forum.opennet.ru

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Оглавление

Уязвимости в LibreOffice, позволяющие выполнить скрипт или плагин Gstreamer, opennews (??), 12-Дек-23, (0) [смотреть все]

Классика, Аноним (1), 15:08 , 12-Дек-23, (1) +6 //

Как раз тот тип ошибок, от которых не спасут безопастные языки , Аноним (14), 16:34 , 12-Дек-23, (14) +3 //

Как раз тот тип ошибок, от которых спасут безопастные языки , Аноним (18), 17:10 , 12-Дек-23, (18) –3 //

Нет , Аноним (31), 17:55 , 12-Дек-23, (31) +1
Оказывается, безопасные языки сами делают экранирования спецсимволов во входны, Аноним (14), 18:39 , 12-Дек-23, (36) –1

В целом конечно ты прав, автоматически магия не происходит С другой стороны бол, Иисус (?), 04:44 , 13-Дек-23, (57) –1
А чего за ними следить Для этого валгринд Но что-то я не припомню, чтобы когда, adolfus (ok), 00:13 , 14-Дек-23, (66)

Зачем вообще в текстовом процессоре поддержка всякого дерьма по типу ActiveX, с , Аноним (41), 20:14 , 12-Дек-23, (41) –1 //

А зачем вы удаляете Вам же люди сказали - это удобно Им так эфффективнее Поче, Аноним (47), 22:15 , 12-Дек-23, (47) +3 //

Скальпель - тоже инструмент, но найдётся уникум, который скажет, что ему удобнее, Аноним (70), 03:40 , 16-Дек-23, (70)

опенофис лучший , Аноним (4), 15:32 , 12-Дек-23, (4) –1
Всегда эту шнягу выкидываю при сборке своей LFS системы , Аноним (5), 15:34 , 12-Дек-23, (5) +3 //

Можно выкинуть, если ничего никогда в вайне запускать не планируешь Но, имей в , Аноним (7), 15:44 , 12-Дек-23, (7) //

Как бы там ни было, но VLC является официальным бекендом мультимедии у кдеразраб, Аноним (39), 20:05 , 12-Дек-23, (39) //

Одно время агрессивно навязывали Правда, потом обнаружилось, что даже мп3 в фай, Аноним (7), 20:09 , 12-Дек-23, (40)

Пользователи просили чтобы LibreOffice работал так же как MicroSoft Office Разр, Аноним (-), 15:50 , 12-Дек-23, (8) +7 //

Никогда такого не было в LO и вот опять, soarin (ok), 06:43 , 13-Дек-23, (58)

По поиску находится столько новостей про уязвимости в GStreamer О_оhttps www o, Аноним (-), 15:57 , 12-Дек-23, (9) –1 //

Это гномосексуалы пропихнули в своё время Ну, надо отметить, что оно куда более, Аноним (7), 16:04 , 12-Дек-23, (10) –1 //

вообще-то ровно наоборот - оно куда менее профессиональное и больше сделано на о, нах. (?), 16:10 , 12-Дек-23, (12) +2 //

Так gstreamer на несколько лет позже появился Тогда уже стало ясно, что ffmpeg , Аноним (7), 16:14 , 12-Дек-23, (13) –3

Ахренеть Теперь на мертворожденной затее - все что хоть как-то связано с виде, нах. (?), 17:27 , 12-Дек-23, (26) +4

не от хорошей жизни, хуже опенсорса не найтитолько wine и plasma, ничего не знаю, Аноним (7), 17:38 , 12-Дек-23, (29)

как, как так Вот жеж - Gsreamer Уп-с - вон фуфлофокса пострадала-пострадала, т, нах. (?), 20:31 , 12-Дек-23, (43) –1

Как будто, Говностример не зависит от FFmpeg , Аноним (39), 17:17 , 12-Дек-23, (22) //

когда я последний раз собирал - не зависел Вероятно есть очередной плагин позво, нах. (?), 17:24 , 12-Дек-23, (25)

ну ты-то руками - гораздо более правильный гстрёмер написал Ах, нет, рукастые ж , нах. (?), 16:05 , 12-Дек-23, (11) //

Как видно умеют, и кол-во проблем с памятью снижается И пишут код для реальных п, Аноним (-), 16:41 , 12-Дек-23, (15) +1 //

Ну правильно, на чём не пишут -- то и неуязвимо Желательно, чтобы вообще никто , Аноним (7), 16:47 , 12-Дек-23, (16) +2
жаль что доказательств - ноль где на чудо-язычке написаны какие-то неведомые обе, нах. (?), 17:23 , 12-Дек-23, (23)

https security googleblog com 2022 12 memory-safe-languages-in-android-13 html, Аноним (-), 17:46 , 12-Дек-23, (30)

Помечтать никогда не вредно , Аноним (14), 18:36 , 12-Дек-23, (34)
это цифры о строительстве оберток вокруг оберток над обертками Напомни, сколько, нах. (?), 20:37 , 12-Дек-23, (44) +1

да тебе кроме пня четвертого и так ничего не нужноа вот Линукс вполне может обно, Анонин (?), 21:30 , 12-Дек-23, (46) –1

у него и так макось прекрасно работает Для кодинга на псевдоязычке и оттопырива, нах. (?), 22:43 , 12-Дек-23, (49)

Я об уязвимостях на COBOL вообще не слышал А он уж куда более распространён чем, 1 (??), 17:23 , 12-Дек-23, (24)

Самая военная тайна об уязвимостях на Оберон русскими буквами название , Аноним (39), 20:29 , 12-Дек-23, (42) +1

Держу в курсе USE USE -gstreamer , Аноним (39), 17:14 , 12-Дек-23, (20)
Ну а что хотят уважаемые эксперты На сложных язычках типа сишки, где без указат, Аноним (21), 17:16 , 12-Дек-23, (21) –1 //

Указатели указателя рознь, можно использовать умные, можно обмазаться чем-то тип, Аноним (-), 17:37 , 12-Дек-23, (28) +3
В других недоязычках в тех же самых местах unsafe, который ни от чего не может с, Аноним (31), 17:58 , 12-Дек-23, (32) +2
Это сишка сложный язык Растаманы совсем уже умом тронулись Никто не хочет на и, Аноним (14), 18:30 , 12-Дек-23, (33) +2 //

Мне безразличен Раст Я пишу про сишку Это сложный язык системного программиров, Аноним (21), 18:36 , 12-Дек-23, (35) //

Если какой-то инструмент сложный без шуток то что делает хороший мастер Он исп, Аноним (-), 19:49 , 12-Дек-23, (38)

дай угадаю - он летает в космосе в виде космического i8080 с целым аж килобайтом, нах. (?), 20:45 , 12-Дек-23, (45)

Какая разница какой там пульт управления Конкретно на драконе там JS для UI Но , Аноним (-), 22:42 , 12-Дек-23, (48)

А что ж не прекрасный безопастный йезычок Вот не потому ли что им надо было так, нах. (?), 22:57 , 12-Дек-23, (50) –1

Ну может ты и не продвинулся, но остальные - это не ты Аргументы в силе сам доб, Аноним (-), 23:50 , 12-Дек-23, (52)

но что-то твоего либреофиса или хотя бы гстрёмера мы не видим А, сова не тактик,, нах. (?), 23:54 , 12-Дек-23, (54)

Ты серьезно думаешь, что на форуме анонимов тебе сразу скажут вот мой гитхаб в, Аноним (-), 00:44 , 13-Дек-23, (56) –1

я серьезно думаю что местные хрустофанатики никогда ничего не писали сложнее хел, нах. (?), 10:44 , 13-Дек-23, (62) +1

Си -- самый простой язык в отношении управления типами Вы объявляете тип точно , adolfus (ok), 00:40 , 14-Дек-23, (67)

Сишка очень простой язык Любую обезьяну можно обучить синтаксису и х-к, х-к и в, Анонин (?), 19:49 , 12-Дек-23, (37) //

Это и делает его плохим языком в текущих условиях, Аноним (51), 23:26 , 12-Дек-23, (51)

Зато у него самые преданные фанатики Они могут рассказать, что UB это благо, что, Аноним (-), 23:52 , 12-Дек-23, (53)

Комментарий типичная дыряшка , показывает только то, что в голове у комментатор, 1 (??), 10:36 , 13-Дек-23, (60)

Да нормально всё будет песня 171 с новыми поколениями настанет жёппа 187 ст, Аноним (51), 10:44 , 13-Дек-23, (61)

Я бы сказал даже старше 171 Наша молодежь любит роскошь, она дурно воспитана, , Анонн (?), 11:24 , 13-Дек-23, (63)

Ну и чем это закончилось для Греции Напомнишь , 1 (??), 09:41 , 15-Дек-23, (68)

Это не проблема Да, человек смертен, но это было бы ещё полбеды Плохо то, что, Аноним (-), 11:29 , 13-Дек-23, (64)

Все это добро показывает инструмент Вид - Навигатор В документе из сомнительно, nox. (?), 10:02 , 13-Дек-23, (59) –1 //

правда уже после того как они выполнили какой-нибудь интересный плагин г-стрёмно, нах. (?), 11:29 , 13-Дек-23, (65)

Сообщения [Сортировка по времени | RSS]

21. "Уязвимости в LibreOffice, позволяющие выполнить скрипт или п..." –1 +/–

Сообщение от Аноним (21), 12-Дек-23, 17:16

Ну а что хотят уважаемые эксперты? На сложных язычках типа сишки, где без указателей не может быть написана ни одна программа, чуть сложнее хеловорда? А где указатели, там и всякие ошибки работы с адресным пространством. Сишка - очень низкоуровневый язычок.

Ответить | Правка | Наверх | Cообщить модератору

28. "Уязвимости в LibreOffice, позволяющие выполнить скрипт или п..." +3 +/–

Сообщение от Аноним (-), 12-Дек-23, 17:37

Указатели указателя рознь, можно использовать умные, можно обмазаться чем-то типа стат.анализаторов, использовать AddressSanitizer, фаззи-логику, написать тесты и тд.
А можно просто выпрограммировать код типа
void *ptr = *(const void**)(0xdeadbeefUL + 0xa);
и что-то мне подсказывает, что авторы пошли не по первому пути)

Ответить | Правка | Наверх | Cообщить модератору

32. "Уязвимости в LibreOffice, позволяющие выполнить скрипт или п..." +2 +/–

Сообщение от Аноним (31), 12-Дек-23, 17:58

В других недоязычках в тех же самых местах unsafe, который ни от чего не может спасти.

Ответить | Правка | К родителю #21 | Наверх | Cообщить модератору

33. "Уязвимости в LibreOffice, позволяющие выполнить скрипт или п..." +2 +/–

Сообщение от Аноним (14), 12-Дек-23, 18:30

Это сишка сложный язык? Растаманы совсем уже умом тронулись. Никто не хочет на их языке писать, вот они и с ума сходят.

Ответить | Правка | К родителю #21 | Наверх | Cообщить модератору

35. "Уязвимости в LibreOffice, позволяющие выполнить скрипт или п..." +/–

Сообщение от Аноним (21), 12-Дек-23, 18:36

Мне безразличен Раст. Я пишу про сишку. Это сложный язык системного программирования, поэтому не понимаю ехидства, когда про очередную уязвимость говорят что это программист криворукий. Это так, но в больших проектах всё не усмотришь. Для хелловордов сишка - простой язык, согласен.

Ответить | Правка | Наверх | Cообщить модератору

38. "Уязвимости в LibreOffice, позволяющие выполнить скрипт или п..." +/–

Сообщение от Аноним (-), 12-Дек-23, 19:49

Если какой-то инструмент сложный (без шуток) то что делает хороший мастер?
Он использует дополнительные инструменты или практики, которые помогут ему не совершать ошибки.
Например у мясника есть кольчужная перчатка, ибо стейков в мире много, а пальцев на руке всего 5.
Врач-хирург использует ее по той же причине (+ геппатиты/ВИЧ у пациентов).
Электрик (не для дома) использует отвертки на 1000в, перчатки и коврик.
У пилотов авиации чек-листы проверок.
Для С есть проверенная практика МисраС, но она довольно сложная и требует как стат. так и динамический анализ. Зато результат ее применения летает в космосе, применялся для самолетов и тд.
Но как видно куча открытых проектов не используют целый набор уже проверенных тестов, зато любят срезать углы. Получаем постоянные стандартные ошибки.
А когда им предлагают "а давайте сделаем проверки обязательными и перенесем в компилятор" - лезут в бутылку и бычатся.
Приводя аргументы типа что
uint8_t x = (*(struct foo volatile *)NULL)->x;
это супер необходимая вещь, без которой жить нельзя.

Ответить | Правка | Наверх | Cообщить модератору

45. "Уязвимости в LibreOffice, позволяющие выполнить скрипт или п..." +/–

Сообщение от нах. (?), 12-Дек-23, 20:45

> Для С есть проверенная практика МисраС, но она довольно сложная и требует
> как стат. так и динамический анализ. Зато результат ее применения летает
> в космосе, применялся для самолетов и тд.
дай угадаю - он летает в космосе в виде космического i8080 с целым аж килобайтом оперативки и толстым-толстым слоем свинца поверх.
А Дракон летает с пультом управления на базе ведроида (я надеюсь хотя бы это не гуглепланшет вставленный в рамку так чтоб спрятать логотип).
Потому что сволочи Маску хочется срыть от тебя на Марс при этой жизни, а не в послеследующих.
> Но как видно куча открытых проектов не используют целый набор уже проверенных
потому что их пишут для себя а не для музея образцового ненужно - и не могут тратить бесконечное время на образцовые технологии.
> А когда им предлагают "а давайте сделаем проверки обязательными и перенесем в
> компилятор"
Внезапно выясняется что на нем ничего работающего написать нельзя, не отключив эти самые проверки.
Только прослойки поверх прокладок, работающие с уже препарированными и структурированными данными. А откуда те возьмутся - непонятно.

Ответить | Правка | Наверх | Cообщить модератору

48. "Уязвимости в LibreOffice, позволяющие выполнить скрипт или п..." +/–

Сообщение от Аноним (-), 12-Дек-23, 22:42

> А Дракон летает с пультом управления на базе ведроида (я надеюсь хотя бы это не гуглепланшет вставленный в рамку так чтоб спрятать логотип).
Какая разница какой там пульт управления? Конкретно на драконе там JS для UI.
Но внутрянка написана на С++ (к сожалению не нашел какого стандарта).
Кроме этого для внутреннего использования, упоминаются питон, матлаб и фортран. Что логично для матана.
> потому что их пишут для себя а не для музея образцового ненужно - и не могут тратить бесконечное время на образцовые технологии.
Т.е для себя можно делать абы как? Подход конечно интересный, я бы даже сказал знаковый.
А если делаешь криптолибу типа OpenSSL? Хартблид ведь типичная ошибка дыряшки.
И денежки за "работу" брать не стесняются https://www.openssl.org/blog/blog/2023/08/08/finances/
вон Linux Foundation запилил целую Core Infrastructure Initiative для увеличения финансирования.
А дырки в ядре? Там тоже 80% кода пишут люди на зарплате.
Хорошо что корпы начали понимать, что сишники бракоделят уже лет 30 за их деньги, просто раньше было хуже видно. И продвинули более хорошие инструменты.
> Внезапно выясняется что на нем ничего работающего написать нельзя, не отключив эти самые проверки.
У лисы получилось, гугла получается, у мелкомягких получается, а у тебя нет...
Возможно ты просто неосилятор и пограммирование не твое.
> Только прослойки поверх прокладок, работающие с уже препарированными и структурированными данными. А откуда те возьмутся - непонятно.
Угу, а прослойках с прокладками уязвимостей не бывает.
Чего стоят баги вида "нажал enter - получил доступ без пароля" с правами рута
https://www.opennet.ru/opennews/art.shtml?num=59702
или https://www.opennet.ru/opennews/art.shtml?num=58130

Ответить | Правка | Наверх | Cообщить модератору

50. "Уязвимости в LibreOffice, позволяющие выполнить скрипт или п..." –1 +/–

Сообщение от нах. (?), 12-Дек-23, 22:57

> Какая разница какой там пульт управления? Конкретно на драконе там JS для
А что ж не прекрасный безопастный йезычок? Вот не потому ли что им надо было таки чтоб летело, а не вечно переписывать?
> Т.е для себя можно делать абы как? Подход конечно интересный, я бы
для себя в первую очередь нужно - сделать. А не "appease clippy" и дальше хеловрота не продвинуться.
> А если делаешь криптолибу типа OpenSSL? Хартблид ведь типичная ошибка дыряшки.
ну и где же твоя безопастная? Ведь ее радостно бы бросились использовать все абсолютно!
Поделку умеющую полтора голых алгоритма и ни с чем несовместимую - не предлагать.
И да, openssl - переделанный ssleay. Автору которого вообще, совсем, феерически было похрен на твою безопастность - он хотел как-то открывать немногочисленные сайты требующие ssl, а было - нечем. И хрен его знает сколько бы еще было нечем, если бы он не слепил как попало и что попало.
> И денежки за "работу" брать не стесняются https://www.openssl.org/blog/blog/2023/08
ты тоже можешь - за безопастную альтернативу ведь заплатят гораздо больше денежков. Как, опять нет?!
> У лисы получилось, гугла получается, у мелкомягких получается, а у тебя нет...
у лисы эпик фейл получился, в результате квантум так и не дописан, а разработчиков нескучного язычка вместе с их разработкой выбросили за борт без спасательных плотиков и очень смешно было смотреть как они машут лапками и тонут один за другим.
У гугла пока получилась фикция, но это неточно. И вот, полторы прослойки к прокладке между линуксом и жаба машиной в ведроиде, но пока никто кроме гуглегениев не может понять зачем она и для чего.
> Угу, а прослойках с прокладками уязвимостей не бывает.
> Чего стоят баги вида "нажал enter - получил доступ без пароля" с
> правами рута
> https://www.opennet.ru/opennews/art.shtml?num=59702
О, вот эту хрень срочно начни переписывать! Денег не обещаю, самому мало, но приду за тебя болеть и лайков в шитхабе понаставлю!
(вдруг случится чудо и ты правда осилишь дальше CoC.md)
Исправить там все равно ничего не получится, я пытался. Там такой лапшекод и в таких объемах, что это ковырять бестолку. Так что хоть на фортране, хоть на брейнфаке.
(только учти что там не буфер переполнился а запутались в синхронизации - т.е. нескучный язычок может внезапно не спасти от именно такой проблемы. Но я уверен что и других там хватает.)

Ответить | Правка | Наверх | Cообщить модератору

52. "Уязвимости в LibreOffice, позволяющие выполнить скрипт или п..." +/–

Сообщение от Аноним (-), 12-Дек-23, 23:50

> для себя в первую очередь нужно - сделать. А не "appease clippy" и дальше хеловрота не продвинуться.
Ну может ты и не продвинулся, но остальные - это не ты.
> ну и где же твоя безопастная? Ведь ее радостно бы бросились использовать все абсолютно!
> Поделку умеющую полтора голых алгоритма и ни с чем несовместимую - не предлагать.
Аргументы в силе "сам добейся"? Я ожидал от тебя чего-то более интелектуального((
Разве это оправдание гнать брак? Даже если опенссл базировалась на жутком куске кода ssleay.
> У гугла пока получилась фикция, но это неточно. И вот, полторы прослойки к прокладке между линуксом и жаба машиной в ведроиде, но пока никто кроме гуглегениев не может понять зачем она и для чего.
Твоя икспертиза просто поражает своей глубиной!
Может ты еще что-то скажешь по поводу Open Se Cura ?
Но если можно, то посмешнее.

Ответить | Правка | Наверх | Cообщить модератору

54. "Уязвимости в LibreOffice, позволяющие выполнить скрипт или п..." +/–

Сообщение от нах. (?), 12-Дек-23, 23:54

> Ну может ты и не продвинулся, но остальные - это не ты.
но что-то твоего либреофиса или хотя бы гстрёмера мы не видим.
> Аргументы в силе "сам добейся"?
А, сова не тактик, сова стратег?
Все местные фанаты нескучных язычков не умеют кодить, интересно?

Ответить | Правка | Наверх | Cообщить модератору

56. "Уязвимости в LibreOffice, позволяющие выполнить скрипт или п..." –1 +/–

Сообщение от Аноним (-), 13-Дек-23, 00:44

Ты серьезно думаешь, что на форуме анонимов тебе сразу скажут "вот мой гитхаб! вот мой код! а вот мой линкедын" в ответ на такую слабую претензию?
Ты меня реально разочаровываешь(

Ответить | Правка | Наверх | Cообщить модератору

62. "Уязвимости в LibreOffice, позволяющие выполнить скрипт или п..." +1 +/–

Сообщение от нах. (?), 13-Дек-23, 10:44

> Ты серьезно думаешь, что на форуме анонимов тебе сразу скажут
я серьезно думаю что местные хрустофанатики никогда ничего не писали сложнее хеловротов и ентер-прайсных поделок на пехепе 5.2
А те кто на самом деле писали - и у них есть шитхаб и кот - увы, образцово-показательно произвели эскопету с кривым стволом.

Ответить | Правка | Наверх | Cообщить модератору

67. "Уязвимости в LibreOffice, позволяющие выполнить скрипт или п..." +/–

Сообщение от adolfus (ok), 14-Дек-23, 00:40

Си -- самый простой язык в отношении управления типами. Вы объявляете тип точно так, как будете использовать этого типа -- что может быть проще? Ориентирован на выражения, а не на операторы. Если это понять и использовать, то все проблемы исчезают.
Плюс простая и великолепная подсистема инициализации переменных при объявлении/определении.
Отсутствие встроенных операторов вывода/вывода не накладывает никаких ограничений на эти важнейшие процессы -- функции стандартной библиотеки вместо них позволяют сделать все, что есть в других языках, и даже больше.
Что касается этого "сложного языка", то студенты на зачете по курсу системного программирования запросто пишут для бизона синтаксис каких-инбудь кусков из стандарта C11. И он гораздо проще, нежели синтаксис, например, питона.
Есть у СИ, конечно, и недостатки -- нет, например, возможностей отлавливать переполнения и переносы, очень слабые операции сдвига.

Ответить | Правка | К родителю #35 | Наверх | Cообщить модератору

37. "Уязвимости в LibreOffice, позволяющие выполнить скрипт или п..." +/–

Сообщение от Анонин (?), 12-Дек-23, 19:49

Сишка очень простой язык. Любую обезьяну можно обучить синтаксису и х-к, х-к и в прод.
Но вот писать на нем без ошибок крайне сложно и времязатратно. Особенно это чувствуется ростом кодовой базы.

Ответить | Правка | К родителю #33 | Наверх | Cообщить модератору

51. "Уязвимости в LibreOffice, позволяющие выполнить скрипт или п..." +/–

Сообщение от Аноним (51), 12-Дек-23, 23:26

Это и делает его плохим языком в текущих условиях

Ответить | Правка | Наверх | Cообщить модератору

53. "Уязвимости в LibreOffice, позволяющие выполнить скрипт или п..." +/–

Сообщение от Аноним (-), 12-Дек-23, 23:52

Зато у него самые преданные фанатики!
Они могут рассказать, что UB это благо, что скорость лучше безопасностии, главное - чтобы их призвать достаточно одного комментария в стиле "типичная дыряшка".

Ответить | Правка | Наверх | Cообщить модератору

60. "Уязвимости в LibreOffice, позволяющие выполнить скрипт или п..." +/–

Сообщение от 1 (??), 13-Дек-23, 10:36

Комментарий "типичная дыряшка", показывает только то, что в голове у комментатора.
А C - язык и язык. Простой, дальше наверное только васик. Просто к этой простоте, нужно понимание, что например
int i=255;
i++;
на некоторых системах, может привести к неожиданному результату.
Ну а людям (в том числе и погромистам, да да да - они тоже в каком то смысле "люди") надо "чтоб у них всё было, и чтоб им за это ничего не было".
Отсюда всякий сироп в языках, ORB-ы всякие (SQL - это же космические технологии) и языки, ну которые сами пишут программы без ошибок. Ну опять же лень и избегание плётки вышестоящего тоже делают своё дело.
Хотя, если брать язык, который нельзя называть, пена спадёт, на смену придёт новый модномолодёжный язык (например со встроенными подсказками AI), останется ниша разработчиков, которые кроме него ничего не умеют ... В общем, всё как сейчас с Java.
Запасаемся попкорном господа !

Ответить | Правка | Наверх | Cообщить модератору

61. "Уязвимости в LibreOffice, позволяющие выполнить скрипт или п..." +/–

Сообщение от Аноним (51), 13-Дек-23, 10:44

>Запасаемся попкорном господа !
Да нормально всё будет; песня «с новыми поколениями настанет жёппа» стара как мир.

Ответить | Правка | Наверх | Cообщить модератору

63. "Уязвимости в LibreOffice, позволяющие выполнить скрипт или п..." +/–

Сообщение от Анонн (?), 13-Дек-23, 11:24

Я бы сказал даже старше)
«Наша молодежь любит роскошь, она дурно воспитана, она насмехается над начальством и нисколько не уважает стариков. Наши нынешние дети стали тиранами, они не встают, когда в комнату входит пожилой человек, перечат своим родителям» Сократ

Ответить | Правка | Наверх | Cообщить модератору

68. "Уязвимости в LibreOffice, позволяющие выполнить скрипт или п..." +/–

Сообщение от 1 (??), 15-Дек-23, 09:41

Ну и чем это закончилось для Греции ? Напомнишь ?

Ответить | Правка | Наверх | Cообщить модератору

64. "Уязвимости в LibreOffice, позволяющие выполнить скрипт или п..." +/–

Сообщение от Аноним (-), 13-Дек-23, 11:29

> на некоторых системах, может привести к неожиданному результату.
Это не проблема.
"Да, человек смертен, но это было бы ещё полбеды. Плохо то, что он иногда внезапно смертен, вот в чем фокус!"
А вот в чем этом основная проблема - то что написав код ты не знаешь как он поведет себя на соседнем компе, с другим компилятором, на новом железе.
И нет официального списка UB которые можно проверять чек-листом. (нашел только для 99 https://gist.github.com/Earnestly/7c903f481ff9d29a3dd1)
Недетерминированность языка - это абсолютное зло.

Ответить | Правка | К родителю #60 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

21. "Уязвимости в LibreOffice, позволяющие выполнить скрипт или п..."	–1 +/–
Сообщение от Аноним (21), 12-Дек-23, 17:16
Ну а что хотят уважаемые эксперты? На сложных язычках типа сишки, где без указателей не может быть написана ни одна программа, чуть сложнее хеловорда? А где указатели, там и всякие ошибки работы с адресным пространством. Сишка - очень низкоуровневый язычок.
Ответить \| Правка \| Наверх \| Cообщить модератору


	28. "Уязвимости в LibreOffice, позволяющие выполнить скрипт или п..."	+3 +/–
	Сообщение от Аноним (-), 12-Дек-23, 17:37
	Указатели указателя рознь, можно использовать умные, можно обмазаться чем-то типа стат.анализаторов, использовать AddressSanitizer, фаззи-логику, написать тесты и тд. А можно просто выпрограммировать код типа void ptr = (const void**)(0xdeadbeefUL + 0xa); и что-то мне подсказывает, что авторы пошли не по первому пути)
	Ответить \| Правка \| Наверх \| Cообщить модератору


	32. "Уязвимости в LibreOffice, позволяющие выполнить скрипт или п..."	+2 +/–
	Сообщение от Аноним (31), 12-Дек-23, 17:58
	В других недоязычках в тех же самых местах unsafe, который ни от чего не может спасти.
	Ответить \| Правка \| К родителю #21 \| Наверх \| Cообщить модератору


	33. "Уязвимости в LibreOffice, позволяющие выполнить скрипт или п..."	+2 +/–
	Сообщение от Аноним (14), 12-Дек-23, 18:30
	Это сишка сложный язык? Растаманы совсем уже умом тронулись. Никто не хочет на их языке писать, вот они и с ума сходят.
	Ответить \| Правка \| К родителю #21 \| Наверх \| Cообщить модератору


	35. "Уязвимости в LibreOffice, позволяющие выполнить скрипт или п..."	+/–
	Сообщение от Аноним (21), 12-Дек-23, 18:36
	Мне безразличен Раст. Я пишу про сишку. Это сложный язык системного программирования, поэтому не понимаю ехидства, когда про очередную уязвимость говорят что это программист криворукий. Это так, но в больших проектах всё не усмотришь. Для хелловордов сишка - простой язык, согласен.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	38. "Уязвимости в LibreOffice, позволяющие выполнить скрипт или п..."	+/–
	Сообщение от Аноним (-), 12-Дек-23, 19:49
	Если какой-то инструмент сложный (без шуток) то что делает хороший мастер? Он использует дополнительные инструменты или практики, которые помогут ему не совершать ошибки. Например у мясника есть кольчужная перчатка, ибо стейков в мире много, а пальцев на руке всего 5. Врач-хирург использует ее по той же причине (+ геппатиты/ВИЧ у пациентов). Электрик (не для дома) использует отвертки на 1000в, перчатки и коврик. У пилотов авиации чек-листы проверок. Для С есть проверенная практика МисраС, но она довольно сложная и требует как стат. так и динамический анализ. Зато результат ее применения летает в космосе, применялся для самолетов и тд. Но как видно куча открытых проектов не используют целый набор уже проверенных тестов, зато любят срезать углы. Получаем постоянные стандартные ошибки. А когда им предлагают "а давайте сделаем проверки обязательными и перенесем в компилятор" - лезут в бутылку и бычатся. Приводя аргументы типа что uint8_t x = ((struct foo volatile )NULL)->x; это супер необходимая вещь, без которой жить нельзя.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	45. "Уязвимости в LibreOffice, позволяющие выполнить скрипт или п..."	+/–
	Сообщение от нах. (?), 12-Дек-23, 20:45
	> Для С есть проверенная практика МисраС, но она довольно сложная и требует > как стат. так и динамический анализ. Зато результат ее применения летает > в космосе, применялся для самолетов и тд. дай угадаю - он летает в космосе в виде космического i8080 с целым аж килобайтом оперативки и толстым-толстым слоем свинца поверх. А Дракон летает с пультом управления на базе ведроида (я надеюсь хотя бы это не гуглепланшет вставленный в рамку так чтоб спрятать логотип). Потому что сволочи Маску хочется срыть от тебя на Марс при этой жизни, а не в послеследующих. > Но как видно куча открытых проектов не используют целый набор уже проверенных потому что их пишут для себя а не для музея образцового ненужно - и не могут тратить бесконечное время на образцовые технологии. > А когда им предлагают "а давайте сделаем проверки обязательными и перенесем в > компилятор" Внезапно выясняется что на нем ничего работающего написать нельзя, не отключив эти самые проверки. Только прослойки поверх прокладок, работающие с уже препарированными и структурированными данными. А откуда те возьмутся - непонятно.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	48. "Уязвимости в LibreOffice, позволяющие выполнить скрипт или п..."	+/–
	Сообщение от Аноним (-), 12-Дек-23, 22:42
	> А Дракон летает с пультом управления на базе ведроида (я надеюсь хотя бы это не гуглепланшет вставленный в рамку так чтоб спрятать логотип). Какая разница какой там пульт управления? Конкретно на драконе там JS для UI. Но внутрянка написана на С++ (к сожалению не нашел какого стандарта). Кроме этого для внутреннего использования, упоминаются питон, матлаб и фортран. Что логично для матана. > потому что их пишут для себя а не для музея образцового ненужно - и не могут тратить бесконечное время на образцовые технологии. Т.е для себя можно делать абы как? Подход конечно интересный, я бы даже сказал знаковый. А если делаешь криптолибу типа OpenSSL? Хартблид ведь типичная ошибка дыряшки. И денежки за "работу" брать не стесняются https://www.openssl.org/blog/blog/2023/08/08/finances/ вон Linux Foundation запилил целую Core Infrastructure Initiative для увеличения финансирования. А дырки в ядре? Там тоже 80% кода пишут люди на зарплате. Хорошо что корпы начали понимать, что сишники бракоделят уже лет 30 за их деньги, просто раньше было хуже видно. И продвинули более хорошие инструменты. > Внезапно выясняется что на нем ничего работающего написать нельзя, не отключив эти самые проверки. У лисы получилось, гугла получается, у мелкомягких получается, а у тебя нет... Возможно ты просто неосилятор и пограммирование не твое. > Только прослойки поверх прокладок, работающие с уже препарированными и структурированными данными. А откуда те возьмутся - непонятно. Угу, а прослойках с прокладками уязвимостей не бывает. Чего стоят баги вида "нажал enter - получил доступ без пароля" с правами рута https://www.opennet.ru/opennews/art.shtml?num=59702 или https://www.opennet.ru/opennews/art.shtml?num=58130
	Ответить \| Правка \| Наверх \| Cообщить модератору


	50. "Уязвимости в LibreOffice, позволяющие выполнить скрипт или п..."	–1 +/–
	Сообщение от нах. (?), 12-Дек-23, 22:57
	> Какая разница какой там пульт управления? Конкретно на драконе там JS для А что ж не прекрасный безопастный йезычок? Вот не потому ли что им надо было таки чтоб летело, а не вечно переписывать? > Т.е для себя можно делать абы как? Подход конечно интересный, я бы для себя в первую очередь нужно - сделать. А не "appease clippy" и дальше хеловрота не продвинуться. > А если делаешь криптолибу типа OpenSSL? Хартблид ведь типичная ошибка дыряшки. ну и где же твоя безопастная? Ведь ее радостно бы бросились использовать все абсолютно! Поделку умеющую полтора голых алгоритма и ни с чем несовместимую - не предлагать. И да, openssl - переделанный ssleay. Автору которого вообще, совсем, феерически было похрен на твою безопастность - он хотел как-то открывать немногочисленные сайты требующие ssl, а было - нечем. И хрен его знает сколько бы еще было нечем, если бы он не слепил как попало и что попало. > И денежки за "работу" брать не стесняются https://www.openssl.org/blog/blog/2023/08 ты тоже можешь - за безопастную альтернативу ведь заплатят гораздо больше денежков. Как, опять нет?! > У лисы получилось, гугла получается, у мелкомягких получается, а у тебя нет... у лисы эпик фейл получился, в результате квантум так и не дописан, а разработчиков нескучного язычка вместе с их разработкой выбросили за борт без спасательных плотиков и очень смешно было смотреть как они машут лапками и тонут один за другим. У гугла пока получилась фикция, но это неточно. И вот, полторы прослойки к прокладке между линуксом и жаба машиной в ведроиде, но пока никто кроме гуглегениев не может понять зачем она и для чего. > Угу, а прослойках с прокладками уязвимостей не бывает. > Чего стоят баги вида "нажал enter - получил доступ без пароля" с > правами рута > https://www.opennet.ru/opennews/art.shtml?num=59702 О, вот эту хрень срочно начни переписывать! Денег не обещаю, самому мало, но приду за тебя болеть и лайков в шитхабе понаставлю! (вдруг случится чудо и ты правда осилишь дальше CoC.md) Исправить там все равно ничего не получится, я пытался. Там такой лапшекод и в таких объемах, что это ковырять бестолку. Так что хоть на фортране, хоть на брейнфаке. (только учти что там не буфер переполнился а запутались в синхронизации - т.е. нескучный язычок может внезапно не спасти от именно такой проблемы. Но я уверен что и других там хватает.)
	Ответить \| Правка \| Наверх \| Cообщить модератору


	52. "Уязвимости в LibreOffice, позволяющие выполнить скрипт или п..."	+/–
	Сообщение от Аноним (-), 12-Дек-23, 23:50
	> для себя в первую очередь нужно - сделать. А не "appease clippy" и дальше хеловрота не продвинуться. Ну может ты и не продвинулся, но остальные - это не ты. > ну и где же твоя безопастная? Ведь ее радостно бы бросились использовать все абсолютно! > Поделку умеющую полтора голых алгоритма и ни с чем несовместимую - не предлагать. Аргументы в силе "сам добейся"? Я ожидал от тебя чего-то более интелектуального(( Разве это оправдание гнать брак? Даже если опенссл базировалась на жутком куске кода ssleay. > У гугла пока получилась фикция, но это неточно. И вот, полторы прослойки к прокладке между линуксом и жаба машиной в ведроиде, но пока никто кроме гуглегениев не может понять зачем она и для чего. Твоя икспертиза просто поражает своей глубиной! Может ты еще что-то скажешь по поводу Open Se Cura ? Но если можно, то посмешнее.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	54. "Уязвимости в LibreOffice, позволяющие выполнить скрипт или п..."	+/–
	Сообщение от нах. (?), 12-Дек-23, 23:54
	> Ну может ты и не продвинулся, но остальные - это не ты. но что-то твоего либреофиса или хотя бы гстрёмера мы не видим. > Аргументы в силе "сам добейся"? А, сова не тактик, сова стратег? Все местные фанаты нескучных язычков не умеют кодить, интересно?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	56. "Уязвимости в LibreOffice, позволяющие выполнить скрипт или п..."	–1 +/–
	Сообщение от Аноним (-), 13-Дек-23, 00:44
	Ты серьезно думаешь, что на форуме анонимов тебе сразу скажут "вот мой гитхаб! вот мой код! а вот мой линкедын" в ответ на такую слабую претензию? Ты меня реально разочаровываешь(
	Ответить \| Правка \| Наверх \| Cообщить модератору


	62. "Уязвимости в LibreOffice, позволяющие выполнить скрипт или п..."	+1 +/–
	Сообщение от нах. (?), 13-Дек-23, 10:44
	> Ты серьезно думаешь, что на форуме анонимов тебе сразу скажут я серьезно думаю что местные хрустофанатики никогда ничего не писали сложнее хеловротов и ентер-прайсных поделок на пехепе 5.2 А те кто на самом деле писали - и у них есть шитхаб и кот - увы, образцово-показательно произвели эскопету с кривым стволом.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	67. "Уязвимости в LibreOffice, позволяющие выполнить скрипт или п..."	+/–
	Сообщение от adolfus (ok), 14-Дек-23, 00:40
	Си -- самый простой язык в отношении управления типами. Вы объявляете тип точно так, как будете использовать этого типа -- что может быть проще? Ориентирован на выражения, а не на операторы. Если это понять и использовать, то все проблемы исчезают. Плюс простая и великолепная подсистема инициализации переменных при объявлении/определении. Отсутствие встроенных операторов вывода/вывода не накладывает никаких ограничений на эти важнейшие процессы -- функции стандартной библиотеки вместо них позволяют сделать все, что есть в других языках, и даже больше. Что касается этого "сложного языка", то студенты на зачете по курсу системного программирования запросто пишут для бизона синтаксис каких-инбудь кусков из стандарта C11. И он гораздо проще, нежели синтаксис, например, питона. Есть у СИ, конечно, и недостатки -- нет, например, возможностей отлавливать переполнения и переносы, очень слабые операции сдвига.
	Ответить \| Правка \| К родителю #35 \| Наверх \| Cообщить модератору


	37. "Уязвимости в LibreOffice, позволяющие выполнить скрипт или п..."	+/–
	Сообщение от Анонин (?), 12-Дек-23, 19:49
	Сишка очень простой язык. Любую обезьяну можно обучить синтаксису и х-к, х-к и в прод. Но вот писать на нем без ошибок крайне сложно и времязатратно. Особенно это чувствуется ростом кодовой базы.
	Ответить \| Правка \| К родителю #33 \| Наверх \| Cообщить модератору


	51. "Уязвимости в LibreOffice, позволяющие выполнить скрипт или п..."	+/–
	Сообщение от Аноним (51), 12-Дек-23, 23:26
	Это и делает его плохим языком в текущих условиях
	Ответить \| Правка \| Наверх \| Cообщить модератору


	53. "Уязвимости в LibreOffice, позволяющие выполнить скрипт или п..."	+/–
	Сообщение от Аноним (-), 12-Дек-23, 23:52
	Зато у него самые преданные фанатики! Они могут рассказать, что UB это благо, что скорость лучше безопасностии, главное - чтобы их призвать достаточно одного комментария в стиле "типичная дыряшка".
	Ответить \| Правка \| Наверх \| Cообщить модератору


	60. "Уязвимости в LibreOffice, позволяющие выполнить скрипт или п..."	+/–
	Сообщение от 1 (??), 13-Дек-23, 10:36
	Комментарий "типичная дыряшка", показывает только то, что в голове у комментатора. А C - язык и язык. Простой, дальше наверное только васик. Просто к этой простоте, нужно понимание, что например int i=255; i++; на некоторых системах, может привести к неожиданному результату. Ну а людям (в том числе и погромистам, да да да - они тоже в каком то смысле "люди") надо "чтоб у них всё было, и чтоб им за это ничего не было". Отсюда всякий сироп в языках, ORB-ы всякие (SQL - это же космические технологии) и языки, ну которые сами пишут программы без ошибок. Ну опять же лень и избегание плётки вышестоящего тоже делают своё дело. Хотя, если брать язык, который нельзя называть, пена спадёт, на смену придёт новый модномолодёжный язык (например со встроенными подсказками AI), останется ниша разработчиков, которые кроме него ничего не умеют ... В общем, всё как сейчас с Java. Запасаемся попкорном господа !
	Ответить \| Правка \| Наверх \| Cообщить модератору


	61. "Уязвимости в LibreOffice, позволяющие выполнить скрипт или п..."	+/–
	Сообщение от Аноним (51), 13-Дек-23, 10:44
	>Запасаемся попкорном господа ! Да нормально всё будет; песня «с новыми поколениями настанет жёппа» стара как мир.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	63. "Уязвимости в LibreOffice, позволяющие выполнить скрипт или п..."	+/–
	Сообщение от Анонн (?), 13-Дек-23, 11:24
	Я бы сказал даже старше) «Наша молодежь любит роскошь, она дурно воспитана, она насмехается над начальством и нисколько не уважает стариков. Наши нынешние дети стали тиранами, они не встают, когда в комнату входит пожилой человек, перечат своим родителям» Сократ
	Ответить \| Правка \| Наверх \| Cообщить модератору


	68. "Уязвимости в LibreOffice, позволяющие выполнить скрипт или п..."	+/–
	Сообщение от 1 (??), 15-Дек-23, 09:41
	Ну и чем это закончилось для Греции ? Напомнишь ?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	64. "Уязвимости в LibreOffice, позволяющие выполнить скрипт или п..."	+/–
	Сообщение от Аноним (-), 13-Дек-23, 11:29
	> на некоторых системах, может привести к неожиданному результату. Это не проблема. "Да, человек смертен, но это было бы ещё полбеды. Плохо то, что он иногда внезапно смертен, вот в чем фокус!" А вот в чем этом основная проблема - то что написав код ты не знаешь как он поведет себя на соседнем компе, с другим компилятором, на новом железе. И нет официального списка UB которые можно проверять чек-листом. (нашел только для 99 https://gist.github.com/Earnestly/7c903f481ff9d29a3dd1) Недетерминированность языка - это абсолютное зло.
	Ответить \| Правка \| К родителю #60 \| Наверх \| Cообщить модератору