forum.opennet.ru - "Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Files и librsvg" (88)

"Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Files и librsvg"

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Уязвимости в PHP, GStreamer, Xen, Node.js, Python, GNOME Files и librsvg"	+/–
Сообщение от opennews (??), 13-Авг-23, 09:50
Несколько недавно выявленных уязвимостей:... Подробнее: https://www.opennet.ru/opennews/art.shtml?num=59592
Ответить \| Правка \| Cообщить модератору

Оглавление

Вот переписали бы на Ой, это ведь была libsvg когда-то , Аноним (1), 09:50 , 13-Авг-23, (1) +14

В расте не может быть уязвимости , Sergey (??), 10:10 , 13-Авг-23, (2) +1

Раст и есть уязвимость , Аноним (78), 07:36 , 14-Авг-23, (78) –1

Ну так именно поэтому тут проблема с путями, а не с переполнением буфера или ove, Анонимусс (?), 10:29 , 13-Авг-23, (3) +9

А где по вашему больше виноват человек кодер где пути или где память , Sergey (??), 10:34 , 13-Авг-23, (4)

И там и там виноват Но с памятью ошибки опаснее, пути не дадут выполнить произ, Анонимусс (?), 10:41 , 13-Авг-23, (5) +6

Скрыто модератором, Аноним (-), 16:14 , 13-Авг-23, (49) +3

Ну, это как установить мину, а потом сказать - виноват тот, кто наступил, не над, Аноним (99), 03:01 , 16-Авг-23, (99)

Скрыто модератором, Аноним (78), 14:20 , 13-Авг-23, (33) +2

Там логическая ошибка, а не типичный сишный обсёр с указателями , Шарп (ok), 12:37 , 13-Авг-23, (22) +2

Нет, это типичная логическая ошибка на Расте, каких в будущем будет много И так, Аноним (-), 13:14 , 13-Авг-23, (24)

Они время жизни указателя отследить не могут не то что пути , Аноним (78), 14:22 , 13-Авг-23, (35)
Это типичная ошибка на чем угодно, и это отдельный класс уязвимостей с тех пор, , Аноним (97), 03:51 , 15-Авг-23, (97)

Ну так и об указателях можно сказать, что это логическая ошибка работы с указате, Anon3 (?), 17:35 , 13-Авг-23, (55)

Это не получится Надо создать новый язык, заточеный на безопасную работу с файл, ИмяХ (?), 18:54 , 13-Авг-23, (61) +1

Ну, не то, чтобы не получится Но, наверно, вы правы Во первых семантика работы с, Anon3 (?), 20:38 , 13-Авг-23, (68) +1

Вот именно, это лишний раз доказывает, что сознательные программисты компании не, Аноним (30), 14:12 , 13-Авг-23, (30)

Компании в твоём сказочном мире , Аноним (78), 14:22 , 13-Авг-23, (36)
А, ну да, точно И поэтому гугловцы решили переписать сетевой стек фуксии с го н, Аноним (45), 15:43 , 13-Авг-23, (45)

Пока что только отзывы от фанатов в духе выбрать ржавчину было самой большой ош, Аноним (67), 20:27 , 13-Авг-23, (67) +1

Какой современный социолог Расплывчатый сомнительный опрос и твердый вывод э, Аноним (93), 22:37 , 14-Авг-23, (93)

На HN пару раз видел, там любят ржавчину , Аноним (67), 22:46 , 14-Авг-23, (95)

Она и была librsvg Библиотека для РАСТЕРИЗАЦИИ svg , Аноним (76), 06:09 , 14-Авг-23, (76) +1

1 phar_dir_read ошибка в файле dirstream c немного ошиблись с вычислением разме, Аноним (-), 10:45 , 13-Авг-23, (6) –1

Я про то что как бы оказалась что Раст будет способствовать понижению уровня про, Sergey (??), 10:49 , 13-Авг-23, (9) +2

ты делаешь такой вывод из одной cve шки было бы интересно глянуть, что там было, Аноним (11), 10:54 , 13-Авг-23, (11)

История помнит Delphi Раст, конечно, не столь удобный и продуманный, но все воз, tty0 (?), 00:43 , 14-Авг-23, (73)

Ахаха, а у сишных бракоделов, которые даже размер буфера вычислить не могут, сил, Анонин (?), 11:08 , 13-Авг-23, (13) –1

Откуда инфа что не могут , Ефрщ (?), 12:08 , 13-Авг-23, (19)

Посмотри на число уязвимостей и сложи 2 2 про переполнение не забудь , Аноним (26), 13:38 , 13-Авг-23, (26)

Посмотри на чём пишут софт и на чём только переписывают привет миры и сложи 1 и , Аноним (67), 14:07 , 13-Авг-23, (28)

Посмотрел В андроиде в последнийх версиях _новую_ нативную системщину старают, Аноним (30), 14:20 , 13-Авг-23, (32) –1

Как я понимаю, ты радуешься за успехи корп в эмбеддовке, но это не серьёзно Как, Аноним (67), 14:26 , 13-Авг-23, (39) –1

Похоже, не читал ссылку Свободен, пионер Скоро в школу ага, попробуй найди сто, Аноним (30), 14:41 , 13-Авг-23, (41) –2

Твои аргументы не звучат сколько-нибудь убедительно , Аноним (67), 14:58 , 13-Авг-23, (42)

Если бы умели считать, то и уязвимостей не было glibc https www opennet ru op, Анонин (?), 18:22 , 13-Авг-23, (59)

5 Оно и видно что не силён, ведь все 7 из 7 уязвимостей в ноде ни как не связан, Аноним (21), 12:19 , 13-Авг-23, (21) +1

О, у нас спец по ноде Неужели все 7 тоже сишные дырени , Анонин (?), 14:13 , 13-Авг-23, (31) –1

И 1108 того я тоже не говорила, виноваты разрабы ноды , Аноним (101), 00:24 , 18-Авг-23, (101)

Да ладно, нормально все тут с путями, они вообще с Unix пришли , Sergey (??), 10:45 , 13-Авг-23, (7) –1

смотрю в Windows проблем вообще нет , Аноним (8), 10:49 , 13-Авг-23, (8)

Скрыто модератором, Аноним (-), 10:50 , 13-Авг-23, (10) –2
Просто про проблемы никто не знает кроме правильных людей , Аноним (78), 16:33 , 13-Авг-23, (51)

Проблема не с путями, а с тем, куда ось дает доступ То что кто угодно может чита, Анонин (?), 11:10 , 13-Авг-23, (14) –2

Selinux может ограничивать доступ не только к файлам и сетке но и к памяти , Sergey (??), 11:55 , 13-Авг-23, (17)

Может, это круто Ну и где ваш Selinux Его нужно установить и настроить, причем, Анонин (?), 14:10 , 13-Авг-23, (29)

В первом абзаце жалуется на то, что ему SELinux папа не настроил, и тут же во вт, Аноним (46), 15:47 , 13-Авг-23, (46)

Еще раз для таких отбитых как ты SELinux - это просто костыль для ядра, потому , Анонин (?), 18:16 , 13-Авг-23, (58)

И как же должно быть нормально, о великий кексперт , uis (??), 19:21 , 13-Авг-23, (64)
Что бы сделать что-то подобное мандатному доступу - надо договориться Кому надо, Аноним (93), 22:30 , 14-Авг-23, (92)

В смысле установить и намтроить В Федоре все по дефаульту пашет В 2005 году т, Sergey (??), 19:11 , 13-Авг-23, (62) –1

Только 2 из уязвимостей связаны с повреждением памяти , Аноним (12), 11:07 , 13-Авг-23, (12)
Специальные элементы директорий и были большой ошибкой и костылём для т, Аноним (12), 11:12 , 13-Авг-23, (15) –2

Вот это очень правильно Тем более, что в хорошей фс может быть не единственный , Аноним (75), 05:40 , 14-Авг-23, (75)
Видите ли - так еще много контента ресурсы референсит Кроме того - а как вы нав, Аноним (-), 18:23 , 14-Авг-23, (83)

Уязвимость в librsvg Не может быть Эта библиотека написана на безопасном язык, Аноним (18), 11:59 , 13-Авг-23, (18)

Дык и уязвимость безопасная Просто фича такая, не дырень же , Аноним (20), 12:14 , 13-Авг-23, (20) +1

Ещё какая дырень , Аноним (78), 14:25 , 13-Авг-23, (38)

Все верно Там ведь наверное выход за пределы массива Или обращение к невыделен, Аноним (30), 14:30 , 13-Авг-23, (40) +1

Так растовики и считать не умеют выдумывают проценты и сами в них верят , Аноним (78), 16:32 , 13-Авг-23, (50) +1
Не-а Это наглядная иллюстрация к утверждению, что Раст затрудняет процесс напис, gleb (?), 16:40 , 13-Авг-23, (52)

https www opennet ru opennews art shtml num 48680 CVE-2018-11235 в гит - возмо, Анонин (?), 18:13 , 13-Авг-23, (57)

а время покажет пока утверждение косвенно подтверждает тот факт, что ВСЕ прое, glebiao (ok), 15:30 , 16-Авг-23, (100)

Нет, Rust тут не поможет ни один баг не про double-free и не про use-after-free, Аноним (23), 12:39 , 13-Авг-23, (23) +1
Интересно, как поможет Rust, если он тихо проглатывает численные переполнения в , Витюшка (?), 13:46 , 13-Авг-23, (27)

Переполнения не выходят за границы отведенной памяти Значение становится невали, Аноним (56), 18:09 , 13-Авг-23, (56) +1

В смысле не выходят А это тогда что https stackoverflow com questions 24898, Витюшка (?), 23:42 , 13-Авг-23, (71)

Там же по ссылке написаноПроверка не дала выйти за границу , Анонимусс (?), 02:22 , 14-Авг-23, (74)
доступ по индексу проверяется в рантайме Программа аварийно завершилась - досту, Аноним (93), 22:08 , 14-Авг-23, (90)

В Rust индекс имеет тип usize А значит при overflow вновь попадёт в валидный ин, Витюшка (?), 00:17 , 15-Авг-23, (96)

при обработке файлов в формате RealMedia Ну вряд ли много кто сейчас помнит-то , Kuromi (ok), 15:27 , 13-Авг-23, (43) –1

Тем не менее, этот формат должен поддерживаться, иначе пользователи будут ныть , Аноним (67), 15:37 , 13-Авг-23, (44)

Утрутся и сконвертируют Распространители контента, не пользователи У пользоват, Аноним (69), 20:59 , 13-Авг-23, (69) –1

Но ведь у пользователей всё работает Это очень популярный формат на самом деле,, Аноним (67), 21:40 , 13-Авг-23, (70) +1

Debian 10 Gnome Распакован через Gnome Files tmp ls -alитого 12drwx, Аноним (56), 16:41 , 13-Авг-23, (53)
Это все от использования всяких ИИ-копилотов Деградация налицо, обленились , Минона (ok), 00:38 , 14-Авг-23, (72)
больше уязвимостей нет, тащ майор, just yet it (?), 14:04 , 14-Авг-23, (79)
С каких пор это уязимость Если хомяк не монитруется с noexec, то ЭТО уязвимость, Аноним (80), 16:16 , 14-Авг-23, (80)

noexec - nosuid nodev noexec, Аноним (80), 16:16 , 14-Авг-23, (81)
Попробуй tmp монтировать с noexec, потом поделишься впечатлениями Сам ты уязви, Аноним (67), 18:15 , 14-Авг-23, (82)

А чо такого mount -v tmptmpfs on tmp tmpfs, local, noexec, nosuid stattim, другой Аноним (?), 19:11 , 14-Авг-23, (84)

Маловероятно, что это рабочая станция -- куча юзерского софта обломится Да и см, Аноним (67), 19:16 , 14-Авг-23, (86)

Угу, это не рабочая станция, это ноут, с которого я пишу этот коммент И да, ку, другой Аноним (?), 19:23 , 14-Авг-23, (87)

Вайнтрикс DE , Аноним (67), 20:07 , 14-Авг-23, (88)

Да вроде работал пару лет назад не помню уже для чего использовал - вино у меня, Аноним (89), 22:06 , 14-Авг-23, (89)

В Debian 10 многие tmpfs смонтированы с noexec и nosiud по-умолчанию Запускать ч, Аноним (93), 22:23 , 14-Авг-23, (91)

Скрыто модератором, Аноним (-), 06:41 , 15-Авг-23, (98)

Проблема в том, что, как сказал релокант, нот всего семь А играть приходи, Аноним (93), 22:41 , 14-Авг-23, (94)

Сообщения [Сортировка по ответам | RSS]

1. Сообщение от Аноним (1), 13-Авг-23, 09:50 +14 +/–

> Уязвимость (CVE-2023-38633) в библиотеке librsvg
Вот переписали бы на... Ой, это ведь была libsvg когда-то.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #2, #3, #22, #30, #76

2. Сообщение от Sergey (??), 13-Авг-23, 10:10 +1 +/–

В расте не может быть уязвимости !

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #78

3. Сообщение от Анонимусс (?), 13-Авг-23, 10:29 +9 +/–

Ну так именно поэтому тут проблема с путями, а не с переполнением буфера или overflow как в дыряшке в соседних уязвимостях.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #4, #33

4. Сообщение от Sergey (??), 13-Авг-23, 10:34 +/–

А где по вашему больше виноват человек (кодер) где пути или где память ?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3 Ответы: #5, #99

5. Сообщение от Анонимусс (?), 13-Авг-23, 10:41 +6 +/–

И там и там виноват)) Но с памятью ошибки опаснее, пути не дадут выполнить произвольный код.
Поэтому у этой уязвимости CVE-2023-38633 score 7.5, а у уязвимости в CVE-2023-3824 с памятью - 9.4 CRITICAL.
Чувствуется разница? А вообще все эти уязвимости с выходом за пределы родного каталога - просто результат черехж0пно спроектированной оси.
Просто дыряшке ты с легкостью сделаешь обе ошибки, а в растишке нужно постараться, чтобы накосячить с памятью.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4 Ответы: #49

6. Сообщение от Аноним (-), 13-Авг-23, 10:45 –1 +/–

1. phar_dir_read ошибка в файле dirstream.c немного ошиблись с вычислением размеров, бывает
2. логическая ошибка парсинга
3. GStreamer - в файле rmdemux.c забыли вычислять size для gst_buffer
4. xen-netback/netback.c - buffer overrun, какая неожиданность!
5. в жабаскрипте не силен, но тк там нет строгой типизации, то не удивительно
6. urllib.parse - забыли экранировать ввод? странная ошибка для такой древней либы
7. GNOME Files... проблема suid на пеньке появляется регулярно, возможно дело не в руках, а архитектуре
8. и логическая ошибка в librsvg, почти как в PHP что вдвойне обидно)

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #9, #21

7. Сообщение от Sergey (??), 13-Авг-23, 10:45 –1 +/–

Да ладно, нормально все тут с путями, они вообще с Unix пришли.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #8, #14

8. Сообщение от Аноним (8), 13-Авг-23, 10:49 +/–

смотрю в Windows проблем вообще нет?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7 Ответы: #10, #51

9. Сообщение от Sergey (??), 13-Авг-23, 10:49 +2 +/–

Я про то что как бы оказалась что Раст будет способствовать понижению уровня программиста.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6 Ответы: #11, #13

10. Сообщение от Аноним (-), 13-Авг-23, 10:50 –2 +/–

тебя волнуют проблемы форточников?
или может нужно оттуда взять пару костылей?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8

11. Сообщение от Аноним (11), 13-Авг-23, 10:54 +/–

ты делаешь такой вывод из одной cve'шки ?
было бы интересно глянуть, что там было до переписывания (но лень)))
может логику транслировали 1-в-1 со всеми ошибками

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #9 Ответы: #73

12. Сообщение от Аноним (12), 13-Авг-23, 11:07 +/–

Только 2 из уязвимостей связаны с повреждением памяти.

Ответить | Правка | Наверх | Cообщить модератору

13. Сообщение от Анонин (?), 13-Авг-23, 11:08 –1 +/–

Ахаха, а у сишных бракоделов, которые даже размер буфера вычислить не могут, сильно высокий уровень??

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #9 Ответы: #19

14. Сообщение от Анонин (?), 13-Авг-23, 11:10 –2 +/–

Проблема не с путями, а с тем, куда ось дает доступ.
То что кто угодно может читать что угодно было нормально в дремучие времена юниксов.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7 Ответы: #17

15. Сообщение от Аноним (12), 13-Авг-23, 11:12 –2 +/–

Специальные элементы директорий `.` и `..` были большой ошибкой и костылём для того, чтобы bat-файлы, не имеющие ООП, было легче писать. Давно пора прекратить обработку `.` и `..` на уровне ядра и сломать все программы, от этого зависящие. Кому нужна родительская директория - пусть используют API операционной системы, POSIX API или std::filesystem. Это и есть окончательное решение вопроса.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #75, #83

17. Сообщение от Sergey (??), 13-Авг-23, 11:55 +/–

Selinux может ограничивать доступ не только к файлам и сетке но и к памяти ...

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #14 Ответы: #29

18. Сообщение от Аноним (18), 13-Авг-23, 11:59 +/–

Уязвимость в librsvg?! Не может быть! Эта библиотека написана на безопасном языке!

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #20, #40

19. Сообщение от Ефрщ (?), 13-Авг-23, 12:08 +/–

Откуда инфа что не могут?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13 Ответы: #26, #59

20. Сообщение от Аноним (20), 13-Авг-23, 12:14 +1 +/–

Дык и уязвимость безопасная. Просто фича такая, не дырень же.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #18 Ответы: #38

21. Сообщение от Аноним (21), 13-Авг-23, 12:19 +1 +/–

5. Оно и видно что не силён, ведь все 7 из 7 уязвимостей в ноде ни как не связаны с динамической типизацией

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6 Ответы: #31

22. Сообщение от Шарп (ok), 13-Авг-23, 12:37 +2 +/–

Там логическая ошибка, а не типичный сишный обсёр с указателями.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #24, #55

23. Сообщение от Аноним (23), 13-Авг-23, 12:39 +1 +/–

Нет, Rust тут не поможет: ни один баг не про double-free и не про use-after-free, а больше никаких гарантий этот язык не дает.

Ответить | Правка | Наверх | Cообщить модератору

24. Сообщение от Аноним (-), 13-Авг-23, 13:14 +/–

Нет, это типичная логическая ошибка на Расте, каких в будущем будет много. И такой тип ошибок превратится в класс уязвимостей.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #22 Ответы: #35, #97

26. Сообщение от Аноним (26), 13-Авг-23, 13:38 +/–

Посмотри на число уязвимостей и сложи 2+2(про переполнение не забудь)

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #19 Ответы: #28

27. Сообщение от Витюшка (?), 13-Авг-23, 13:46 +/–

Интересно, как поможет Rust, если он тихо проглатывает численные переполнения в арифметических операциях?
Значит скоро полезут уязвимости.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #56

28. Сообщение от Аноним (67), 13-Авг-23, 14:07 +/–

Посмотри на чём пишут софт и на чём только переписывают привет миры и сложи 1 и 1.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #26 Ответы: #32

29. Сообщение от Анонин (?), 13-Авг-23, 14:10 +/–

Может, это круто. Ну и где ваш Selinux? Его нужно установить и настроить, причем правильно настроить, а то будет еще хуже. В AppArmor можно тоже прописать deny path, а толку.
Это должно быть в оси по умолчанию. Каждая аппа получает доступ к своей папке в хомяке и больше никуда. Все остальные запросы на доступ идут через запросы к оси и юзер дает права. Или прописываются ручками в отдельном конфиге, если так удобнее.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17 Ответы: #46, #62

30. Сообщение от Аноним (30), 13-Авг-23, 14:12 +/–

Вот именно, это лишний раз доказывает, что сознательные программисты/компании не зря (пусть не сразу) отказываются от сишки/плюсов. В них бы на одну эту "логическую" ошибку было бы в довесок еще две-три-четыре критических ошибки работы с памятью. Отрадно видеть, что в целом ЯП дает то, что обещает. Думать за программиста над задачей он не обещал. Это вам к чатгопоте будущих версий.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #36, #45

31. Сообщение от Анонин (?), 13-Авг-23, 14:13 –1 +/–

О, у нас спец по ноде! Неужели все 7 тоже сишные дырени?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #21 Ответы: #101

32. Сообщение от Аноним (30), 13-Авг-23, 14:20 –1 +/–

Посмотрел. В андроиде (в последнийх версиях) _новую_ нативную системщину стараются писать на расте и выкидывают к хе.рам собачьим си/плюсы. Старую сишню/плюсовину пока переписывать не собираются, там же рациональные люди, не фанатики - слишком дофига написано, всё не перепишешь, плюс в старом уже большинство ошибок вылизано. Зато радуются, что в ядро растишку всунули. Грозятся, что когда вызреет то и в ядро на расте будут писать, ибо все эти сишные баги их достали. Так что держись там.
https://security.googleblog.com/2022/12/memory-safe-language...

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #28 Ответы: #39

33. Сообщение от Аноним (78), 13-Авг-23, 14:20 +2 +/–

Типа проблемы с путями безопасТные?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3

35. Сообщение от Аноним (78), 13-Авг-23, 14:22 +/–

Они время жизни указателя отследить не могут не то что пути.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #24

36. Сообщение от Аноним (78), 13-Авг-23, 14:22 +/–

Компании в твоём сказочном мире?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #30

38. Сообщение от Аноним (78), 13-Авг-23, 14:25 +/–

Ещё какая дырень.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #20

39. Сообщение от Аноним (67), 13-Авг-23, 14:26 –1 +/–

Как я понимаю, ты радуешься за успехи корп в эмбеддовке, но это не серьёзно. Как написали, так завтра и выкинули на свалку. Вообще, я не вижу проблем с таким применением, но вот прикладное ПО не пишет никто, и вряд ли это совпадение.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #32 Ответы: #41

40. Сообщение от Аноним (30), 13-Авг-23, 14:30 +1 +/–

Все верно. Там ведь наверное выход за пределы массива? Или обращение к невыделенной памяти? Или, может быть, ее дважды освободили? Хм... Так, что там еще... "Думать за программиста над задачей, предметной областью и не допускать АБСОЛЮТНО ЛЮБЫХ ВООБРАЗИМЫХ ошибок"? А, нет, это сишники выдумали это утверждение и приписывают его растоманам и языку. Пусть тешатся, болезные, ибо как им еще самоутверждаться, оправдываться за 70% ошибок в своих поделках.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #18 Ответы: #50, #52

41. Сообщение от Аноним (30), 13-Авг-23, 14:41 –2 +/–

> Как написали, так завтра и выкинули на свалку
Похоже, не читал ссылку. Свободен, пионер. Скоро в школу.
> но вот прикладное ПО не пишет никто
ага, попробуй найди столько манки-кодеров на расте, сколько требуется всем этим конторам и галерам и сколько подготовлено погромистов (и продолжают готовить, инерция) на других, распространенных, языках, на "промышленных". Ну и никто не оспаривает и не отменяет тонны существующего кода, накопленного за десятилетия, которое не перепишешь и не выкинешь даже за полвека. Ты хочешь чтобы по щелчку пальцев все хопа - и переключились на раст? Так не бывает. Если бы это было на заре эры расцвета прикладного ПО, то можно было приводить такой аргумент. А так - глупо.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #39 Ответы: #42

42. Сообщение от Аноним (67), 13-Авг-23, 14:58 +/–

Твои аргументы не звучат сколько-нибудь убедительно.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #41

43. Сообщение от Kuromi (ok), 13-Авг-23, 15:27 –1 +/–

"при обработке файлов в формате RealMedia"
Ну вряд ли много кто сейчас помнит-то о таком формате, не то что пользует. Такое найти можно только в пыльных архивах и еще кое где.
Не самый удачный формат для использования уязвимости.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #44

44. Сообщение от Аноним (67), 13-Авг-23, 15:37 +/–

Тем не менее, этот формат должен поддерживаться, иначе пользователи будут ныть. А значит, формат максимально удачный. Только вчера выяснял, почему в свеженькой игрушечке не работает видео, и там как раз этот формат оказался.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #43 Ответы: #69

45. Сообщение от Аноним (45), 13-Авг-23, 15:43 +/–

А, ну да, точно. И поэтому гугловцы решили переписать сетевой стек фуксии с го на плюсы.
Видишь ли в конторах где умеют проверять уровень тупости программистов существуют отборочные вопросы и там сразу понятно кто явился. Растишка если бы был панацеей уже применялся бы вообще везде.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #30 Ответы: #67

46. Сообщение от Аноним (46), 13-Авг-23, 15:47 +/–

В первом абзаце жалуется на то, что ему SELinux папа не настроил, и тут же во втором просит дать ему SELinux ручками настраивать. Подростки такие подростки…

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #29 Ответы: #58

49. Сообщение от Аноним (-), 13-Авг-23, 16:14 +3 +/–

Ну да, спертые ключи ssh - полностью безопасно. Совсем не даст выполнить произвольный код.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5

50. Сообщение от Аноним (78), 13-Авг-23, 16:32 +1 +/–

Так растовики и считать не умеют выдумывают проценты и сами в них верят.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #40

51. Сообщение от Аноним (78), 13-Авг-23, 16:33 +/–

Просто про проблемы никто не знает кроме правильных людей.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8

52. Сообщение от gleb (?), 13-Авг-23, 16:40 +/–

Не-а. Это наглядная иллюстрация к утверждению, что Раст затрудняет процесс написания (требует повышенного внимания программиста) и следовательно, косвенно способствует появлению логических ошибок.
Сдаётся мне, таких новостей будет появляться всё больше.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #40 Ответы: #57

53. Сообщение от Аноним (56), 13-Авг-23, 16:41 +/–

> Локальный злоумышленник может передать жертве архив с исполняемым файлом с suid-битом и после открытия жертвой этого архива в GNOME Files, файл будет распакован в локальной ФС с сохранением выставленного suid-бита.
Debian 10. Gnome. Распакован через Gnome Files.
***@***:~/tmp$ ls -al
итого 12
drwxr-xr-x  2 *** *** 4096 авг 13 16:32 .
drwxr-xr-x 30 *** *** 4096 авг 13 16:19 ..
-rw-r--r--  1 *** ***  155 авг 13 16:20 f.zip
***@***:~/tmp$ zipinfo f
Archive:  f.zip
Zip file size: 155 bytes, number of entries: 1
-rwsr-sr-x  3.0 unx        3 tx stor 23-Aug-13 16:19 F
1 file, 3 bytes uncompressed, 3 bytes compressed:  0.0%
***@***:~/tmp$ ls -al
итого 16
drwxr-xr-x  2 *** *** 4096 авг 13 16:33 .
drwxr-xr-x 30 *** *** 4096 авг 13 16:19 ..
-rwxr-xr-x  1 *** ***    3 авг 13 16:19 F
-rw-r--r--  1 *** ***  155 авг 13 16:20 f.zip
***@***:~/tmp$

Ответить | Правка | Наверх | Cообщить модератору

55. Сообщение от Anon3 (?), 13-Авг-23, 17:35 +/–

Ну так и об указателях можно сказать, что это логическая ошибка работы с указателями.
Я уже начинаю считать количество типичных обс_ров разработчиков на rust при работе с файлами, включая https://www.opennet.ru/opennews/art.shtml?num=59548
Есть гипотеза, что rust развращает, и разработчик ожидает, что работа с файлами будет такая же безопасная как с указателями.
Вот что мешает разработать и встроить в rust безопасную работу с файлами с учетом их владения, передачи (включая по сети) и времени жизни? Rust начинали писать на OCaml, эту задачу может проще будет решить (для начала) на каком нибудь Coq, Agda, Idris

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #22 Ответы: #61

56. Сообщение от Аноним (56), 13-Авг-23, 18:09 +1 +/–

Переполнения не выходят за границы отведенной памяти. Значение становится невалидное. Кроме того, можно указать поведение в случае переполнения.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #27 Ответы: #71

57. Сообщение от Анонин (?), 13-Авг-23, 18:13 +/–

https://www.opennet.ru/opennews/art.shtml?num=48680
CVE-2018-11235 в гит - возможность выхода за границы базового каталога репозитория через использование символов "../" в относительном пути к субмодулю, определённому в файле ".gitmodules"
О нет! У сишников в штанишках такая же уязвимость была! Возможно программирование на си требует повышенного внимания программиста и следовательно, косвенно способствует появлению логических ошибок.
А вот аналогичная в питоне https://www.opennet.ru/opennews/art.shtml?num=59040
https://www.opennet.ru/opennews/art.shtml?num=59190 - в гитлабе
https://www.opennet.ru/opennews/art.shtml?num=57093 - опять питон, только еще рут получает
https://www.opennet.ru/opennews/art.shtml?num=49440 - сишечка
https://www.opennet.ru/opennews/art.shtml?num=55934 - go (moby, docker/cli и containerd)
https://www.opennet.ru/opennews/art.shtml?num=57978 - и любимое - выход за пределы массива на сишечке, а потом за пределы каталога))
И так далее...
Поэтому ваше утверждение... мягко говоря имеет слабое обоснование

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #52 Ответы: #100

58. Сообщение от Анонин (?), 13-Авг-23, 18:16 +/–

Еще раз для таких отбитых как ты))
SELinux - это просто костыль для ядра, потому что в свое время нормально не сделали, а потом уже поздно было переделывать. Контроль доступа к каталогам должен (был) быть неотъемлемой частью ядра. Но что есть, то есть.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #46 Ответы: #64, #92

59. Сообщение от Анонин (?), 13-Авг-23, 18:22 +/–

Если бы умели считать, то и уязвимостей не было))
glibc https://www.opennet.ru/opennews/art.shtml?num=59529
"Устранена уязвимость CVE-2023-25139, приводящая к переполнению буфера в функциях семейства printf при записи в буфер строковых представлений чисел с разделителями тысячных диапазонов, если размер буфера рассчитан без учёта разделителей (например, вывод 1,234,567 приведёт к переполнению на 2 байта)."

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #19

61. Сообщение от ИмяХ (?), 13-Авг-23, 18:54 +1 +/–

Это не получится. Надо создать новый язык, заточеный на безопасную работу с файловыми путями. И рекламировать его везде, вставляя по три больших абзаца текста про безопасную работу с файловыми путями, избавляя программиста от типичных ошибок выхода за пределы рабочего каталога

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #55 Ответы: #68

62. Сообщение от Sergey (??), 13-Авг-23, 19:11 –1 +/–

В смысле установить и намтроить ? В Федоре все по дефаульту пашет.
В 2005 году (точно не помню) бяла утечка ПХП и пол инета сайты потюкали, а что были на Шапке не пострадали.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #29

64. Сообщение от uis (??), 13-Авг-23, 19:21 +/–

И как же должно быть нормально, о великий кексперт?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #58

67. Сообщение от Аноним (67), 13-Авг-23, 20:27 +1 +/–

Пока что только отзывы от фанатов в духе "выбрать ржавчину было самой большой ошибкой моей жизни" и далее перечень объективных причин, почему это действительно оказалось плохой идеей. Но, в то же время, ржавчина всё ещё лучше сотен аналогичных моднявых язычков, и если таких неудачников не будет, она никогда не станет юзабельной. Поэтому, чем больше провалов, тем лучше.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #45 Ответы: #93

68. Сообщение от Anon3 (?), 13-Авг-23, 20:38 +1 +/–

Ну, не то, чтобы не получится.
Но, наверно, вы правы.
Во первых семантика работы с обьектами файловой системы и указателями может не совпадать и будет код на rust похожый на кашу (сейчас, то rust - образец элегантности)
Во вторых, не всем нужна работа с файлами (может же персистентность обеспечиваться СУБД, etc)
А вот rust, и всю его инфраструктуру, видимо надо позиционировать как stateless, всю работу с IO обьявть unsafe.
Итого: rust, не язык  общего назначения, а вычислитель с перекладыванием байтов в оперативной памяти

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #61

69. Сообщение от Аноним (69), 13-Авг-23, 20:59 –1 +/–

>этот формат должен поддерживаться, иначе пользователи будут ныть
Утрутся и сконвертируют. Распространители контента, не пользователи. У пользователей не ffmpeg виноват будет, а те, кто контент во всратом формате, а не в общепринятых h.264 h.255 vp9 в кортейнерах и mp4 mkv (и варианте webm) публикует.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #44 Ответы: #70

70. Сообщение от Аноним (67), 13-Авг-23, 21:40 +1 +/–

Но ведь у пользователей всё работает. Это очень популярный формат на самом деле, куда популярнее, скажем, общепринятых ogg+theora/daala.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #69

71. Сообщение от Витюшка (?), 13-Авг-23, 23:42 +/–

В смысле не выходят??? А это тогда что?
https://stackoverflow.com/questions/24898579/why-does-the-ru...

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #56 Ответы: #74, #90

72. Сообщение от Минона (ok), 14-Авг-23, 00:38 +/–

Это все от использования всяких ИИ-копилотов.
Деградация налицо, обленились.

Ответить | Правка | Наверх | Cообщить модератору

73. Сообщение от tty0 (?), 14-Авг-23, 00:43 +/–

История помнит Delphi. Раст, конечно, не столь удобный и продуманный, но все возможно.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11

74. Сообщение от Анонимусс (?), 14-Авг-23, 02:22 +/–

Там же по ссылке написано
> thread panicked at 'index out of bounds
Проверка не дала выйти за границу.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #71

75. Сообщение от Аноним (75), 14-Авг-23, 05:40 +/–

Вот это очень правильно. Тем более, что в хорошей фс может быть не единственный родительский каталог.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #15

76. Сообщение от Аноним (76), 14-Авг-23, 06:09 +1 +/–

Она и была librsvg. Библиотека для РАСТЕРИЗАЦИИ svg.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1

78. Сообщение от Аноним (78), 14-Авг-23, 07:36 –1 +/–

Раст и есть уязвимость.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2

79. Сообщение от just yet it (?), 14-Авг-23, 14:04 +/–

больше уязвимостей нет, тащ майор

Ответить | Правка | Наверх | Cообщить модератору

80. Сообщение от Аноним (80), 14-Авг-23, 16:16 +/–

> Уязвимость в GNOME Files, связанная с сохранением suid-бита в файлах, извлечённых из zip-архивов
С каких пор это уязимость? Если хомяк не монитруется с noexec, то ЭТО уязвимость (дистрибутива). Если пользователь запускает что-то, установленное в обход пакетного менеджера, то ЭТО уязвимость (между экраном и клавиатурой). А сохранение атрибутов файлов - это стандартная функция менеджера архивов.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #81, #82

81. Сообщение от Аноним (80), 14-Авг-23, 16:16 +/–

*noexec - nosuid nodev noexec

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #80

82. Сообщение от Аноним (67), 14-Авг-23, 18:15 +/–

Попробуй /tmp монтировать с noexec, потом поделишься впечатлениями. Сам ты уязвимость, малварь выглядит совсем не так, как ты её себе представляешь. Например, устанавливаемые из самых что ни на есть реп chrome и vscode -- малварь чистой воды.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #80 Ответы: #84, #91

83. Сообщение от Аноним (-), 14-Авг-23, 18:23 +/–

> Специальные элементы директорий `.` и `..` были большой ошибкой и костылём для
> того, чтобы bat-файлы, не имеющие ООП, было легче писать. Давно пора
> прекратить обработку `.` и `..` на уровне ядра и сломать все
> программы, от этого зависящие. Кому нужна родительская директория - пусть используют
> API операционной системы, POSIX API или std::filesystem. Это и есть окончательное
> решение вопроса.
Видите ли - так еще много контента ресурсы референсит. Кроме того - а как вы навигировать по иерархии будете без .. ? А назад возвращаться как?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #15

84. Сообщение от другой Аноним (?), 14-Авг-23, 19:11 +/–

> Попробуй /tmp монтировать с noexec, потом поделишься впечатлениями.
А чо такого?
% mount -v /tmp
tmpfs on /tmp (tmpfs, local, noexec, nosuid)
% stattime /etc/fstab
File:    /etc/fstab
Access:    20:34:55 15/11/2014
Birth:    18:47:56 14/11/2013
Modify:    15:23:23 03/06/2021
Change:    15:23:23 03/06/2021
% uptime
18:10:04  up 159 days 17:34

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #82 Ответы: #86

86. Сообщение от Аноним (67), 14-Авг-23, 19:16 +/–

Маловероятно, что это рабочая станция -- куча юзерского софта обломится. Да и смысла особого нет, если только нет цели огородить находчивого юзера.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #84 Ответы: #87

87. Сообщение от другой Аноним (?), 14-Авг-23, 19:23 +/–

> Маловероятно, что это рабочая станция -- куча юзерского софта обломится.
Угу, это не рабочая станция, это ноут, с которого я пишу этот коммент. И да, "куч" обламывающегося не видел, проблемы обычно лишь у весьма специфичных смузи-поделок (сборка некоторых модулей для питона, ржавчины и прочее современное "sudo curl | sh")

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #86 Ответы: #88

88. Сообщение от Аноним (67), 14-Авг-23, 20:07 +/–

Вайнтрикс? DE?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #87 Ответы: #89

89. Сообщение от Аноним (89), 14-Авг-23, 22:06 +/–

> Вайнтрикс?
Да вроде работал пару лет назад (не помню уже для чего использовал - вино у меня только для пары старых игрушек стоит).
> DE?
Нету. Еще лет 10 назад надоело регулярное "мы тут опять улучшили и перетасовали, привыкайте".
Есть набор программ - частью стянуто из кед (Okular, Dolphin), частью "когда-то наткнулся и с тех пор пользуюсь".
Под сборку и прочее есть отдельный /tmp-build

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #88

90. Сообщение от Аноним (93), 14-Авг-23, 22:08 +/–

доступ по индексу проверяется в рантайме. Программа аварийно завершилась - доступа за пределы не было.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #71 Ответы: #96

91. Сообщение от Аноним (93), 14-Авг-23, 22:23 +/–

> Попробуй /tmp монтировать с noexec
В Debian 10 многие tmpfs смонтированы с noexec и nosiud по-умолчанию.
Запускать что-то из /tmp крайне подозрительно.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #82 Ответы: #98

92. Сообщение от Аноним (93), 14-Авг-23, 22:30 +/–

Что бы сделать что-то подобное мандатному доступу - надо договориться. Кому надо - поставят и настроят костыль.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #58

93. Сообщение от Аноним (93), 14-Авг-23, 22:37 +/–

Какой современный "социолог". Расплывчатый сомнительный опрос и твердый вывод "это действительно оказалось плохой идеей"

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #67 Ответы: #95

94. Сообщение от Аноним (93), 14-Авг-23, 22:41 +/–

Проблема "../" в том, что, как сказал релокант, нот всего семь. А играть приходиться и на свадьбах и на похоронах. Происходит смешение.

Ответить | Правка | Наверх | Cообщить модератору

95. Сообщение от Аноним (67), 14-Авг-23, 22:46 +/–

На HN пару раз видел, там любят ржавчину.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #93

96. Сообщение от Витюшка (?), 15-Авг-23, 00:17 +/–

В Rust индекс имеет тип usize. А значит при overflow вновь попадёт в валидный индекс 0.
Это никак в runtime не проверить.
Вот тебе и яузвимость - доступ к другому участку памяти.
А там и данные могут быть с root правами, или спец значения и ТД.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #90

97. Сообщение от Аноним (97), 15-Авг-23, 03:51 +/–

Это типичная ошибка на чем угодно, и это отдельный класс уязвимостей с тех пор, как вообще существуют относительные пути.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #24

98. Сообщение от Аноним (-), 15-Авг-23, 06:41 +/–

В Слэквэр /tmp для сборки слакбилдов, не?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #91

99. Сообщение от Аноним (99), 16-Авг-23, 03:01 +/–

> А где по вашему больше виноват человек (кодер) где пути или где память ?
Ну, это как установить мину, а потом сказать - виноват тот, кто наступил, не надо было наступать.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4

100. Сообщение от glebiao (ok), 16-Авг-23, 15:30 +/–

а время покажет.
пока утверждение косвенно подтверждает :) тот факт, что ВСЕ проекты на Расте пишутся чрезвычайно долго и результат, по-первости, падает на любой чих (яркий пример: inkscape позапрошлого года)

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #57

101. Сообщение от Аноним (101), 18-Авг-23, 00:24 +/–

И єтого я тоже не говорила, виноваты разрабы ноды.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #31

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. Сообщение от Аноним (1), 13-Авг-23, 09:50	+14 +/–
> Уязвимость (CVE-2023-38633) в библиотеке librsvg Вот переписали бы на... Ой, это ведь была libsvg когда-то.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #2, #3, #22, #30, #76

2. Сообщение от Sergey (??), 13-Авг-23, 10:10	+1 +/–
В расте не может быть уязвимости !
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #1 Ответы: #78

3. Сообщение от Анонимусс (?), 13-Авг-23, 10:29	+9 +/–
Ну так именно поэтому тут проблема с путями, а не с переполнением буфера или overflow как в дыряшке в соседних уязвимостях.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #1 Ответы: #4, #33

4. Сообщение от Sergey (??), 13-Авг-23, 10:34	+/–
А где по вашему больше виноват человек (кодер) где пути или где память ?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #3 Ответы: #5, #99

5. Сообщение от Анонимусс (?), 13-Авг-23, 10:41	+6 +/–
И там и там виноват)) Но с памятью ошибки опаснее, пути не дадут выполнить произвольный код. Поэтому у этой уязвимости CVE-2023-38633 score 7.5, а у уязвимости в CVE-2023-3824 с памятью - 9.4 CRITICAL. Чувствуется разница? А вообще все эти уязвимости с выходом за пределы родного каталога - просто результат черехж0пно спроектированной оси. Просто дыряшке ты с легкостью сделаешь обе ошибки, а в растишке нужно постараться, чтобы накосячить с памятью.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #4 Ответы: #49

6. Сообщение от Аноним (-), 13-Авг-23, 10:45	–1 +/–
1. phar_dir_read ошибка в файле dirstream.c немного ошиблись с вычислением размеров, бывает 2. логическая ошибка парсинга 3. GStreamer - в файле rmdemux.c забыли вычислять size для gst_buffer 4. xen-netback/netback.c - buffer overrun, какая неожиданность! 5. в жабаскрипте не силен, но тк там нет строгой типизации, то не удивительно 6. urllib.parse - забыли экранировать ввод? странная ошибка для такой древней либы 7. GNOME Files... проблема suid на пеньке появляется регулярно, возможно дело не в руках, а архитектуре 8. и логическая ошибка в librsvg, почти как в PHP что вдвойне обидно)
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #9, #21

7. Сообщение от Sergey (??), 13-Авг-23, 10:45	–1 +/–
Да ладно, нормально все тут с путями, они вообще с Unix пришли.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #8, #14

8. Сообщение от Аноним (8), 13-Авг-23, 10:49	+/–
смотрю в Windows проблем вообще нет?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #7 Ответы: #10, #51

9. Сообщение от Sergey (??), 13-Авг-23, 10:49	+2 +/–
Я про то что как бы оказалась что Раст будет способствовать понижению уровня программиста.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #6 Ответы: #11, #13

10. Сообщение от Аноним (-), 13-Авг-23, 10:50	–2 +/–
тебя волнуют проблемы форточников? или может нужно оттуда взять пару костылей?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #8

11. Сообщение от Аноним (11), 13-Авг-23, 10:54	+/–
ты делаешь такой вывод из одной cve'шки ? было бы интересно глянуть, что там было до переписывания (но лень))) может логику транслировали 1-в-1 со всеми ошибками
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #9 Ответы: #73

12. Сообщение от Аноним (12), 13-Авг-23, 11:07	+/–
Только 2 из уязвимостей связаны с повреждением памяти.
Ответить \| Правка \| Наверх \| Cообщить модератору

13. Сообщение от Анонин (?), 13-Авг-23, 11:08	–1 +/–
Ахаха, а у сишных бракоделов, которые даже размер буфера вычислить не могут, сильно высокий уровень??
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #9 Ответы: #19

14. Сообщение от Анонин (?), 13-Авг-23, 11:10	–2 +/–
Проблема не с путями, а с тем, куда ось дает доступ. То что кто угодно может читать что угодно было нормально в дремучие времена юниксов.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #7 Ответы: #17

15. Сообщение от Аноним (12), 13-Авг-23, 11:12	–2 +/–
Специальные элементы директорий `.` и `..` были большой ошибкой и костылём для того, чтобы bat-файлы, не имеющие ООП, было легче писать. Давно пора прекратить обработку `.` и `..` на уровне ядра и сломать все программы, от этого зависящие. Кому нужна родительская директория - пусть используют API операционной системы, POSIX API или std::filesystem. Это и есть окончательное решение вопроса.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #75, #83

17. Сообщение от Sergey (??), 13-Авг-23, 11:55	+/–
Selinux может ограничивать доступ не только к файлам и сетке но и к памяти ...
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #14 Ответы: #29

18. Сообщение от Аноним (18), 13-Авг-23, 11:59	+/–
Уязвимость в librsvg?! Не может быть! Эта библиотека написана на безопасном языке!
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #20, #40

19. Сообщение от Ефрщ (?), 13-Авг-23, 12:08	+/–
Откуда инфа что не могут?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #13 Ответы: #26, #59

20. Сообщение от Аноним (20), 13-Авг-23, 12:14	+1 +/–
Дык и уязвимость безопасная. Просто фича такая, не дырень же.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #18 Ответы: #38

21. Сообщение от Аноним (21), 13-Авг-23, 12:19	+1 +/–
5. Оно и видно что не силён, ведь все 7 из 7 уязвимостей в ноде ни как не связаны с динамической типизацией
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #6 Ответы: #31

22. Сообщение от Шарп (ok), 13-Авг-23, 12:37	+2 +/–
Там логическая ошибка, а не типичный сишный обсёр с указателями.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #1 Ответы: #24, #55

23. Сообщение от Аноним (23), 13-Авг-23, 12:39	+1 +/–
Нет, Rust тут не поможет: ни один баг не про double-free и не про use-after-free, а больше никаких гарантий этот язык не дает.
Ответить \| Правка \| Наверх \| Cообщить модератору

24. Сообщение от Аноним (-), 13-Авг-23, 13:14	+/–
Нет, это типичная логическая ошибка на Расте, каких в будущем будет много. И такой тип ошибок превратится в класс уязвимостей.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #22 Ответы: #35, #97

26. Сообщение от Аноним (26), 13-Авг-23, 13:38	+/–
Посмотри на число уязвимостей и сложи 2+2(про переполнение не забудь)
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #19 Ответы: #28

27. Сообщение от Витюшка (?), 13-Авг-23, 13:46	+/–
Интересно, как поможет Rust, если он тихо проглатывает численные переполнения в арифметических операциях? Значит скоро полезут уязвимости.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #56

28. Сообщение от Аноним (67), 13-Авг-23, 14:07	+/–
Посмотри на чём пишут софт и на чём только переписывают привет миры и сложи 1 и 1.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #26 Ответы: #32

29. Сообщение от Анонин (?), 13-Авг-23, 14:10	+/–
Может, это круто. Ну и где ваш Selinux? Его нужно установить и настроить, причем правильно настроить, а то будет еще хуже. В AppArmor можно тоже прописать deny path, а толку. Это должно быть в оси по умолчанию. Каждая аппа получает доступ к своей папке в хомяке и больше никуда. Все остальные запросы на доступ идут через запросы к оси и юзер дает права. Или прописываются ручками в отдельном конфиге, если так удобнее.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #17 Ответы: #46, #62

30. Сообщение от Аноним (30), 13-Авг-23, 14:12	+/–
Вот именно, это лишний раз доказывает, что сознательные программисты/компании не зря (пусть не сразу) отказываются от сишки/плюсов. В них бы на одну эту "логическую" ошибку было бы в довесок еще две-три-четыре критических ошибки работы с памятью. Отрадно видеть, что в целом ЯП дает то, что обещает. Думать за программиста над задачей он не обещал. Это вам к чатгопоте будущих версий.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #1 Ответы: #36, #45

31. Сообщение от Анонин (?), 13-Авг-23, 14:13	–1 +/–
О, у нас спец по ноде! Неужели все 7 тоже сишные дырени?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #21 Ответы: #101

32. Сообщение от Аноним (30), 13-Авг-23, 14:20	–1 +/–
Посмотрел. В андроиде (в последнийх версиях) _новую_ нативную системщину стараются писать на расте и выкидывают к хе.рам собачьим си/плюсы. Старую сишню/плюсовину пока переписывать не собираются, там же рациональные люди, не фанатики - слишком дофига написано, всё не перепишешь, плюс в старом уже большинство ошибок вылизано. Зато радуются, что в ядро растишку всунули. Грозятся, что когда вызреет то и в ядро на расте будут писать, ибо все эти сишные баги их достали. Так что держись там. https://security.googleblog.com/2022/12/memory-safe-language...
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #28 Ответы: #39