.91, Лиечка (?), 07:45, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Гугл "Reflections on Trusting Trust"
     
  • 2.74, Аноним (74), 03:05, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Я думаю, там компилятор GCC давно бэкдор вставляет уже. Способ есть даже при открытом коде, его описывал Кен Томпсон ещё в 80-х.

     
     
  • 3.125, Аноним (125), 13:17, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • –1 +/
    помимо GCC есть куча разных компиляторов того же C, поддерживающих стандарты языка C. Но у Rust пока только один единственный рабочий компилятор.
     
     
  • 4.134, Прохожий (??), 13:55, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Они-то есть. Но и там тоже бекдоры присутствуют. Больше компиляторов - больше бекдоров. С одним, кстати, бекдоры немного проще искать.
     

  • 1.86, Аноним (-), 05:58, 04/01/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Не понял. Файловая система на Rust, так что-ли это понимать?
     
     
  • 2.114, Аноним (35), 11:03, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Любой софт на Раст следует обозначать в названии, что он на Rust.
     

  • 1.87, Бьерне Страуструп (?), 07:01, 04/01/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    Ваш Любимый RUST если будет в UEFI или драйверах которые грузяться до взаимодейтсвия с пользователем, особенно если это сетевой драйвер. Будет всегда падать и не давать грузиться системе если там SAFE блок а АТАКУЮЩИЙ будет применять ДДОС не валидный индекс
     
     
  • 2.98, Аноним (98), 08:49, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • –1 +/
    В UEFI сетевой драйвер по умолчанию отключен во всех виденных мною прошивках, можешь ддосить до посинения.
     
     
  • 3.103, Аноним (103), 09:25, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    во всех 3 прошивках из многих тысяч?
     
  • 3.106, Иксперт (?), 10:31, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Не утверждай чего незнаешь, все uefi давно умеют в сеть, обновлять прошики через интернет, более того у всех у них есть ring lan, установка вашего любомого linux дистрибутива тоже нужна сеть, почти даже не загрузив ядро.
     

  • 1.102, Аноним (103), 09:20, 04/01/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    и как компилятор раста мог пропустить такое??
     
     
  • 2.111, Аноним (3), 10:54, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Потому что компилятор очень рекомендован AHБ.
     
     
  • 3.135, Прохожий (??), 13:57, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Где можно об этой рекомендации почитать?
     
     
  • 4.139, Аноним (139), 14:19, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Гугл, не слышал про такое? https://www.opennet.dev/opennews/art.shtml?num=58111
     
  • 3.140, Аноним (140), 14:25, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +/
    С Rust на равных рекомендован Object Pascal , Java и Python
     
     
  • 4.158, Аноним (3), 22:43, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Вообще-то C#, Go, Java, Ruby, Rust и Swift

    А в паскале такие же дуршлаковые указатели, как в си.

     
  • 2.136, Прохожий (??), 14:00, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Подобные ошибки не проверяются компилятором. Только формальная верификация может отловить подобное.
     
     
  • 3.138, Аноним (139), 14:18, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Зачем тогда нужен Раст?
     
     
  • 4.143, Аноним (143), 17:24, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Для исключения ошибок типа "выстрелил себе в ногу, т.к. не знал как оно работает с памятью", или "выстрелил себе в ногу, т.к. не знал как про UB".

    Злой умысел, раздолбайство и неумение писать код - раст не лечит, да и никакой ЯП это не лечит.

     
  • 4.149, Аноним (99), 20:21, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Он не нужен. Для того, чтобы количество new в программе равнялось количеству delete, изучать новый язык, а тем более переписывать на него имеющийся код, незачем. К тому же данные "ошибки" в C уже отслеживаются компиляторами.
     

  • 1.141, Аноним (141), 15:03, 04/01/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    ✅️ Атаки на цепочку поставки — есть.
    ✅️ CVE в ядре — есть.
    ✅️ Используется для написания малвари — да.
    ✅️ Бэкдоры в опубликованных проектах — теперь есть.

    Ну что, можно признать, язык вполне состоявшийся. Настолько безопасный, что даже злоумышленники одобряют.

     
  • 1.148, Аноним (99), 20:18, 04/01/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    К данной прекрасной новости неплохо присовокупить еще одну. Разработчики Rust наигрались со своим детищем (как в свое время с Ruby - внезапно, у них те же авторы). Теперь у них новая игрушка - Rue. А всем остальным - не поторопились ли они с Rust-ом?
     
     
  • 2.157, Аноним (3), 22:39, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > как в свое время с Ruby - внезапно, у них те же авторы

    Как интересно. Возьмём на заметку.

     
  • 2.159, Аноним (159), 22:54, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Стив Клабник не создатель руби ни разу, максимум коммитил в рельсы. Внезапно, сишник даже в комментах переполняет буффер.
     
  • 2.161, Аноним (161), 23:51, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Создатель Ruby вполне себе известен — это Юкихиро Мацумото. И к рже он никаким боком.

    Создатель ржавчины тоже известен — это Грэйдон Хоар. И к Ruby он тоже не особо.

    Потом, впрочем, Хоара технично оттёрли и ржу полностью переколбасили, превратив из «языка мечты» в нечто более приземлённое, но пригодное к использованию.

    А Rue (поскольку большинство не выкупили хохму) — это не просто язык от Стива Клабника. Это экспериментальный, целиком навайбкоженный с помощью Claude AI язык.

     

  • 1.152, Аноним (152), 20:38, 04/01/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    Представляю какой экосистема раста через некоторое время станет огромный неконтролируемый дуршлаг…
     
     
  • 2.155, Аноним (3), 22:38, 04/01/2026 [^] [^^] [^^^] [ответить]  
  • +/
    И ты ничего не сможешь сделать, связанный лицензионными ограничениями.
     

  • 1.165, myster (ok), 16:56, 05/01/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Да какая разница, на чём написан продукт? Все так цепляются к Rust в названии. Как будто хардкод токена не может быть где угодно. 🤦
     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Партнёры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2026 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру