В пакете XZ Utils, включающем библиотеку liblzma и утилиты для работы со сжатыми данными в формате ".xz", выявлен бэкдор (CVE-2024-3094), позволяющий перехватывать и модифицировать данные, обрабатываемые приложениями, связанными с библиотекой liblzma. Основной целью бэкдора является сервер OpenSSH, в котором используется liblzma. Связывание sshd с уязвимой библиотекой позволяет злоумышленникам получить доступ к SSH-серверу без аутентификации...Подробнее: https://www.opennet.ru/opennews/art.shtml?num=60877
И как понять что тот бекдор успел натворить? Если он больше месяца существует.
For our openSUSE Tumbleweed users where SSH is exposed to the internet we recommend installing fresh, as it’s unknown if the backdoor has been exploited. Due to the sophisticated nature of the backdoor an on-system detection of a breach is likely not possible. Also rotation of any credentials that could have been fetched from the system is highly recommended.
https://news.opensuse.org/2024/03/29/xz-backdoor/
Не просто больше месяца существует - автор бэкдора 2 года в проекте (!!) и отправлял к нему многочисленные патчи с исправлениями (в том числе для повышения скрытности).При этом явно предпринималась попытка замаскировать полную компроментацию проекта xz под "всего лишь" компроментацию тарболов, а сам бэкдор не активировался если запускать исполняемые файлы с поражённой liblzma в терминале. Не известно, единственный ли это бэкдор или были другие (а ещё аккаунт автора вовлечён в разработку кучи других проектов, таких как java-версия xz...)
Не исключено, что к моменту публикации новости аффтар уже почистил за собой все следы и перезагрузил за вас ваши сервера 0_o
откуда дровишки?
В обсуждении на openwall много чего есть из не упомянутого в новости.
> И как понять что тот бекдор успел натворить? Если он больше месяца существует.Audit + Accounting + MAC и логи на другой сервер, который без бекдора с xz. Тогда есть шанс что-то увидеть.
https://www.opennet.ru/openforum/vsluhforumID10/5622.htmlНаписал скриптик и подправил /etc/inittab для исследования CAP. В результате теперь pscap не имеет процессов с full привилегиями. Все процессы пользователя root в системе имеют только необходимые и достаточные привилегии для своей работы. В логах:
zgrep -h 'Operation not permmited' /var/log/* |sort |uniq
появляются сообщения о привышении процессом необходимых ему привилегий.
Accounting это какие примеры?
Короче. Инцидент был и он в дистрибутивах был, которые никто в здравом уме не будет ставить на прод. А ломать домашние машины... которые по какой-то причине выставлены в сеть... ну это цель нужна и ждать подходящего момента... сомнительное удовольствие.
Создать ботнет и наехать на "конкретных" , не ?
Все современные ботнеты, они исключительно иот. А там как всегда протухшая на 5-7 лет версия ядра.
Не надо себя убаюкивать . Ботнеты на всём , что удасться взломать . И чем круче железка - тем больше вероятность что тебя же и заподозрят .
> Все современные ботнеты, они исключительно иот. А там как всегда протухшая на 5-7
> лет версия ядра.Именно поэтому у меня воооон там в логах немеряно левака с каких-то маздаев таких как ты васянов и прочих дырохостингов с суперблохами - где водятся баги.
Отовсюду лезут на самом деле. Все что можно использовать нашару - используют. Нахаляву и уксус сладкий.
На домашних машинах может быть столько криптовалюты что целой группе авторов хватит до конца жизни
Какой идиот хранит крипту на компе?
я извиняюсь, а где?
Малинку заведите. И спрятать эту Тамогочу в кладовку с донорскими платами чтобы никто не узнал.)
> я извиняюсь, а где?Есть такие устройства, кошельки называются, можешь даже сам такой сделать, штучка которая выглядит как флешка, которая не имеет доступа в интернет и защищена шифрованием, паролями, биометрией чем угодно.
да, а потом как с неё деньги выводить обратно? не через интернет ли случаем?
А потом этот кошелек выходит из строя и привет. Такое уже было.
> Короче. Инцидент был и он в дистрибутивах был, которые никто в здравом
> уме не будет ставить на прод. А ломать домашние машины... которые
> по какой-то причине выставлены в сеть... ну это цель нужна и
> ждать подходящего момента... сомнительное удовольствие.Протроянить Васяна, который собирает пакетики для "прода" - тянет на цель?
rosa2023.1-5.6.1-2 2024.03.30
rosa2023.1-5.6.1-1 2024.03.09
rosa2023.1-5.6.0-1 2024.02.25
rosa2023.1-5.2.9-1 2022.12.07
Ну так цель то ясна, Васяна наняли для конктретного дележа денег, пока государство целенаправленно это собирание спонсирует и навязывает.
Про воспроизводимые сборки в НТЦ ИТ Роса никто и не слышал.
найти и наказать гада — это одно, не допускать такого в принципе — другое..
Во! Если уж бэкдор, то только хардварный, только хардкор! Не допускать васянство!
> Во! Если уж бэкдор, то только хардварный, только хардкор! Не допускать васянство!Intel ME вместе с PSP передать просили - ALL YOUR BASE ARE BELONGS TO US!
Нужно заставить гада извиниться на камеру
ну попробуй, заставь сотрудника правительственной связи ее величества это сделать :)
Что так слабо? Заставь её величество извиниться!
Почему её? Его же, ну
Её интереснее. Расскажет, как там климат, на чём жарят - на масле или на голой сковороде
Какой, извиниться? Его валить нужно. А если есть семья, то и семью.
И отрезать ему ухо!
хз-utils, ну что, уважаемо, эпично. Эта библиотека есть прям везде. И самое дурное, ведь архиватору не нужен доступ почти ни к чему. Но такой изоляции нет.
Да что ты говоришь? Это же чушь несусветная. RHEL или MS напрямую у тебя берут данные и отдают кому надо.А здесь ты можешь смотреть, что и происходит. Так Базар и развивается, а за Собором в MS.
Эпично, что "гуманитарий" уловил суть, а "технарь", слегка подвинутый на идеологии, пытается спорить.
Но он прав в том, что один бэкдор в мире Linux был относительно быстро обнаружен вызвал скандал, а закрытая Windows может быть нашпигована по самое нехочу но ничего поделать с этим нельзя.
"Может быть" ключевое слово, а "ничего поделать с этим нельзя" следует читать как "ничего не умею".Например вот эту штука http://www.online-solutions.ru/products/osss-security-suite.... много чего могла на тех ОС, где работала.
Да, читать нужно уметь, но не так альтернативно одаренно, по итгу буквально все - мимо. Ключевое слово - "есть", а именно не может не быть, но ты же споришь с очевидным. Можешь обнаруживать там что угодно, но что сделаешь с этим? Пофиксишь в hex-editor? Особенно когда срок поддержки завершен - отложите все дела, устанавливаются новые уязвимости, и все по новому.
> Да, читать нужно уметь, но не так альтернативно одаренно, по итгу буквально
> все - мимо.Ну почему же всё? "итгу" - годный пример, что читать надо уметь. Особенно, что сам пишешь.
> Ключевое слово - "есть", а именно не может
> не быть, но ты же споришь с очевидным.Очевидно, что в сообщении, на которое я отвечал, слово "есть" тебе померещилось. Ты можешь нажать в браузере Ctrl+F и убедиться.
> Можешь обнаруживать там
> что угодно, но что сделаешь с этим? Пофиксишь в hex-editor? Особенно
> когда срок поддержки завершен - отложите все дела, устанавливаются новые уязвимости,
> и все по новому.Что бы ты мог суметь представить, что _я_ сделаю, тебе необходим хоть какой-то опыт, помимо поиска патчей и сборки готовых пракетиков. Например, ты можешь прочитать про Miсrosoft Detours -- для затравки.
Ага, уже пошёл смотреть все сорсы всех либ, используемых в моем дистре, начиная с ядра. Сколько там, терабайт наберётся на почитать?
>Эта библиотека есть прям вездев дебианах (даже 12м) нет пока сам не поставишь. на rhel сильно старое. нашёл среди своего хозяйства только на арче, но кто ж там что важное будет хранить?
> только на арчеArch не был подвержен этому вектору атаки, там openssh не использовал liblzma, в отличие от DEB и RPM дистрибутивов.
Так что даже забекдорить с уязвимой версией xz, Arch бы не удалось.
Я уже много лет говорю об этой проблеме и о том, как плохо обстоят дела с безопасностью в Linux. Я знал, что что-то подобное случится, и это случилось.Почти все дистрибутивы, за исключением, может быть, RHEL, торопятся выложить пакеты из upstream, никогда не проверяя, что исходный код не был затроянен.
Хуже того, независимые мейнтейнеры, назначенные для работы с пакетами, часто даже не являются разработчиками, так что у них нет ни возможностей, ни квалификации, чтобы прочитать код и убедиться, что он по-прежнему заслуживает доверия. Часто сопровождающие отвечают за несколько пакетов, и в то же время это не является их основной работой или тем, за что они получают зарплату, поэтому они практически не заинтересованы в том, чтобы все было правильно.
В то время как крупные корпорации, такие как Microsoft, Google или Apple, одобряют каждую строчку кода, которая попадает к вам как к клиенту, в мире Linux такого не существует. И дело не только в Linux, FreeBSD тоже страдает от этого. Я не уверен насчет OpenBSD/NetBSD, поскольку никогда их не использовал.
Можно ли решить эту проблему? Понятия не имею.
Дистрибутивы Linux должны предпринять согласованные усилия по проверке пакетов и отмечать их как "доверенные". Я никогда не слышал ни о чем подобном, за исключением RHEL, который не является настольным дистрибутивом и, кроме того, сильно ограничил свои связи с сообществом.
Это не проблема XZ. Это проблема всей экосистемы Linux. Вопрос безопасности, надежности, доверия и проверяемости.
Все ок, но про одобрение каждой строчки кода уже слишком жирно
Да, примерно так.Причём код проверяет не один человек, а несколько.
Жирно - это к open source. На первой странице Opennet это уже вторая (!) новость про то, что ни черта никто не проверяет, а эту уязвимость просто случайно (!) обнаружили, потому что код трояна был кривой и вызывал задержки в работе SSHD.
Ты лично видел, как проверяли всей оргией каждую строчку кода? Готов имена назвать конкретных тимлидов, которые всё-всё проверили и последствия их кодинга никогда не обсуждались на каком-нибудь Black Hat?Проблема очевидная - недостаток ментейнеров (или их квалификации) в дистрибутивах, раз уж это дошло до апстрима. Хочешь побыть Линусом, одобряя каждую версию пакета, подставляя свою репутацию и убивая в это время? Вперёд, никто не держит. Мы потом всем опеннетом вместе посмеёмся.
Каким боком здесь безопасность линукса? Это не дыра в ядре, не эскалация привилегий, а банальный троян в пользовательском приложении.В винде же троянов не бывает, а майкрософт лично проверяет код каждого экзешника в интернете. Не забудь принять таблетки.
ну объективно говоря от этого приложения зависит пол системы. Может я не прав, но получается ты ставишь "winrar" и половина винды от него зависит.
Да, но если так же скомпрометировать популярную библиотеку на винде, разница будет лишь в том, что копия вирусной dll-ки будет лежать в комплекте у каждого отдельного приложения.
Что кстати ЗНАЧИТЕЛЬНО усложняет процесс обезвреживания, ведь нельзя просто обновить 1 пакет, а придется обновлять КАЖДОЕ приложение у которого эта dll в комплекте.
> Да, но если так же скомпрометировать популярную библиотеку на винде, разница будет
> лишь в томРазница в том, что для верности аналогии тебе придётся скомпрометировать библиотеку advapi32.dll. Так что вперёд.
> ну объективно говоря от этого приложения зависит пол системы. Может я не
> правВ формулировке ошибка: это компонент системы, а не приложение, как его пытался выставить анонимный тролль. По существу всё верно.
>объективно говоря от этого приложения зависит пол системыда откуда вы такие беретесь? не зависит от xz ничего, его даже поставить надо руками.
apt autopurge xz-utils
Чтение списков пакетов… Готово
Построение дерева зависимостей… Готово
Чтение информации о состоянии… Готово
Следующие пакеты будут УДАЛЕНЫ:
build-essential* dkms* dpkg-dev* g++* g++-13* g++-13-x86-64-linux-gnu* g++-x86-64-linux-gnu* gcc* gcc-13*
gcc-13-x86-64-linux-gnu* gcc-x86-64-linux-gnu* libalgorithm-diff-perl* libalgorithm-diff-xs-perl*
libalgorithm-merge-perl* libasan8* libatomic1* libc-dev-bin* libc-devtools* libc6-dev* libcc1-0*
libcrypt-dev* libdpkg-perl* libfile-fcntllock-perl* libgcc-13-dev* libhwasan0* libitm1* liblsan0*
libnsl-dev* libquadmath0* libstdc++-13-dev* libtirpc-dev* libtsan2* libubsan1* linux-libc-dev*
manpages-dev* rpcsvc-proto* sysstat* xz-utils*
Обновлено 0 пакетов, установлено 0 новых пакетов, для удаления отмечено 38 пакетов, и 0 пакетов не обновлено.
После данной операции объём занятого дискового пространства уменьшится на 217 MB.
Хотите продолжить? [Д/н]
> В винде же троянов не бывает, а майкрософт лично проверяет код каждого экзешника в интернете. Не забудь принять таблетки.Примеры backdoors в продуктах Microsoft в студию. Хотя бы один за 40 с лишним лет, что они существуют.
> а майкрософт лично проверяет код каждого экзешника в интернете
Я говорил про software, который создаёт и распространяет сама MS официально. Мне плевать на то, кто и что "распространяет в Интернет". Начните с умения читать и понимать написанное - у вас с этим проблемы.
> Не забудь принять таблетки.
Попробуй мне это в лицо сказать, анонимный тролль.
> Примеры backdoors в продуктах Microsoft в студию.Сначала ты примеры backdoors в продуктах Linux Foundation в студию.
> Я говорил про software, который создаёт и распространяет сама MS официально. Мне плевать на то, кто и что "распространяет в Интернет".
То есть все люди на винде пользуются исключительно приложениями от MS и никакими другими? Ну-ну.
Ну вот буквально несколько дней назад нашли в Fedora (продукте redhat, платинового спонсора lf). Прув: https://www.opennet.ru/cgi-bin/openforum/vsluhboard.cgi?az=p...
Да легко!
Как насчет Bvp47 ?
По слухам связан с NSA, но проверить естественно невозможно.
"287 organizations in 45 countries and went largely undetected for over 10 years"Вот оно качество поделок от линукс фаундейшн, не зря же Линус получай лям в месяц, ну.. от уважаемых партнеров.
А еще можно вспомнить уязвимости в драйверах.
Да практически каждую вторую RCE в ядре с получением рута можно считать бекдором, замаскированным под "сишник опять обделался и вышез за границы буфера"
Так падажи, но если считать дыры за умышленные бэкдоры, то винда тогда по этому критерию чемпион вне конкуренции получается. А если еще учесть, что довольно много кода в ядро вносят работники MS...
Тут как говорится, если слишком тщательно расследовать дело, то можно случайно выйти на себя.
А про Bvp47 есть что сказать?> то винда тогда по этому критерию чемпион вне конкуренции получается.
Эм... как-то не получается...
Linux Kernel - 3876 vulnerabilities found
cvedetails.com/vulnerability-list/vendor_id-33/product_id-47/Linux-Linux-Kernel.htmlWindows 10 - 3080 vulnerabilities found
cvedetails.com/vulnerability-list/vendor_id-26/product_id-32238/Microsoft-Windows-10.htmlWindows 11 - 600 vulnerabilities found
сvedetails.com/vulnerability-list/vendor_id-26/product_id-102217/Microsoft-Windows-11.htmlПравда если брать CVSS 8+, то ситуация чуть другая - 222 vs 634 vs 125 и ядро занимает уже второе место, а не первое.
Но, это только кернел в сравнении со всей виндой.
Ведь кроме кернела есть еще куча штук, которые есть в любом линуксе. Вроде исков. Или либс.
А вель есть еще куча DE разной степени популярности и качества кода.Так что твое утверждение совсем неоднозначное.
Здесь стоит опять же учитывать, что например злополучный ядерный модуль ksmbd, в котором уязвимости находят пачками, написан для протокола от MS и сопровождается людьми из того же MS.Хотя опять же, выдавать уязвимости за умышленные бэкдоры это удел конспиролухов. В такое лучше не скатываться.
> например злополучный ядерный модуль ksmbd, в котором уязвимости находят пачками, написан для протокола от MS и сопровождается людьми из того же MS.Ну так не принимайте от них модули.
А то уже был прецедент с деревянным конем в подарок..> Хотя опять же, выдавать уязвимости за умышленные бэкдоры это удел конспиролухов. В такое лучше не скатываться.
Я и не собирался) Просто почти в каждой теме про RCE в ядре, начинаются споры "а это просто факап или намеренный бекдор".
Понятно что не стоит считать злым умыслом обычную глупость или невнимательность, но даже кол-во обычных ошибок просто удручает.
> Ну так не принимайте от них модули.Не, это не выход, так можно вообще перестать любой код принимать.
Есть жирный плюс в том, что пока модуль не загружен, наличие в нем дыр не имеет значения. То есть всем кто не пользуется SMB от его существования ни холодно ни жарко. Зато если модуль выкинуть, то прямо пострадают те, кому SMB таки нужен.
> злополучный ядерный модуль ksmbd, в котором уязвимости находят пачками сопровождается людьми из того же HMSНет. Это не Microsoft пишет его.
И не более злополучен чем остальное ядро.
так уязвимости ведь разные бывают- DoS (Denial of Service / отказ в обслуживании) ( эксплойт уязвимости приводит к DoS устройства);
- Обход чего-либо (например, пароля для входа в систему);
- Исполнение кода (возможность злоумышленником выполнить какую-то команду на устройстве жертвы);
- Повреждение памяти;
- Доступ к информации (имеется в виду секретная информация, полученная за счет уязвимости);
- Увеличение привилегий (в частности для вредоносного ПО);
- Переполнение (буфера);у линукса их больше но это по большей части отказ в обслуживании что неприятно но терпимо, в то время как у винды доминирует увеличение привилегий и доступ к информации.
> у линукса их больше но это по большей части отказ в обслуживании что неприятно но терпимо, в то время как у винды доминирует увеличение привилегий и доступ к информации.Если честно, мне лень искать и считать сколько у кого RCE, сколько privilege escalation.
Как это сделать быстро я не нашел. Поэтому поверю вам на слово.
Но в ядре хватает и того и другого. А это только чистое ядро.
Стоп, а почему по Винде ты взял только две последние версии? Опять подгоняешь условия задачи под нужный ответ?
Потому что более ранние версии - EOL. Мы же не считаем дырки в ненужном начиная с первоядра 1991 года?
> Примеры backdoors в продуктах Microsoft в студию. Хотя бы один за 40 с лишним лет, что они существуют.Вы серьёзно? Тут даже сложно комментировать ибо вы похоже очень многое пропустили... Вы хоть знаете фамилию президанта РФ? :)
это константа
Держи. Не захлебнись только.https://www.cvedetails.com/vulnerability-list/vendor_id-26/p...
Разницу между malware/backdoor и vulnerability чувствуете? Видимо, вообще нисколько.
> Держи. Не захлебнись только.Linux Kernel обгоняет винду десятку на 796 CVE
cvedetails.com/vulnerability-list/vendor_id-33/product_id-47/Linux-Linux-Kernel.htmlТак что пример явно так себе))
Мы не знаем сколько на самом деле CVE в винде, потому что винда не open-source. Скорее всего в 10 раз больше. К тому же доверия closed-source софту, а особенно софту от биг-корпораций нет.
> К тому же доверия closed-source софту, а особенно софту от биг-корпораций нет.Ну да, а доверие к опенсорс софту - есть?))
У нас тут новость про бекдор, вообще-то!
Который не заметило ни 'сообщество', ни мейнтейнеры, которые по идее должны быть более компетентные)
Это раз.Исходники винды закрыты весьма условно.
Во-первых, кому надо их отдают на аудит.
Во-вторых, исходники винды утекали и не раз. Но даже после этого никто не нашел там бекдоров и заявил об этом.
Это два.Ну а три - твоя оценка в 10 раз с потолка.
Никто не знает сколько багов ядра были потенциальными CVE которые просто исправили.Это как раз пример, что (и) в опенсорсе никто ни за что не отвечает и доверять им нельзя, не смотря что код дают на блюдечке.
Фишка опенсорса в том, что за тебя сделали работу по реализации функционала и отдали тебе КОД. Берёшь и переписываешь его так, как тебе надо, и никто тебе ничего не сделает, пока как отдельный продукт выставлять не будешь в случае с GPL. Под MIT, BSD и публичным доменом всё ещё проще.А теперь покажи, как ты поправишь майкрософтский драйвер или сетевой стек под виндовое ядро, без кода то.
> Берёшь и переписываешь его так, как тебе надо
> А теперь покажи, как ты поправишь майкрософтский драйверСтоп-стоп. Мы сейчас не про достоинства опенсорса.
А про то что аргумент "опенсорс безопаснее закрытого софта" мягко говоря спорный, хотя его используют практически все визионеры.
Потому что опенсорс - такое же {#}, если не большее.
Это не фишка, а насадка на зависимость )
>> К тому же доверия closed-source софту, а особенно софту от биг-корпораций нет.
> Исходники винды закрыты весьма условно.Исходники Шрёдингера.
> Во-первых, кому надо их отдают на аудит.
И бекдоры тоже добавляет тот кому надо.
> Во-вторых, исходники винды утекали и не раз.
Ага, утекали исходники, чтобы дураки потеряли бдительность, что в винде всё окей, никаких троянов нет, а на самом деле мы даже и не знаем, потому что бекдоры могут быть только в специальных релизных версиях, которые не комитятся.
> бекдоры могут быть только в специальных релизных версиях, которые не комитятсяТы это про винду?
Или про те бинарники, которые тебе в пакетный менеджер прилетают?
Или про те исходники, которые тебе отдаются в виде tar.gz для компиляции локально и которые ты не сверяешь построчно с оригиналом?Хватит уже неси параноидальную чушь.
Эта новость - прекрасный пример как открытые исходники спасают от бекдоров))
> Эта новость - прекрасный пример как открытые исходники спасают от бекдоров))Спасают, бекдор исправили, а в винде хз, наверное ещё даже не нашли. А про бекдоры там знают те, кому нужно...
И фарфоровый чайник на орбите летает, да?
>Linux Kernel обгоняет винду десятку на 796 CVEАбсолютно "кривая" логика.
Если сравнивать *конкретную* версию винды (Win10), то надо брать *конкретную* версию ядра, например 4.19.х, выпущенную примерно одновременно с 10-кой. А если хочешь сравнить колличество CVE для всех Linux Kernel, то и для винды надо считать CVE для всех, начиная с Win95.
ИМХО так будет корректно.
Абсолютно "кривая" логика.Сравнивать только ядро с полноценной операционной системой.
Нужно брать конкретную десктоп версию дистрибутива, например Дебиан или Федора.
И суммировать все CVE в софте, который идет из коробки и без которого он неюзабелен.
Потому что в список винды попадает всякая фигня вроде Windows Contacts и Windows Fax Compose Form.
А в список ядра даже уязвимости в иксах/вейланде не попадают.ИМХО так будет корректно.
"Предполагаемый автор бэкдора" и у MS отметился
https://learn.microsoft.com/en-US/cpp/overview/whats-new-cpp...
Ужасы.С этого момента все его коммиты за последние пару лет раз 10 будут проверять :-)
"история про неусыпное око миллионов наблюдающее за исходным кодом 2.0"
Да вся винда бэкдор для МС. Хотят качают телеметрию от пользователя, хотят ставят рекламу в меню пуск пользователю. Сделать на твоей системе они могут что угодно.
>Примеры backdoors в продуктах Microsoft в студию. Хотя бы один за 40 с лишним летКак-то утек в открытый доступ сервис пак для NT с неудаленными отладочными символами. Там некоторые ключи назывались NSA_key. Не бекдор, конечно..
> Примеры backdoors в продуктах Microsoft в студию. Хотя бы один за 40 с лишним лет,
> что они существуют.Всякие ремотные активации с "customer experience improvement" с отсылкой нажатий кнопок на клаве интеречно что по вашему? Фича чтоли? Ну тогда кардер разувающий вашу кредитку - благодетель, вероятно. А грабитель - так и вообще клевый чувак.
Ну да, ядро же оно само по себе существует, ему же вообще ничего не нужно. Прикладное ПО? Зачем оно пользователям линукса?
А пока остаётся только ставить линукс и приговаривать: "This is fine"
> А пока остаётся только ставить линукс и приговаривать: "This is fine"Ну так в стабильных дистро - "all systems online". Ну в васяны с роллингами как раз и побегали по минному полю - а они разве не на это подписывались? :)
>В то время как крупные корпорации, такие как Microsoft, Google или Apple, одобряют каждую строчку кода, которая попадает к вам как к клиентуможно поподробнее о том как крупные корпорации одобряют каждую строчку кода ?
Джобс считал что так надо делать. Как там сейчас - хз
> Почти все дистрибутивы, за исключением, может быть, RHEL, торопятся выложить пакеты из upstream, никогда не проверяя, что исходный код не был затроянен.К вопросу о RHEL:
(1) We built 5.6.0 for Fedora 40 & 41. Jia Tan was very insistent in
emails that we should update.(2) We got reports later of a valgrind test failure. I also saw it
myself in my own projects that use liblzma. We notified Jia Tan of
this.(3) Since the valgrind failure pointed to something with ifuncs, using
'./configure --disable-ifuncs' was used to fix this in F40 & F41.(4) xz 5.6.1 was released with a fix for the valgrind failure.
(5) Fedora 40 was now in beta so we kept 5.6.0 + --disable-ifuncs.
Fedora 41 was updated to 5.6.1 (enabling ifuncs again).And now with the benefit of hindsight ...
In step (1) we worked in good faith with upstream. Given how
obfuscated the injection is, it's very unlikely we would have found
the problem even if we'd spent days inspecting the tarball. (And the
initial step of injection is *not* in git, so forget about reviewing
git commits.)The valgrind failure (2) was caused by a bug in the back door.
Disabling ifuncs in (3) disabled the back door, because I think it
relies on ifuncs to do its malware, but in any case the obfuscated
injection script explicitly skips injection if ifuncs are disabled.Step (4) fixed the back door valgrind failure.
The Fedora 40 beta freeze in (5) meant we got lucky for F40, not so
much for F41.
Что интересно, в светлой голове мейнтейнера даже мысли не возникло, почему ПРИКЛАДНОЙ код написан так, что верификаторы ругаются на всякие низкоуровневые ifuncs. Даже если бы они там были реально нужны - этот говнокодинг ушёл бы в продакшн без возражений, я так понимаю?
> В то время как крупные корпорации, такие как Microsoft, Google или Apple, одобряют каждую строчку кода, которая попадает к вам как к клиенту, в мире Linux такого не существует.Ага, наивный. Работал я в крупных компаниях. Строчки там одобряют неглядя(за редким исключением), потому что вчера надо было. И всегда есть с десяток бекдоров как обойти это ревью или прислать изменение от другого сотрудника. Например как-то отклонил ревью у коллеги потому что он делал ерунду, велел все переделать, он нашёл другого коллегу из смежного отдела, который не стал париться и просто заапрувил. Не говоря уже о бекдорах которые сами эти крупные компании вставляют. Что у эппла, что у мелкософта было гораздо больше казусов пожестче xz. Гугл и сам на линуксе сидит.
Очевидно, проблема принципиально не решаема. Как писать простой код который будет легко проверить, собрать и верифицировать - никто не знает. Читать простыни и выискивать трояны никто не согласен, да и с таким объёмом кода невозможно. А от минимализма уже давно отказались.
> Очевидно, проблема принципиально не решаема.Решаемая, просто для начала её стоит правильно сформулировать. Правильная же, на мой взгляд, формулировка в следующем: невозможно людей контролировать, единственный способ заставить всё работать более-менее нормально - сделать так, чтобы люди сами захотели делать как следует. Почему имеем случаи, подобные обсуждаемому? Ответ прост - стремление к личной выгоде. Почему есть стремление к личной выгоде? Опять же ответ прост - конкурентная борьба за ресурсы между людьми. Чем больше ты контролируешь ресурсов, тем меньше шанс оказаться на улице без средств к существованию и сдохнуть от голода. Как это прекратить? Дать каждому уверенность, что чтобы не случилось, его обеспечат работой и гарантированным минимумом необходимых для жизни ресурсов (не только водой и едой, но также жильём, медициной, образованием и т.д.). Как создать подобное общество? Вопрос достаточно сложный, но опять же решаемый - одна попытка уже была. В чём-то успешная, в чём-то - нет, однако правильность подхода можно считать доказанной. Осталось лишь сделать работу над ошибками - разобраться, почему не получилось, и попробовать создать правильную версию.
>[оверквотинг удален]
> Опять же ответ прост - конкурентная борьба за ресурсы между людьми.
> Чем больше ты контролируешь ресурсов, тем меньше шанс оказаться на улице
> без средств к существованию и сдохнуть от голода. Как это прекратить?
> Дать каждому уверенность, что чтобы не случилось, его обеспечат работой и
> гарантированным минимумом необходимых для жизни ресурсов (не только водой и едой,
> но также жильём, медициной, образованием и т.д.). Как создать подобное общество?
> Вопрос достаточно сложный, но опять же решаемый - одна попытка уже
> была. В чём-то успешная, в чём-то - нет, однако правильность подхода
> можно считать доказанной. Осталось лишь сделать работу над ошибками - разобраться,
> почему не получилось, и попробовать создать правильную версию.хорошая попытка, но нет.
> хорошая попытка, но нет.Что именно и почему?
Cisco достаточно крупная корпорация? Все же помним доступ по curl? А исправление бекдора в виде запрета доступа по... юзерагенту curl?
> В то время как крупные корпорации, такие как Microsoft, Google или Apple, одобряют каждую строчку кода, которая попадает к вам как к клиенту, в мире Linux такого не существует. И дело не только в Linux, FreeBSD тоже страдает от этого. Я не уверен насчет OpenBSD/NetBSD, поскольку никогда их не использовал.Тем временем https://overclockers.ru/blog/Docent2006/show/20835/v_routera...
В 2013 году разоблачения немецкой газеты Der Spiegel показали, что АНБ использует некоторые бэкдоры в маршрутизаторах Cisco. Cisco опровергла обвинения в том, что она работает с АНБ для внедрения этих бэкдоров.
В 2014 году в маршрутизаторах Cisco для малого бизнеса был обнаружен новый недокументированный бэкдор, который может позволить злоумышленникам получить доступ к учётным данным пользователя и выполнять произвольные команды с повышенными привилегиями.
В 2015 году группа злоумышленников, поддерживаемых государством, начала установку вредоносного бэкдора в маршрутизаторах Cisco, воспользовавшись многими маршрутизаторами, которые сохраняли учётные данные администратора по умолчанию, вместо того, чтобы изменять их на что-то ещё.
В 2017 году Cisco с помощью утечки данных Wikileaks обнаружила уязвимость в своих собственных маршрутизаторах, которая позволила ЦРУ удаленно управлять более чем 300 коммутационными моделями Cisco.
Ждем твой комментарий с этодругином.
Вы прекрасно нарыли дыры у networking equipment vendor. Прекрасно.Но какое Cisco имеет отношение к компаниям, которые перечислил птичка?
Даже если переставить буквы, Cisco не получится. Увы.
> Но какое Cisco имеет отношение к компаниям, которые перечислил птичка?А если прочесть его сообщение внимательней?
> В то время как крупные корпорации, такие как
Cisco разве перестала быть корпорацией, с проприетарной продукцией?
Гнутое точно такая же проприетарщина потому что требует передачи авторских прав, но ведь это не считается? Я про www.gnu.org/licenses/why-assign.ru.html говорю.
> Я уже много лет говорю [...] Я знал
> В то время как крупные корпорации, такие как Microsoft, Google или Apple, одобряют каждую строчку кода, которая попадает к вам как к клиентуОх, лол. Чел, ты же, очевидно, в коммерческой разработке никогда не участвовал. Откуда у тебя при этом столько спеси?
>> Я уже много лет говорю [...] Я знал
>> В то время как крупные корпорации, такие как Microsoft, Google или Apple, одобряют каждую строчку кода, которая попадает к вам как к клиенту
> Ох, лол. Чел, ты же, очевидно, в коммерческой разработке никогда не участвовал.
> Откуда у тебя при этом столько спеси?Давно/много работаете в указанных выше компаниях или ваша "коммерческая разработка" ограничена шаражкой на 200 человек от силы?
https://www.phoronix.com/forums/forum/phoronix/latest-phoron...слово в слово...
Ну не совсем, я как ни старался, не смог перевести на русский полноценно :-)Но автор, да, один - если вы про это.
Тут английский не в почёте.
> сервер OpenSSH, в котором используется liblzmaЭто не правда. В sshd не используется liblzma. SSHd _можно_ собрать, слинковав с libsystemd, который в свою очередь, зависит от liblzma. Читайте оригинал сообщения https://www.openwall.com/lists/oss-security/2024/03/29/4
sshd дёргает метод из systemd, который дёргает liblzma.То, что вы в своём Gentoo/LFS/Devuan извращаетесь, не имеет отношения к новости.
Она про Fedora 40/Rawhide/Debian SID, и they are all f*cked.
Учитывая, что разрабатывают openssh разработчики openbsd, то вопрос кто тут извращается с libsystemd, остаётся открытым
Нету в проекте openssh никаких обращений к libsystemd и тем более "методов".Умники-разумники из популярных дистро вместо того, чтобы самим реализовать достаточную часть протокола — вызвать getenv("NOTIFY_SOCKET"), открыть указанный там сокет, написать туда в нужный момент 8 байт ("READY=1\n"), закрыть сокет и вызвать unsetenv() — решили слинковаться с libsystemd ради одной функции, совершающей вышеперечисленные шаги, и притащили в адресное пространство вагон зависимостей этой libsystemd вроде libcurl, liblzma, libmount и ещё десятка чего-то там. Этим бекдор и пользуется, вмешиваясь в работу dynamic linker, о чём довольно подробно написано в рассылке oss-security.
Умник №1: https://salsa.debian.org/ssh-team/openssh/-/commit/59d17e908...
Умник №2: https://src.fedoraproject.org/rpms/openssh/blob/176421c4e42b...Функция sd_notify() не дёргает liblzma, для бекдора этого не надо. Т. н. "systemd notifications" можно реализовать без libsystemd, и этот протокол применяется не только в systemd (ещё в QEMU).
Извращение добавили те дистро, что впатчили сборку с libsystemd. Прежде чем писать, сначала лучше проверяйте сведения.
Ты всё юлишь, но не хочешь сказать правду, что systemd и есть бекдор. Всё об этом знали уже очень давно, но нмкто не хочет признавать.
да-да, власти скрывают, голуби следят
> То, что вы в своём Gentoo/LFS/Devuan извращаетесь, не имеет отношения к новости.Красиво подгорает! Перечитываю снова и снова, не могу налюбоваться!
Gentoo: "Newer releases were signed by a potentially compromised upstream maintainer"!
Забанили все релизы подписанные этим автором:
https://packages.gentoo.org/packages/app-arch/xz-utils
Системд нет,екзедутилс 5.4.6-r1. Все норм.Бггг.
Кажется откатывается на 5.4.2
Тоже не понимал причём тут xz, пришлось читать оригинал:> openssh does not directly use liblzma. However debian and several other
> distributions patch openssh to support systemd notification, and libsystemd
> does depend on lzma.
Тот самый момент, когда арч лучше дебиана.
buster - 5.2.4
Вообще xz это зло: https://www.nongnu.org/lzip/xz_inadequate.html
А что насчёт zstd? Бяка типа xz или что-то приятное типа gz/lz? Есть информация?
У lz4 и zstd один и тот же автор, так что скорее приятное.
стоящая вещь, только софт некоторый отсталый, а всякие mc вообще не могут без тарбола распаковать. тарболы зло, т.к. при открытии приходится все прогружать ради одного файлика из архива или просмотра списка.
Слишком много букв. А что они там предлагают для long-term archiving?
Ничего конкретного.Но вообще любой шарящий в теме человек знает, что для действительно длительного и надежного хранения данных нужна избыточность. То есть желательно использовать что-то типа Parchive.
Они говорят, что gzip, bzip2 и lzip "в разы" лучше в плане детекта различного рода проблем, появляющихся в архивах со временем, чем xz (детект ошибок в битых архивах и прочее подобное).
Ленту.В трех экземплярах.
Gentoo проблема с sshd не аффектит, так как там не используют патчи для systemd-notify: https://bugs.gentoo.org/show_bug.cgi?id=CVE-2024-3094#c3
> Gentoo трабл с sshd не аффектит, так как там не юзаются патчи для systemd-notifyПофиксил, ё велком
> Всем пользователям выпусков xz 5.6.0 и 5.6.1 рекомендуется срочно откатиться на версию 5.4.6.xz --version
xz (XZ Utils) 5.4.1
liblzma 5.4.1Хакеры 0 : 1 Debian stable
xz --version
xz (XZ Utils) 5.2.5
liblzma 5.2.5У меня ещё древнее.
А вот у тебя 4 летняя, но сидеть на старостабильной ветке и не ставить на неё обновления старостабильной ветки тоже аутизм
> А вот у тебя 4 летняя, но сидеть на старостабильной ветке и
> не ставить на неё обновления старостабильной ветки тоже аутизмУ меня самый свежий Linux Mint вообще-то.
Основанный на покрывшейся плесенью Ubuntu 22.04 LTS. Ничего, в этом году должен выйти новый LTS выпуск.
Псс, Ubuntu 22.04.4 LTS вышел достаточно недавно и софты в нём достаточно свежие. А главное всё работает. Новый LTS до первых фиксиков вообще лучше палкой не трогать будет. Надо сказать санитарам, что ты опять обделался
Все версии за 2 года содержат код этого автора, у тебя слишком сырая версия.
Угу.> He has been part of the xz project for 2 years, adding all sorts of binary test files, and to be honest with this level of sophistication I would be suspicious of even older versions of xz until proven otherwise.
> Debian is currently looking into downgrading it even further, before the first contribution from the known bad actor, which may be an older 5.2 release (later ones were also cut by them), then reapplying only the security fixes that came later on top manually, for now.OpenNet: "Я в безопасности, меня не касается, проблемы нет!!"
В pkgsrc уже откатились - https://pkgsrc.se/archivers/xzНо в самом образе NetBSD вообще 5.2.4 версия
>[ ! $(uname) = "Linux" ] && exit 0так BSD и так в безопасносте
Чувак не виноват, ему просто copilot сделал автоподстановку и он случайно нажал на Tab
Да да, приходиш в жкх, а почему вы мне так много начислили? А это не мы, это программа так сделала ;)
Шутки шутками, но такое реально бывало:
> В библиотеке xz/liblzma выявлен бэкдор, организующий вход через sshdБекдору больше месяца. Вышло две версии, которые даже успели порастаскивать в дисты.
А куда смотрели тысячи глаз?
Ведь код же открыт, каждый мог его посмотреть и убедиться в его надежности.
Неужели свидетели надежности опенсорса не читают сорцы при обновлении?
Всё ещё веселей: https://github.com/google/oss-fuzz/issues/11760#issuecomment...
Погоди-ка, но ты же выше писал, что Google проверят каждую строчку кода? Как же так вышло-то?https://github.com/google/oss-fuzz/pull/10667#pullrequestrev...
fedora
$ xz --version
xz (XZ Utils) 5.4.4
liblzma 5.4.4ubuntu
$ xz --version
xz (XZ Utils) 5.2.5
liblzma 5.2.5debian
$ xz --version
xz (XZ Utils) 5.4.1
liblzma 5.4.1Фух. Пронесло =)
> Всем пользователям выпусков xz 5.6.0 и 5.6.1 рекомендуется срочно откатиться на версию 5.4.6.Ну, ладно.
> https://security.archlinux.org/ASA-202403-1
А эти пишут, что "The problem has been fixed upstream in version 5.6.1."
"Эти" рекомендуют ставить не просто 5.6.1, а 5.6.1-2 , в которой бинарник собирается из архива, взятого непосредственно с гитхаба, а не из официального источника. Судя по новости, этот бинарник без проблем. См. https://gitlab.archlinux.org/archlinux/packaging/packages/xz...
Я буду громко смеяться, если в "пофикшенном" бинарнике будет второй бекдор, но более качественный.
Напоминает плохо спрятанный мелкий косяк, который естественно находится, а потом начинаются торги, извинения и заглаживания вины.
Хотя сейчас вообще непонятно откуда код более проверенный.
В принципе вы правы. Но тогда уж откатываться на версию двухлетней давности. Интересно, за эти два года там были изменения, которые реально полезны, а не просто "рефакторинг в свободное время"?
Хорошо, что использую Debian stable, где, как говорят "эксперты", все протухло и он не нужен.
Хорошо или нет, но именно дебиан (среди прочих) пропатчил исходники openssh таким образом, что sshd стал уязвим. У тех, кто не считает себя умнее разработчиков openssh и не оверпатчит изначальный софт вдоль и поперёк, проблемы нет.
Да заметили бы, только уже при расследовании реальных взломов. Но автор конечно действительно прокололся на мелочи.
> He has been part of the xz project for 2 years, adding all sorts of binary test files, and to be honest with this level of sophistication I would be suspicious of even older versions of xz until proven otherwise.
> Debian is currently looking into downgrading it even further, before the first contribution from the known bad actor, which may be an older 5.2 release (later ones were also cut by them), then reapplying only the security fixes that came later on top manually, for now.OpenNet: "Я в безопасности, меня не касается, проблемы нет!!"
Ну так себе, для любителей всяких current/testing/unstable версий.
Хорошо что выявили довольно быстро, если бэкдор имел более скрытые особенности могло бы годами так лежать незаметно.
После такого проекту вообще нельзя больше доверять и надо его исключить из состава топ дистров.
Тут цельное селинукс кровавой црушнёй писано, да не смутит вас ник злыдня "под китайца"...
Матчасть бы изучил, умник.
Селинукс изобрели в АНБ, и по словам Сноудена они как раз конкурируют с црушниками в плане ИБ.
У первых цель - безопасность, а у вторых внедрение зондов и шпионаж.
Но для среднего васяна - все западные агенства это одна большая конспирология.
Вот и сам изучи матчасть, "безопасность" -- морковка для ослика, а вот поди разгадай как меняется логика функций в зависимости от последовательности данных и условий во времени. Это тебе не васян-троян, это ещё могшие на логическую обфускацию индусы. И слово "безопасности" в названии конторы это не про вашу безопасность.
Тогда почему ты пишешь от Анонима, а не зарегистрировался на форуме по телефону и паспорту, как порядочный гражданин?
> И слово "безопасности" в названии конторы это не про вашу безопасность.Разумеется! Но свою безопасность им тоже нужно как-то организовывать.
Например от коллег из дружественного Китая и РФ.
А раз им приходится пользоваться линуксом, который дыряв как носки срочника, то с этим пришлось что-то делать.
Сноудену безоговорочно верить, себя не уважать.
Учитывая где он сейчас.
А то как-то получается, что почти все борцуны за большую свободу, в итоге оказываются с крепкой рукой в заднице от какого-то диктаторского или тоталитарного режима.
> Матчасть бы изучил, умник.
> Селинукс изобрели в АНБ, и по словам СноуденаНачинаем учить матчасть:
1. Сноуден, прежде всего, предатель. Кто не понимает, что это значит, утрирую: люди ему поверили, но он их обманул.
2. Где факты, подтверждающие его компетентность, кроме как "у Эйнштейна тоже был тройбан по физике"?
3. Могли ли его действия просчитать и подсунуть "куклу" - это вопрос для тех, кто хоть что-то понимает.
> Начинаем учить матчасть:
> 1. Сноуден, прежде всего, предательКому-то самому не мешало бы поучить матчасть. Сноуден исходит из мнения что службы воюют против собственного народа. А согласно их законам имеют право на восстание. Он помогает чем может. Свой народ по его личному мнению он не продавал.
> 2. Где факты, подтверждающие его компетентность, кроме как "у Эйнштейна тоже был тройбан по физике"?
Издание рейтерс пойдет? Комментарий главы АНБ.
WASHINGTON (Reuters) - Former U.S. National Security Agency contractor Edward Snowden leaked as many as 200,000 classified U.S. documents to the media, according to little-noticed public remarks by the eavesdropping agency's chief late last month.Факты компетентности главы АНБ надо приводить?
>> Начинаем учить матчасть:
>> 1. Сноуден, прежде всего, предатель
> Кому-то самому не мешало бы поучить матчасть. Сноуден исходит из мнения что
> службы воюют против собственного народа. А согласно их законам имеют право
> на восстание. Он помогает чем может. Свой народ по его личному
> мнению он не продавал.Действительно, учить, так учить. Однокоренные слова к "мнение": мнить, мнимый. Маня-мирок, если выражаться на принятом здесь языке.
>> 2. Где факты, подтверждающие его компетентность, кроме как "у Эйнштейна тоже был тройбан по физике"?
> Издание рейтерс пойдет? Комментарий главы АНБ.
> WASHINGTON (Reuters) - Former U.S. National Security Agency contractor Edward Snowden leaked
> as many as 200,000 classified U.S. documents to the media, according
> to little-noticed public remarks by the eavesdropping agency's chief late last
> month.Вижу факт: contractor. Работник по контракту. А в контракте что написано? Полы подметал?
> Факты компетентности главы АНБ надо приводить?
Нет, ты ведь не осилил вопрос номер 3.
> Действительно, учить, так учить. Однокоренные слова к "мнение": мнить, мнимый. Маня-мирок, если выражаться на принятом здесь языке.Что же ты юлишь то? Очередного задорнова-фоменко косплеишь неубедительно. А слово линух происходит от слов Ли Нух? Наверное смысл что абсолютное большинство населения ит должно избавиться от идолопоклонничества мс?
Так как там с правом народа на восстание? А что ООН пишет по поводу борьбы народа с властью что преступает закон? А по поводу исполнения преступных приказов ты тоже не слышал?
Ну раз ты такой за.тый технарь жду технического определения когда народ имеет право на восстание и неподчинение законам. Что там надо? Проценты недовольства икрой, использование продукции мс на пк больше 94% людей, личное авторитетное мнение нуби?> Вижу факт: contractor. Работник по контракту. А в контракте что написано? Полы подметал?
Расскажи как относится компетентность лично Сноудена, которую ты сам ни шиша не знаешь, к факту утечки 200К документов безопасности?
Специально упростил задачу - вывел компетентность человека из неё. А ты мне грибные трипы с полами подсовываешь.> Нет, ты ведь не осилил вопрос номер 3.
Зачем его осиливать? Судя по твоим совершенно детским комментариям по пункту 1 и 2 ты его у одноклассника на страничке в контакте взял.
>> Действительно, учить, так учить. Однокоренные слова к "мнение": мнить, мнимый. Маня-мирок, если выражаться на принятом здесь языке.
> Что же ты юлишь то?Я объясняю тебе смысл слов, поскольку ты сам далёк от понимания своей писанины.
> Так как там с правом народа на восстание?
Не вижу смысла дальше читать унылую демагогию.
Ливнул, как ожидаемо. Ни одного своего лживого утверждения не смог обосновать.
Под анонимом лучше такое пиши, а то все благодаря интернету теперь знают что ты недалекий, а не только сосед.
> Ливнул, как ожидаемо. Ни одного своего лживого утверждения не смог обосновать.Уговорил, объясняю вот это за тебя. Проекция - механическая псих.защита, характерная для недалёких индивидов.
Я тебе это уже неоднократно писал, ведь так?
> Под анонимом лучше такое пиши, а то все благодаря интернету теперь знают
> что ты недалекий, а не только сосед.И без оправданий понятно, почему ты пишешь под Анонимом.
> Я тебе это уже неоднократно писал, ведь так?Про 12 приёмов Чапека тебе наверное уже ленивый не писал. Успокойся, здесь люди не твоего уровня и такие передерги видели уже давным давно.
> Уговорил, объясняю вот это за тебя. Проекция - механическая псих.защита, характерная для недалёких индивидов.
А суд сша тоже с псих.защитой? Или это у тебя мания величия сейчас раздувается?
Ну давай, попроси ещё 5К за консультацию, хехе.> И без оправданий понятно, почему ты пишешь под Анонимом.
Ну вот видишь как прекрасно. Никаких оправданий. Все видят как ты по этой теме сел в лужу. Это один простой анонимный комментатор устроил.
В остатке всех твоих посещений опеннета будет: склочный, недалекий, мнительный человек. Пытается всё время показать превосходство используя 12 приемов полемики Чапека. Что никогда не выходит - потому что знаний у него почти нигде нет. В результате постоянно садится в лужу. Отказывается принимать реальность когда ему дают ссылки на компетентные источники информации.
>> Я тебе это уже неоднократно писал, ведь так?
> Про 12 приёмов Чапека тебе наверное уже ленивый не писал.Первый раз такое тут вижу.
> Успокойся, здесь
> люди не твоего уровня и такие передерги видели уже давным давно.А это постоянно. Когда оратор плавает в вопросе, он резко принимается выступать от лица "всех". Советую тебе отказаться от подобной риторики, поскольку ты сам тебя обнуляешь.
Так кто прав?
Американский суд признавший преступным слежку за своими гражданами или опеннетовский нуби?Сливайся.
Зачем ты задаёшь мне все эти глупые вопросы? Ты хочешь меня убедить, что я не прав? Мне плевать на мнение персонажа, боящегося подписаться под своими словами. Ты хочешь себя убедить, что ты прав? Тебе одной веры в слова гуру секты недостаточно?
Прямо эталон по впрыгиванию в жир ногами показал. И дальше крутишься как на сковородке, против решения суда сша. Самому то не стремно так опозориться и ещё упорствовать? Это риторический вопрос, тебе то уже ничего не поможет. Чао, альтернативный.
> против решения суда сша.Итак, Анонимный эксперт настойчиво утверждает, что некий окружной суд Жмеринки признал деятельность АНБ незаконной.
Почему же все эти агенты Смиты всё ещё на свободе?
Почему имущество конторы не опечатано судебными приставами?Что же хочет сказать всем этим эксперт?
Что решения окружного суда Жмеринки не имеют юридической силы?
Или что эксперт совершенно разучился думать?> Самому то не стремно так
> опозориться и ещё упорствовать?Тебе, очевидно, нет. Ведь всякое отрицание ученья гуру является доказательством его правоты.
>> Действительно, учить, так учить. Однокоренные слова к "мнение": мнить, мнимый. Маня-мирок, если выражаться на принятом здесь языке.
> Что же ты юлишь то? Очередного задорнова-фоменко косплеишь неубедительно. А слово
> линух происходит от слов Ли Нух? Наверное смысл что абсолютное большинство
> населения ит должно избавиться от идолопоклонничества мс?По его разумению, я так понимаю, аглийское слово opinion ("мение") происходит от слова opium.
>>> Действительно, учить, так учить. Однокоренные слова к "мнение": мнить, мнимый. Маня-мирок, если выражаться на принятом здесь языке.
>> Что же ты юлишь то? Очередного задорнова-фоменко косплеишь неубедительно. А слово
>> линух происходит от слов Ли Нух? Наверное смысл что абсолютное большинство
>> населения ит должно избавиться от идолопоклонничества мс?
> По его разумению, я так понимаю, аглийское слово opinion ("мение") происходит от
> слова opium.Некоторым быть в танке недостаточно, в качестве дополнительной защиты прибегают к проекциям. Ты можешь заниматься любой этимологией, но пока не придёшь к латинскому слову fact, она останется демагогией.
Не хочешь быть соучастником преступлений, о "необходимости" совершения которых тебя поставили перед фактом = предатель. Вау. Хочу ещё больше таких размышлений.
> Не хочешь быть соучастником преступлений, о "необходимости" совершения которых тебя поставили
> перед фактом = предатель. Вау. Хочу ещё больше таких размышлений.Каких преступлений? Он отказался облучать народ марсианскими технологиями, потому что средний американец не носит шапочку из фольги?
Ты с мат частью всё-таки ознакомишься может?
Слежка за любым гражданином без санкций.I will be satisfied if the federation of secret law, unequal pardon and irresistible executive powers that rule the world that I love are revealed even for an instant.
Now increasingly we see that it's happening domestically. And to do that, they, the NSA specifically, targets the communications of everyone.
Not all analysts have the ability to target everything, but I, sitting at my desk, certainly had the authorities to wiretap anyone, from you or your accountant, to a federal judge, to even the President, if I had a personal email.
Что это за текст, кто его автор и зачем ты мне его отправляешь в ответ? Я лучше почитаю, как Александр Христофорович Бенкендорф, будучи начальником Тайной канцелярии, совершенно случайно оказался главой масонской ложи Amis Reunis.
Ты с матчастью ознакомься.
Это цитата Сноудена в интервью гуардиану.
Сбор данных без санкции суда на обычных граждан считается в сша очень крупным нарушением.
Сливайся уже, малой
> Ты с матчастью ознакомься.
> Это цитата Сноудена в интервью гуардиану.С какого перепугу я должен верить персонажу, чья компетенция в вопросе никак не подтверждена? Видишь ли, твоя паранойя по этому поводу недостаточно заразительна.
> Сбор данных без санкции суда на обычных граждан считается в сша очень
> крупным нарушением.
> Сливайся уже, малойДля теба это нарушения, а для той конторы рутина. Если ты пытаешься меня убедить, что Столлман не понимал задачи и методы конторы, куда трудоустраивался, после того как облажался в пехоте, я тебе поздравляю - ты "подтвердил" его компетентность.
> С какого перепугу я должен верить персонажу, чья компетенция в вопросе никак не подтверждена?Seven years after former National Security Agency contractor Edward Snowden blew the whistle on the mass surveillance of Americans’ telephone records, an appeals court has found the program was unlawful
С этим можно ознакомиться хоть в отечественных сми, хоть в американских. Так же на вики существует куча отсылок на официальные действия сша. И все идут в сторону что поправка четвертая была нарушена.
Ты письмо их суду уже написал что они некомпетентны.
> Видишь ли, твоя паранойя по этому поводу недостаточно заразительна.
Ты решил все приемы Чамека здесь вывалить? На меня это не действует.
С твоей стороны какое-то высасывание из пальца.
С моей стороны опубликованные документы, решение суда, законы что были приняты после этого и имели обратную силу(что бы под суд не угодило много компаний).
А вот твоя беготня с росой по всем веткам она характерна. Вон они тебе как оо разработали в ОО в нике. До сих пор горит. Вмажь что-нибудь от болей себе уже и успокойся.> Для теба это нарушения, а для той конторы рутина.
In a ruling handed down on Wednesday, the U.S. Court of Appeals for the Ninth Circuit said the warrantless telephone dragnet that secretly collected millions of Americans’ telephone records violated the Foreign Intelligence Surveillance Act and may well have been unconstitutional.
> Если ты пытаешься меня убедить, что Столлман не понимал задачи и методы конторы, куда трудоустраивался, после того как облажался в пехоте, я тебе поздравляю - ты "подтвердил" его компетентность.
Свою компетентность ты уже здесь всем показал. Никто не прав вплоть до американского суда, а ты лучше них такой знаешь что такое нарушение и как должна работать та контора.
> всем показал.А ты _мне_ вот этим показал, что сам себя лично ни во что не ставишь.
Итак кто прав.
Американский суд признавший преступным слежку за своими гражданами или опеннетовский нуби?Сливайся.
Зачем ты задаёшь мне все эти глупые вопросы? Ты хочешь меня убедить, что я не прав? Мне плевать на мнение персонажа, боящегося подписаться под своими словами. Ты хочешь себя убедить, что ты прав? Тебе одной веры в слова гуру секты недостаточно?
Извините за занудство, но
1. Сноуден сам пошёл в контору. Взрослый мужчина, не мог не знать, какого рода делами занимается контора. То есть сам изъявил желание поучаствовать.
2. Сам принял гражданство РФ.Поэтому все эти морализаторские аргументы - лицемерие.
Тут кстати некоторые не очень рады, что он принял наше гражданство. Потому что в истории был похожий персонаж, звали его Ли Харви Освальд. Теперь есть опасения, что его обратно выкрадут.
> в истории был похожий персонаж, звали его Ли Харви Освальд.Вау, о сколько нам открытий чудных!.. А можно поинтересоваться — какого такого американского президента убил г-н Сноуден?
>> в истории был похожий персонаж, звали его Ли Харви Освальд.
> Вау, о сколько нам открытий чудных!.. А можно поинтересоваться — какого такого
> американского президента убил г-н Сноуден?Я вижу, ты не в курсе, что Освальд перед тем попросил политическое убежище в СССР и успел тут жениться? Зато решил сострить, поздравляю.
> Сноуден сам пошёл в контору. Взрослый мужчина, не мог не знать, какого рода делами занимается контора. То есть сам изъявил желание поучаствовать.Контора занимался незаконной деятельностью за пределами сша. Это его устраивало. Потом она начала заниматься незаконной деятельностью на территории сша. Против своих граждан. Он решил помещать как может.
Так сложно это понять?
Если бы они не начали по своим работать шиш бы он куда сбежал. Так бы радостно и работал на страну.
Так ты Патриотический Акт почитай. Может последуешь примеру своего кумира и перестанешь на них работать. ;)
Так кто прав?
Американский суд признавший преступным слежку за своими гражданами или опеннетовский нуби?Сливайся.
Зачем ты задаёшь мне все эти глупые вопросы? Ты хочешь меня убедить, что я не прав? Мне плевать на мнение персонажа, боящегося подписаться под своими словами. Ты хочешь себя убедить, что ты прав? Тебе одной веры в слова гуру секты недостаточно?
То самое анб что протолкнуло свою поделку вместо рсбак и пах-грсек? Хотя они были уже готовы. А потом в анб признали ошибку и переписали кусок с лсм? https://www.rsbac.org/documentation/why_rsbac_does_not_use_lsm
Надо было xz на расте писать, с его наркохипанским синтаксисом никто ничего никогда бы не нашёл.
> на расте писать, с его наркохипанским синтаксисом никто ничего никогда бы не нашёл.То есть синтаксис m4 портянки из новости тебя не смутил, да?
Так даже у m4 синтаксис лучше чем у Раста.
Это хорошо что вы открыто говорите о своих проблемах.
Ну не удалось вам понять как работают лайфтаймы в Расте, ну что поделаешь, бывает.
Многие даже Си осилить не могут, так до сих пор и ходят [под себя] за пределы буфера.
m4???Невероятно.
Ещё одно доказательство, что Automake место на свалке. Не читаемый набор скриптов, который невозможно отревьювить
Если скрипты намеренно не читать, их и нельзя будет отревьюить.
Какого черта какой то ноунейм liblzma либе доступно чтение и запись в любую область памяти sshd? Это безопасность линукс такая? Ей богу лучше бы javascript использовали пользы было бы больше чем на сях писать.
Иди сурсы читай. sshd напрямую эту библиотеку и не использует, просто какие-то гении присобачили к sshd systemd, а эта хрень уже тащит с собой чуть ли не весь интернет в зависимости. Просто sshd тут оказался апетитной добычей, а так по-факту под контроль можно взять всю твою систему, если подменить при линковке нужные функции уже в самом systemd.
Вопрос по прежнему открыт: почему ноунейм прилинкованная либа имеет доступ к памяти sshd? Почему в 2024 году память sshd не зашифрована аппаратно? По логике любой либе скармливаются входные данные и она отдает выходные, ни в какие иные области памяти она читать и тем более писать не имеет право. До вас еще не дошло, что вся эта десктопная архитектура и код под неё мертв и не обеспечивает должной безопасности? Это детские баги уровня виндоус 95
> По логике любой либе скармливаются входные данныев виде указателя на область памяти... Ты представляешь производительность того же хрома, который на каждый библиотечный вызов будет сериализовать нагрузку и передавать ее через какой-то спец интерфейс?
> будет сериализовать нагрузкуА я предлагаю наконец научиться кодить, почитать про mmap, например.
>Почему в 2024 году память sshd не зашифрована аппаратно?Так и запишем - пособник копирастов-тивоизастов и устаревастов.
>ноунейм прилинкованная либа имеет доступ к памяти sshd?Иди книжку почитай: как работает линковка и для чего она нужна.
> Вопрос по прежнему открыт: почему ноунейм прилинкованная либа имеет доступ к памяти sshd?Это претензии к операционным системам, я надеюсь, а не к разработчикам прикладной программы? Потому что все широкораспространенные операционки загружают разделяемые библиотеки в область памяти процесса и все они (и программа и прилинкованные библиотеки) на аппаратном уровне имеют равные права обращаться куда угодно в пределах этой области, хоть это и категорически нежелательно, в частности в свете того, что в программе и библиотеках всунуты разные менеджеры памяти?
> Почему в 2024 году память sshd не зашифрована аппаратно? По логике любой либе скармливаются входные данные и она отдает выходные, ни в какие иные области памяти она читать и тем более писать не имеет право
Да пожалуйста, они бы и без доступа к памяти sshd обошлись, хватило бы и своей собственной выделенной, главное, чтобы sshd подтянул либу и запустил ее код, особенно со своими sshd-ными правами. А дальше они уже сами разберутся. Мало что ли там находят локальных уязвимостей с поднятием привилегий.
Ловите его скорее, а то он и NIH-синдром поставит под сомнение! ;)
brew upgrade
xz 5.6.1 -> 5.4.6
> This repository has been disabled.Посжимали и хватит. F
>патч для поддержки systemd-notify, приводящий к связыванию sshd к liblzmaЯ так понимаю, что если был любой другой инит, а не системда + патч, то этот бекдор не проблема? Сами дураки, поставили инит в котором пропатчив один из модулей подвергают атаке все сразу.
вот devuan, какой-то рудимент от systemd имеется:S ldd /usr/sbin/sshd
linux-vdso.so.1 (0x00007fffc09b0000)
libcrypt.so.1 => /lib/x86_64-linux-gnu/libcrypt.so.1 (0x00007f5395d58000)
libwrap.so.0 => /usr/lib/x86_64-linux-gnu/libwrap.so.0 (0x00007f5395d4c000)
libaudit.so.1 => /lib/x86_64-linux-gnu/libaudit.so.1 (0x00007f5395d1b000)
libpam.so.0 => /lib/x86_64-linux-gnu/libpam.so.0 (0x00007f5395d09000)
libsystemd.so.0 => /lib/x86_64-linux-gnu/libsystemd.so.0 (0x00007f5395c62000)
libselinux.so.1 => /lib/x86_64-linux-gnu/libselinux.so.1 (0x00007f5395c32000)
libgssapi_krb5.so.2 => /usr/lib/x86_64-linux-gnu/libgssapi_krb5.so.2 (0x00007f5395be0000)
libkrb5.so.3 => /usr/lib/x86_64-linux-gnu/libkrb5.so.3 (0x00007f5395b06000)
libcom_err.so.2 => /lib/x86_64-linux-gnu/libcom_err.so.2 (0x00007f5395b00000)
libcrypto.so.3 => /usr/lib/x86_64-linux-gnu/libcrypto.so.3 (0x00007f539567e000)
libz.so.1 => /lib/x86_64-linux-gnu/libz.so.1 (0x00007f539565f000)
libc.so.6 => /lib/x86_64-linux-gnu/libc.so.6 (0x00007f539547c000)
libnsl.so.2 => /usr/lib/x86_64-linux-gnu/libnsl.so.2 (0x00007f5395461000)
libcap-ng.so.0 => /lib/x86_64-linux-gnu/libcap-ng.so.0 (0x00007f5395459000)
libcap.so.2 => /lib/x86_64-linux-gnu/libcap.so.2 (0x00007f539544d000)
libpthread.so.0 => /lib/x86_64-linux-gnu/libpthread.so.0 (0x00007f5395448000)
/lib64/ld-linux-x86-64.so.2 (0x00007f5395ee6000)
libpcre2-8.so.0 => /usr/lib/x86_64-linux-gnu/libpcre2-8.so.0 (0x00007f53953ac000)
libk5crypto.so.3 => /usr/lib/x86_64-linux-gnu/libk5crypto.so.3 (0x00007f539537f000)
libkrb5support.so.0 => /usr/lib/x86_64-linux-gnu/libkrb5support.so.0 (0x00007f5395371000)
libkeyutils.so.1 => /lib/x86_64-linux-gnu/libkeyutils.so.1 (0x00007f539536a000)
libresolv.so.2 => /lib/x86_64-linux-gnu/libresolv.so.2 (0x00007f5395359000)
libtirpc.so.3 => /lib/x86_64-linux-gnu/libtirpc.so.3 (0x00007f5395329000)
Сколько же там дерьма напихано, фу. Правильное у меня мнение было об этом дистре. Вот в генту без лишнегоldd /usr/sbin/sshd
linux-vdso.so.1 (0x00007ffe63093000)
libcrypt.so.2 => /usr/lib64/libcrypt.so.2 (0x00007f787309d000)
libcrypto.so.3 => /usr/lib64/libcrypto.so.3 (0x00007f7872a00000)
libz.so.1 => /usr/lib64/libz.so.1 (0x00007f7873083000)
libc.so.6 => /lib64/libc.so.6 (0x00007f7872824000)
/lib64/ld-linux-x86-64.so.2 (0x00007f78731e9000)
В Debian:
ldd /usr/bin/ssh
linux-vdso.so.1 (0x00007ffd6d9fb000)
libselinux.so.1 => /lib/x86_64-linux-gnu/libselinux.so.1 (0x00007fd28feae000)
libgssapi_krb5.so.2 => /lib/x86_64-linux-gnu/libgssapi_krb5.so.2 (0x00007fd28fe5c000)
libcrypto.so.3 => /lib/x86_64-linux-gnu/libcrypto.so.3 (0x00007fd28f800000)
libz.so.1 => /lib/x86_64-linux-gnu/libz.so.1 (0x00007fd28fe3d000)
libc.so.6 => /lib/x86_64-linux-gnu/libc.so.6 (0x00007fd28f61f000)
libpcre2-8.so.0 => /lib/x86_64-linux-gnu/libpcre2-8.so.0 (0x00007fd28fda1000)
/lib64/ld-linux-x86-64.so.2 (0x00007fd290002000)
libkrb5.so.3 => /lib/x86_64-linux-gnu/libkrb5.so.3 (0x00007fd28fcc7000)
libk5crypto.so.3 => /lib/x86_64-linux-gnu/libk5crypto.so.3 (0x00007fd28fc9a000)
libcom_err.so.2 => /lib/x86_64-linux-gnu/libcom_err.so.2 (0x00007fd28fc94000)
libkrb5support.so.0 => /lib/x86_64-linux-gnu/libkrb5support.so.0 (0x00007fd28fc86000)
libkeyutils.so.1 => /lib/x86_64-linux-gnu/libkeyutils.so.1 (0x00007fd28f618000)
libresolv.so.2 => /lib/x86_64-linux-gnu/libresolv.so.2 (0x00007fd28f607000)
так разговор про sshd,а не про ssh
Даже в арче не додумались до такогоldd /usr/sbin/sshd
linux-vdso.so.1 (0x00007fff03d35000)
libcrypt.so.2 => /usr/lib/libcrypt.so.2 (0x000077e4d841b000)
libpam.so.0 => /usr/lib/libpam.so.0 (0x000077e4d840a000)
libgssapi_krb5.so.2 => /usr/lib/libgssapi_krb5.so.2 (0x000077e4d83b6000)
libkrb5.so.3 => /usr/lib/libkrb5.so.3 (0x000077e4d82de000)
libcrypto.so.3 => /usr/lib/libcrypto.so.3 (0x000077e4d7c00000)
libz.so.1 => /usr/lib/libz.so.1 (0x000077e4d82c4000)
libc.so.6 => /usr/lib/libc.so.6 (0x000077e4d7a1e000)
libaudit.so.1 => /usr/lib/libaudit.so.1 (0x000077e4d8295000)
libk5crypto.so.3 => /usr/lib/libk5crypto.so.3 (0x000077e4d8267000)
libcom_err.so.2 => /usr/lib/libcom_err.so.2 (0x000077e4d8261000)
libkrb5support.so.0 => /usr/lib/libkrb5support.so.0 (0x000077e4d8253000)
libkeyutils.so.1 => /usr/lib/libkeyutils.so.1 (0x000077e4d824c000)
libresolv.so.2 => /usr/lib/libresolv.so.2 (0x000077e4d8239000)
/lib64/ld-linux-x86-64.so.2 => /usr/lib64/ld-linux-x86-64.so.2 (0x000077e4d856a000)
libcap-ng.so.0 => /usr/lib/libcap-ng.so.0 (0x000077e4d8231000)
В арче не принято обмазывать исходники пакетов коричневой субстанцией^W^W патчами, как в дебиане
> вот devuan, какой-то рудимент от systemd имеется:Это не рудимент, это весь systemd и есть. С чем и поздравляю борцунов с системдрянью не умеющих кодить.
Но ты можешь не переживать - твой локалхост не подвержен уязвимости, поскольку является клоном де6иллиана, супергероя, успешно защищающего мир от слишком нового софта. Два года назад? Птьфу, это не слишком новый, это вообще гость из будущего.... для де6иллиана - довольно далекого.
А пользуемые федорой пусть страдают, страдание очищает.
>> вот devuan, какой-то рудимент от systemd имеется:
> Это не рудимент, это весь systemd и есть.чушь.
1) процесса systemd нет.
2) сравни с нормальным дебианом:
ldd /lib/x86_64-linux-gnu/libsystemd.so.0
linux-vdso.so.1 (0x00007ffcf25f3000)
libcap.so.2 => /lib/x86_64-linux-gnu/libcap.so.2 (0x00007f59e532f000)
libpthread.so.0 => /lib/x86_64-linux-gnu/libpthread.so.0 (0x00007f59e532a000)
libc.so.6 => /lib/x86_64-linux-gnu/libc.so.6 (0x00007f59e5149000)
/lib64/ld-linux-x86-64.so.2 (0x00007f59e53fb000)
Да
А сколько таких, которые не попались?!
А я-то думаю чего с годами потребление памяти и другая требовательность к ресурсам растёт даже у консольных утилит...
Так их переписывают просто. То на Питончик, то на Раст...
a/xz-5.6.1-x86_64-2.txz: Rebuilt.
Seems like a good idea to build this from a git pull rather than the signed
release tarballs. :-)
The liblzma in the previous packages were not found to be vulnerable by the
detection script, but I'd rather not carry the bad m4 files in our sources.
Here's a test script for anyone wanting to try it:
if hexdump -ve '1/1 "%.2x"' /lib*/liblzma.so.5 | grep -q f30f1efa554889f54c89ce5389fb81e7000000804883ec28488954241848894c2410 ; then
echo probably vulnerable
else
echo probably not vulnerable
fiВот вам код для проверки от Патрика.
> в прошлом году Jia Tan внёс изменения, несовместимые с режимом проверки "-fsanitize=address", что привело к его отключению при fuzzing-тестировании.Вот! В этом месте и надо отлавливать вредителей.
Ещё одно место это JIT код который не собирается с -fPIE надо искоренить.
libsystemd
Для меня это уже повод насторожиться
А для меня расслабится. Использую дистр без сысды, дбас, полкитды, вяленого.
Расслабился - смой за собой
Так он же сказал:
>Использую дистр без сысды, дбас, полкитды, вяленого.
Интересно, на сколько лет посадят писателя этого бэкдора?
Закон дышло, чужого - посадим, своего - наградим: https://tass.ru/obschestvo/17021313"действующие в интересах РФ на ее территории и за рубежом, должны быть освобождены от ответственности, этот вопрос планируется проработать"
У них тоже, наверно так. Распространявшего бекдор в интересах спецслужбы непосадят. Он же не шпион, а разведчик.
>Он же нену да, прям как, чтобы ликвидировать кучку ТТ, надо было потравить тучу хостейдж, ага медальку дайте.
> Интересно, на сколько лет посадят писателя этого бэкдора?Ни на сколько, потому что в лицензии либы есть отказ от каких либо обязательств.
Кто ж посадит действующего члена КПК?Судя по имячку - он прям оттуда и кодил.
Хомы начинают прозревать, а вдруг не все выходы за границы буфера это просто ошибка? И никакой р-ст не спасёт от злонамеренного использования.
Какой позор для опенсорса...
Внезапно оказалось, что открытый код и контролируемые репозитории не спасают от бекдоров...
У фанатиков срочный перерыв на переписывание методичек))
Так бекдор, внезапно, в бинарнике! Вот тебе и закрытый код.
Бэкдор в библиотеке с открытым кодом. Ты думал, что его ещё и прокомментируют в исходнике? Что бы можно было делатьgrep -R B4CKD0R *
?
Ты точно читал новость? Архивы давно перестали быть бинарными файлами?При сборке в ходе выполнения запутанных обфусцированных операций на основе архивов bad-3-corrupt_lzma2.xz и good-large_compressed.lzma, добавленных под предлогом использования в тестах корректности работы распаковщика, формировался объектный файл с вредоносным кодом, который включался в состав библиотеки liblzma и изменял логику работы некоторых её функций.
Бэкдор не в коде программы, а в её сборочных скриптах. Это определенно всё меняет.
Я не только читал новость, но и краем уха слышал, чем полиморфные движки отличаются от метаморфных. А ты не только сейчас полезешь гуглить эти слова, но и моё сообщение для тебя оказалось недостаточно понятным. Попробую упростить: никто не принесёт тебе бэкдор на блюдечке.
Не стыдно гуглить новое, стыдно бросатся умными словами без понимания их значения, строя из себя эксперта.
Ну так и не пиши больше "запутанных обфусцированных операций" и прочее "масло маслянное". Пиши понятные простые слова: "что-то намудрил", "намутил", "нафигачил", например.
Ты уже совсем съехал и собеседников между собой путаешь, враждебный мир он такой, все есть заговор против тебя.
> Ты уже совсем съехал и собеседников между собой путаешь,Сообщение от Аноним (121), 30-Мрт-24
Сообщение от n00by (ok), 30-Мрт-24
Сообщение от Аноним (121), 30-Мрт-24
Сообщение от n00by (ok), 31-Мрт-24,
Сообщение от Аноним (417), 26-Апр-24Ты месяц за мной бежал, что бы сообщить мне, что я перепутал Анонима (121) и Анонима (121)?
> враждебный мир он такой, все есть заговор против тебя.
Или тебя месяц подержали во враждебном мире заговорщики, а теперь выпустили?
> Внезапно оказалось, что открытый код и контролируемые репозитории не спасают от бекдоров...Ты с логикой дружишь? Бэкдор найден через месяц после внедрения, в репе по комитам нашли автора.
А теперь представь, что было бы при подобной ситауции в проприетари.
> А теперь представь, что было бы при подобной ситауции в проприетари.А ничего бы не было, в Cisco до сих пор не расказали, кто на наоставлял вагон бекдоров, несмотря на все скандалы (но запретили Huawei, что иронично).
>Код активации бэкдора был спрятан в m4-макросах из файла build-to-host.m4Не удивлюсь, если во всех проектах на automake, включая rpm и firejail, такое происходит. Потому что automake - это специальное говно, к которому никто прикасаться и даже смотреть не будет. А те, кто упорствует в своей ереси по использованию automake - пособники бэкдорщиков.
В ninja тем более смотреть не будет никто. А в automake очень даже.
> В ninja тем более смотреть не будет никто. А в automake очень даже.Makefile для ninja никто руками не пишет, и, соответственно, не заливает в репы/тарболы. Они генерятся тулзами типа meson и CMake.
Очень даже пишут. Иногда. В очень нишевых кейсах. Они даже читаемыми получаются. Главные их проблемы - гвоздями прибиты к компилятору, флагам и окружению.
>Активирующие бэкдор m4-макросы входили в состав tar-архивов релизов, но отсутствовали в Git-репозитории.Но идиотские дистры вроде Дебиана продолжат собирарь из архивов.
> Но идиотские дистры вроде Дебиана продолжат собирарь из архивов.Ага, а надо из апстрим репы исходного кода, да прямо из master ветки...
man git-checkout
>> Но идиотские дистры вроде Дебиана продолжат собирарь из архивов.
> Ага, а надо из апстрим репы исходного кода, да прямо из master
> ветки...Расскажи, в каком дистрибутиве ты собираешь пакетики. Страна должна знать своих героев.
Fedora, OpenSUSE тоже идиотские дистрибутивы?)
Эти - особенно.
Так это в Сид каком-нибудь только прилетело,навряд ли в обычный Дебиан попало.
Эта либа себя дискредитировала.
Jia Tan коммитил в течение для двух лет и любой из этих коммитов не вызывает доверия.
Нужна замена. Более надежная. Например написанная на расте.
В расте и обфусцировать бэкдор не надо будет - в коде просто никто и так не разберётся...
Код уже написан и уже внедрен в какой-то мутный драйвер из 100 строк.
В расте нет такого древнего легаси как m4 скрипты.
Там нормальная человекочитаемая система сборки.> в коде просто никто и так не разберётся
Не судите, пожалуйста, по себе. Если вы неосилятор, это не значит всё тоже неосиляторы.
Кто захочет - тот в разберется в коде.
Ты хотел сказать что на рсте вообще нет никакого продакшн кода.
Гугл с андроидом и не в курсе. И ещё с десяток крупных компаний.
Это все происходит только в твоём воображении и каких то маловнятных новостях. Которые копнуть глубже и ясно что новость пшик.
>Там нормальная человекочитаемая система сборки.Тянущая всё с гитхабчика, ага. Ночью по CET/PST дядя Ляо сделал git push, дядя Ли запустил сборку растопакетика, маякнул Ляо сделать git push --force с отменой коммита и всё шито-крыто.
>Там нормальная человекочитаемая система сборки...
1. сама тянущая все зависимости, какие укажут разработчики пакетов укажут. и собирающая их -> гигантское дерево зависимостей совершенно произвольных версий, прибытых гвоздями, в нескольких экземпларах, и зачастую совершенно не нужных для программы, просто где-то указанных в зависимостях, а не пакетов из дистра. Не нравится - перепиши всю экосистему.
2. выполняющая произвольный код вов время сборки, какой разработчик любой зависимости укажет -> компрометация сборочной системы с инфицированием всего софта, на ней собираемого
3. статическая линковка —> огроменные жрущие бинари, в которых невозможно разобраться, проще выкинуть.
Кто захочет писать безопасно на Си - тот будет писать безопасно на Си.
Неосиляторам же ничто не поможет, даже новый язык.
Не переживай, раст и прочая скриптуха также подвержена подобным проблемам. И дело не в синтаксисе, а в макросне. Любая макросня - это уже обфускация.
В расте не смогут разобраться только неосиляторы.
Там гугл переучивает разработчиков которые писали на Го (на ГО, Карл!) и они осваивают раст за 2-3 месяца.
И пишут нормальный код.Зато в расте не будет отстоя тим м4 и пробашпортянок.
Умник, ты хоть посмотри для чего использовался bash. Или ты из очередных "не читал, но осуждаю"?
Использование Хруста как-то мешает использовать в проекте m4 и bash? Выдыхай, бобер.
Там уже есть весь этот отстой - это макросы. Проблемы всё те же, что и у баш/м4.
На Питоне замучаешься обфуцировать. Вот это язык так язык! Хех-хех )))))
m4-макрос, дата редиза - 1977 год
Конечно использовать инструменты полувековой давно так безопасно!Которые в последствии порождают (хотя честнее сказать высрыают) баш портянку такого вида
export i="((head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +724)";(xz -dc $srcdir/tests/files/good-large_compressed.lzma|eval $i|tail -c +31265|tr "\5-\51\204-\377\52-\115\132-\203\0-\4\116-\131" "\0-\377")|xz -F raw --lzma1 -dc|/bin/sh-dc|/bin/shДа за такой код, без комментариев "чего оно делает", нужно просто закрывать ПР без разговоров.
Хотя я вообще сомневаюсь, что этот кал кто-то читал.
> Конечно использовать инструменты полувековой давно так безопасно!если ты не можешь прочитать простенький код на m4 - каковы твои шансы что-то заметить в кодомусорке для модных систем сборки на десяти нескучных языках?
А если просто не хочешь - то хоть на чем пиши.
>Которые в последствии порождают (хотя честнее сказать высрыают) баш портянку такого видаТак ты не порождай.
>Да за такой код, без комментариев "чего оно делает", нужно просто закрывать ПР без разговоров.
Ты часом не питонист?
И питонист, и сторонник Дяди Боба. А вы можете продолжать знать только JavaScript.
Тысячи глаз!
Бывают и злые Васяны,ничего тут не сделаешь. Вон в Кеды тоже свину подложили и нчё всем нравится. Зато не Винда.
Как раз эти пресловутые "тысячи глаз" и сработали. Поймал не человек, занимающийся безопасностью специально, а опытный и любознательный пользователь, который заметил подтормаживания. Бэкдор был в сборочных скриптах, которые, в случае проприетарщины, были бы ни в каком виде не доступны.Если и искать пример для опровержения принципа "тысячи глаз" — надо брать какой-нибудь heartbleed или log4j, хотя там бекдорственность не так очевидно, скорее просто некачественный код.
Сработали???
Ни один из копавшихся в исходниках этого не нашёл за два года. Эстонские глаза что ли?
5.6.0 Mon, 26 Feb 2024 07:47:01 +0100 - из чейнджлога Debian Sid. Где тут 2 года?
Почти год назад он отключил это.
ifunc is not compatible with -fsanitize=address, so this should be disabled for fuzzing builds.
Два года как он коммитит в этот проект.
Зачем ты мне ченджлоги дебиан сид подбрасываешь? Мы про сам проект и тыщи глаз разговариваем.
Там была проведена многолетняя подготовка к внедрению бэкдора. Легендирование и всё такое, чем спецслужбы играются. Как видим не особо помогло - спустя ~месяц годы трудов псу под хвост пустили. Хотя я уверен, что всех, ради кого бекдор внедряли, уже поломали.
Так они только играются. Возьми несколько летней давности историю с университетом миннесоты. Сравни насколько схема была примитивней чем здесь. Здесь они даже пытались устранить последствия косяка из-за которого их могли заметить выпустив новую версию. Случайно человек заинтересовался почему сбои и случайно вышел на бэкдор. Этого могло и не быть.
Возможно это просто очередной тестовый проект как внедрять бэкдоры. Работают начиная от технической части и заканчивая социальной.
Дальше они наберут статистику и получат какими действиями, какими технологиями, за какое время посадить бэкдор с определённой вероятностью на срок ХХ лет.
Ненадёжно. Бэкдор в программе можно выпилить. А вот бэкдор в спецификации или экосистеме выпилить невозможно — вся экосистема сломается и её всю придётся переписать, а переписывать - лет 10, и всё это время придётся пользоваться забекдоренной. При этом обязательно найдутся те, кто скажут, что их бекдор ни капли не беспокоит, и будут делать свои дела дальше, получая преимущество и развивая забекдоренную экосистему.
А в проприетарных типа всё всегда находится? Ты это, переставай употреблять!
> А в проприетарных типа всё всегда находится?А какая нам разница что там у проприетарных?
И почему тебя это вообще беспокоит?
Ты что виндузятник? Или вообще маковод??
В том что метод тысячи глаз работает и сработал. То что у него есть время реакции ненулевое так это у всего в этом мире так. А в проприетари уязвимости бай дизайн и даже такие каких производитель не закладывал.
Двойные стандарты что бы защитить свой мирок? Понимаю.
Там нашли бэкдор и опубликовали у мс - да всем понятно, сколько ещё скрыто никто не найдёт. Случайно наткнулись. Не то что в опенсорс.
Там нашли бэкдор в опенсорсе - видите как тысяча глаз работает, случайно случайный человек полез и нашёл закрытый бинарник. Некоторые скаллнеты пошли дальше. Вообще напрямую обвиняют мс - они же и подсаживают баги в опенсурс.
Твоё байдизайн не выдерживает никакой критики. Точно так же можно сказать про дыры в ПО и вообще дыры в голове тех кто делает опенсурс. А ещё фарфоровый чайничек летает на орбите.Это процесс построен как Г. Где глаза тех кто участвовал в разработке совместно с этим Ли? Где глаза тех что отключали проверки? Где глаза тех кто забирал это в дистрибутивы и собирал? Где глаза тех кто патчил ссш для втягивание туда системд? Где наконец-то глаза тех тысяч случайных людей которые всегда могут посмотреть с целью интереса в исходники и понять что там?
А всё открыл человек из мс который пошёл смотреть интересную ситуацию, по совершенно не его задаче. И пошёл он смотреть не в исходники в начале.
Не, тут к сожалению не только это.Чел сначала предложил коммит с отключением фаззинг тестирования.
И его конечно ̶з̶а̶р̶е̶д̶ж̶е̶к̶т̶и̶л̶и̶ ̶и̶ ̶п̶о̶п̶р̶о̶с̶и̶л̶и̶ ̶и̶с̶п̶р̶а̶в̶и̶т̶ь̶ ̶е̶г̶о̶ ̶к̶о̶д̶ приняли.
Ну а фигли? Зачем нам тестирование!? Мы ж профи, а профи ошибок не делают.Потом он добавлял коммит с таким комментарием:
The original files were generated with random local to my machine.
To better reproduce these files in the future, a constant seed was used to recreate these files.
И это тоже никого не смутило.Я уже молчу про использование инструментов, которые старше половины опеннета (m4) и создание с их помощью просто вырвиглазных баш-портянок.
А вот тысяча глаз тут уже на последнем месте. Они смогли всего за 2 месяца обнаружить)
"GitHub полностью заблокировал репозитории xz, xz-java и xz-embedded, которые теперь недоступны для анализа и загрузки прошлых версий"
Microsoft: Какой эксплойт? Вам просто показалось! ("Незаметно" убрали эксплойт)
не только эксплойт но и доступ к версиям, вредительских правок еще не содержавших.(впрочем, да, один forced push и наша супер система по подделке истории комитов отлично себя оправдает. Может, кстати, потому и заблокировали.)
> Кроме того, в прошлом году Jia Tan внёс изменения, несовместимые с режимом проверки "-fsanitize=address", что привело к его отключению при fuzzing-тестировании.Хахаха, а теперь расскажите мне, как в (типа) серьезных проектах используют автотесты, санитайзеры и фаззинг.
А никак! Если есть какая-то возможность их отключить, то их отключают, по просьбе какого-то васяна и это апрувит создатель проекта.ps уверен потом такие же клооуны будут бухтеть
"зачем пихать проверки в компилятор? есть же куча санитайзеров и прочих инструментов, надо просто их использовать и будет вам счастье"
Ты нам только что рассказал о плачевном состоянии программирования в России, спасибо тебе.
Сказать то чего хотел. Если тот же самый китаец захотел бы внедрит бекдор в коде на рсте он бы его внедрил. Точно так же некто бы и слова не сказал.
Так по просьбе какого-то васяна и unsafe-обертки заапрувят и вся хваленая безопасность псу под хвост.
О, история становится еще интереснее!
Чел поучаствовал во многих проектах.
Например в libarchive.
Где он создал ПР в котором заменил safe_fprintf на fprintf.
https://github.com/libarchive/libarchive/pull/1609/filesИЧСХ этот ПР приняли! Вообще без какого-то обсуждения.
А не спросили "какого?!".
Но для проекта C 89.6%.. впрочем, я совершенно не удивлен))И оно жило спокойно с ноября 2021 года, до сегодняю.
Код ревертнули девять часов назад.
Ну, libarchive кривое, не страшно. Её никто в своём уме не будет использовать. А вот от сабжа зависят примерно все, круче только zlib.
Я использую. Потому что иначе мне придётся свою такую же, но хуже, написать.
>ИЧСХ этот ПР приняли! Вообще без какого-то обсуждения."самое слабое звено в системе безопасности — это человек" (с) Кевин Митник
>Но для проекта C 89.6%.. впрочем, я совершенно не удивлен))Это же какую логику нужно иметь, чтобы связать прием патча с изменения в коде с языком программирования?
Типа в проектах на Си патчи не проверяют, а в проектах на Go, Rust каждый патч с лупой проверяет 100500 человек?
> Типа в проектах на Си патчи не проверяют, а в проектах на Go, Rust каждый патч с лупой проверяет 100500 человек?Типа если люди пишут на Си, им как правило, глубоко плевать на безопаснось.
Звучит как теория заговора.
Не знаю как в GO, но в раст все принты по умолчанию safe.
А чтобы сделать ансейф принт, нужно внезапно писать unsafe и потом еще хорошо постараться.
Думаешь китаец испугался бы слова unsafe и не сделал бы коммит? БезопасТность уровень желтая ленточка.
А это зависит от разных вариантов.
Например есть либы (в расте) которые помечены #![forbid(unsafe_code)]
что запрещает использование unsafe.Понятно это не защитит от "автор либы сам внес бекдор", но тут чел был не главным мейнтенером.
>Понятно это не защитит от "автор либы сам внес бекдор", ноНо тебе захотелось попиариться, вот же ж незадача.
>это не защитит от "автор либы сам внес бекдор"На этом обсуждение можно было и закончить.
> Например есть либы (в расте) которые помечены #![forbid(unsafe_code)] что запрещает использование unsafe.
> Понятно это не защитит от "автор либы сам внес бекдор", но тут чел был не главным мейнтенеромНапример есль скрипты (в баше) которые просто пускают команды, без каких-либо подстановок, либо с минимальной долей что делает невозможной небезопасные действия/обфускацию/т. п.
Понятно, это не защитит от "автор либы сам внес бекдор", но тут чел был не главным мейнтенером.
Не позорься.
- Удалённо эксплуатируемая уязвимость в драйвере NVMe-oF/TCP из состава ядра Linux
opennet.ru/opennews/art.shtml?num=59940- Уязвимости в модуле ksmbd ядра Linux, позволяющие удалённо выполнить свой код
opennet.ru/opennews/art.shtml?num=59189- Уязвимость в NTFS-драйвере из состава GRUB2, позволяющая выполнить код
https://www.opennet.ru/opennews/art.shtml?num=59868- Обход шифрования диска в Linux через непрерывное нажатие клавиши Enter
https://www.opennet.ru/opennews/art.shtml?num=59702Как вообще такой код проходил ПР?
Возможно разработчики на определенных языках действительно забивают на безопасность?
>Как вообще такой код проходил ПР?Всё просто - в ПР/МР делают придирки к неймингу, стилю кодирования, не сопадающим с таковым у автора, стикерам на макбуке, а на то, чтобы код работал хоть до, хоть после предложений ревьюера, обычно не смотрят.
На какую-либо безопасность не смотрят тем более.
Любая сторонняя либа это потенциальный источник трояна, соответственно код либы должен исполняться в изолированном контейнере, а входные данные подаваться зашифроваными. И только потом модерация кода либы.
Эту историю читаешь и плакать хочется.Один из коммитов етого псевдокитайца в oss-fuzz:
ревьювер: LGBT^WLGTM
(прошло два года, гром грянул, мужик^Wревьювер перекрестился)
тот же ревьювер: actually, it's no LGTM.
Ну вот и чо им скажешь, кроме как застрелиться у них на глазах?
Заметьте: изменения были введены после обязательного введения 2FA на GitHub (не подумайте, что с целью усиления "безопасности", до очень недавнего времени без активации 2FA можно было пушить в репозитории, к которым есть доступ, да и сейчас наверное при пуше используется только 1 фактор, а с целью продвижения FIDO2 - бэкдорнутого стандарта, придуманного с целью навязывания продуктов членов Альянса, завязывания аутентификации на них и сбора биометрии). Как я и предупреждал, от сопровождающего-вредителя, а равно — коммерсанта, продавшего проект за круглую сумму, а равно "патриота" государства, в котором живёт и получает зарплату ничего не поможет, а равно просто фраера-лоха, которому сделали предложение, от которого невозможно отказаться: в общем случае от supply chain-атаки, где "легитимный" сопровождающий делает вредоносные изменения, не спасёт ничего. А "Jia Tan" — это просто кукла из носка, которая на руку одевается, как в "Улице Сезам", чтобы смягчить последствия для сопровождающих, что типа Шоколад ни в чём не уиноуат!Все авторы забекдоренных проектов должны рассматриваться как соучастники.
Вполне вероятно, что и петрушка, и вероятно даже не один действовал, но при чём тут авторы? Будто, это впервые происходит. Хоть решение отключить проверки и защиты выглядит подозрительно, но этого недостаточно, чтобы что-либо утверждать.
>этого недостаточно, чтобы что-либо утверждать.А это не мы должны предоставлять железобетонные доказательства, что автор/сопровождающий сохранил свою репутацию. Это его репутация — ему её и беречь. А он — не сберёг. С нашей же стороны мы вольны руководствоваться его репутацией для принятия решений. И совершенно не важно, виноват ли сопровождающий в действительности, или его подставили. Нам ведь плевать на сопровождающего, "кого иппёт чужое горе", нам важна наша безопасность. При таком подходе имеет смысл исключать компонент, несущий риски, вне зависимости от того, виновен ли он в действительности, или просто халатен — было бы выгодно полное закрытие скомпрометированных проектов, либо переход их под более ответственных сопровождающих. К сожалению рынок внесёт коррективы: по демпинговым ценам ($0, бесплатно, даром, бойтесь данайцев, дары приносящих) большинство устроит и заведомо забекдоренный проект, а конторы для себя и форк сделают, и с сообществом не поделятся.
Насчёт закрытия — я всегда думал, что liblzma - это часть 7zip. Особенно учитывая то, что автор алгоритма LZMA - это Игорь Павлов. Почему эта либа до сих пор ставится не из первоисточника, не из форка-порта первоисточника p7zip, а из мутного порта не пойми кого — вопрос открытый.Что не отменяет необходимость упразднения autotools в 7zip.
Похоже ты не понимаешь сути проблемы в сабже. Проблема что в трояне был баг, который аффектил в валгриде, а не то что троян впринципе был. Если троян был это кого надо троян. И они его ещё раз вставят куда надо и ты его никогда не найдешь за обозримое время. По сути проблема исполнителя.
>И они его ещё раз вставят куда надо и ты его никогда не найдешь за обозримое время. По сути проблема исполнителя.Именно, поэтому авторам xz, libarchive и прочим скомпрометированным — никакого доверия.
Как вообще в либе для архивации может быть троян? Она принимает входные данные, выдает выходные, больше у нее прав быть не должно, максимум попытаться использовать уязвимость процессора. Чтобы предотвратить встраивание трояна в выходные данные эти самые данные должны подаваться на вход зашифрованными, это же логично, да?
Ты не понимаешь, как программы работают. То, что ты хочешь, недостижимо практически с современными технологиями, либо осуществимо, но принесёт неоправданно большие накладные расходы. Да и, к примеру, в микроядерных системах в памяти может быть независимый изолированный декодер сжатых данных, но доверяться ему софту всё равно придётся: ты не можешь проконтролировать, что данные не были изменены в процессе. Аппаратное шифрование тут особенно помогает заметать следы и нет возможности проконтролировать происходящее.
>Похоже ты не понимаешь сути проблемы в сабже. Проблема что в трояне был баг, который аффектил в валгриде, а не то что троян впринципе былЭто - для бекдорщиков проблема, что обнаружили. Проблемы индейцев шерифа не волнуют. А для нас же проблема, что
1) были созданы условия для скрытия бэкдора - сопровождающим
2) бэкдор был внедрён
3) при участии сопровождающего.
То есть тебя не смущает что были созданы все условия чтобы бэкдор работал? Не удивлюсь если либа архивации еще и в интернет выходить может, давайте еще ей права записи во флешку биоса предоставим, что уж мелочиться.
Нет, не смущает, так как права выдаются не либе, а процессу, а в одном контексте разделение привелегий аппаратно не предусмотрено. Выдачу прав либам в принципе можно сделать, если избавиться от native-кода, но вам такое решение не понравится.
> после обязательного введения 2FA на GitHub [...] с целью продвижения FIDO2 - бэкдорнутого стандарта, придуманного с целью навязывания продуктов членов Альянса, завязывания аутентификации на них и сбора биометрииПодавляющее количество людей использует TOTP для 2FA. Где ты тут учуял продвижение FIDO2?
> Как я и предупреждал, от сопровождающего-вредителя [...] ничего не поможет
Ну так 2FA и не для этого нужен. К чему ты его упомянул?
>Где ты тут учуял продвижение FIDO2?Использование TOTP сделано максимально неудобным, а в случае с FIDO2 вообще разрешено обходиттся одним фактором — "аутентификатором" (устройство, либо программная реализация с поддержкой passkeys) по стандарту. То есть оказывают давление, чтобы использовали именно FIDO2. А Micro$oft - сама стейкхолдер на рынке FIDO2-аутентификаторов и их компонентов.
>Ну так 2FA и не для этого нужен. К чему ты его упомянул?
2FA никак не поможет защититься от атаки на цепочку поставки. Но именно под предлогом "обезопашивания цепочек поставки" его навязывают на GitHub, вместо того, чтобы явно сказать, что у M$ есть свои бизнес-интересы в трансформации экосистемы и сообщества нужным для M$ образом, и что M$ не гнушаются потратить ценность GitHubа как хостинга исходников на этот проект.
> Использование TOTP сделано максимально неудобнымСкопипастить код - это, по твоему, максимально неудобно?
> с FIDO2 вообще разрешено обходиттся одним фактором — "аутентификатором"
Лол. Устройство-аутентификатор и есть второй фактор. Чисто по определению.
1. Да, неудобно. Можно на JS написать аутентификатор, но лучше свалить из этого б.......о цирка, чем быть клоуном у п.......в.
2. При "пасскеях" устройство-аутентификатор есть единственный фактор, пароль не нужен, главное чтобы от нужного вендора был.
Libselinux также поддерживает liblzma и связывается с гораздо большим количеством программ, чем libsystemd.
Накалякал в Федору: https://pagure.io/fesco/issue/3185Посмотрим что из этого выйдет. Думаю, что закроют и скажут, "нет ресурсов/не наше дело/да по фигу".
Смешно если честно, это предложение больше на вброс или троллинг похоже.> There must be a website or a central authority
Сейчас же набегут со словами "а почему мы вообще должны доверять шапке?"
И начнут делить кому можно доверять, а кому нет.> which includes known to be good/safe/verified/vetted open source packages
Кто их будет верифицировать? Даже у RHEL нет таких ресурсов.
> along with e.g. SHA256/384/512/whatever hashes of the source tarballs.
Как это поможет, если из затрояненых сорцов будет собран такой же бинарь?
Суммы все сойдутся, а толку будет ноль.Я бы закрыл такое предложение "А давайте чтобы было хорошо и не было плохо" как notabug
> Я бы закрыл такое предложение "А давайте чтобы было хорошо и не было плохо" как notabugБолее того, "А давайте *вы там кто-нибудь* сделаете, чтобы было хорошо, *а мне неохота даже разбираться* кому и как это предложение направить."
Да и само предложение нерабочее, т.к. разные дистрибутивы могут иметь разные критерии по включению тех или иных пакетов. А на роль "козлов отпущения" с верифицированным адресом желающих, ясное дело, не найдется.
> бэкдор был спрятан в m4-макросах .. инструментарием automakeВот он - Linux way!
А во FreeBSD automake не используется? ;)
Там юниксовый make.
Оглянись, вдруг у тебя что-то торчит.
Люди, которые считают,что в PID 1 непременно нужно вкрячить библиотеку компрессии (а также картину корзину картонку и маленькую собачонку) - должны быть готовы к таким сюрпризам и не жаловаться.Птушо за время пути собака будет расти.
атака классная. респект китайцу. жаль, быстро спалили. сижу, жую попкорн:$ xz --version
xz (XZ Utils) 5.4.5
liblzma 5.4.5
$ freebsd-version
13.3-RELEASE
>В 2021 году Jia Tan передал изменение в проект libarchiveMicrosoft has signaled it will add native support for tar, 7-zip, rar, gz and "many other" archive file formats to Windows - it's used the libarchive open source project
https://www.theregister.com/2023/05/24/microsoft_rar_support.../>Jia Tan несколько дней назад был включён в число мэйнтейнеров проекта XZ Embedded, используемого в ядре Linux
Однако, это серьезный провал китайской киберразведки. Столько сил и лет потрачено на внедрение своего человека.
А почему китайской? Скорее всего околополяки какие-нибудь, как обычно.
Китайский-китайский, не сомневайтесь.
>А почему китайской?Судя по виртуозной схеме внедрения бекдора в sshd, работали серьезные профи.
> Однако, это серьезный провал китайской киберразведки. Столько сил и лет потрачено на внедрение своего человека.До того, как Github заблокировал репозиторий xz, мне почему-то мимолетно показалось, что тексты в коммитах этого "китайца" написаны скорее носителем языка, чем китайцем, но это с большой вероятностью может быть ошибочным впечатлением.
Зачем заблокировали репозитории? Из ЦРУ поступило указание, чтоб подумать, как замести следы..?
>что тексты в коммитах этого "китайца" написаны скорее носителем языка, чем китайцемВы наводите поклёп на страну, в которой в куче детсадов по прикомандированному к детям европейцу, который их учит английскому.
Может это американец китайского происхождения? Азиато-американец.
> Однако, это серьезный провал китайской киберразведки. Столько сил и лет потрачено на внедрение своего человека.Единственно, что свой человек время от времени лажался и коммитил с таймзоной EET и сопутствующими переводами часов.
А также чтил христианские праздники типа рождества. А китайские, наоборот, не соблюдал.
А так вылитый китаец, чо.
То, что никто не проверяет соответствие релизных архивов реальным данным в дереве, достаточно удивительно на самом деле. Хотя и не это проблема тут, но изменение моментально бы обнаружилось. А то до воспроизводимых сборок и подписанных блобов додумались, а до воспроизводимых блобов с исходниками нет.
Несоотвествие в порядке вещей для autocrap. Там при подготовке релизного архива всегда куча мусора напихивается. Реально десятки тысяч строк скриптов могут добавиться. Идеальное место, чтобы вот такое спрятать.
А зачем проверять, если можно просто git юзать? Но ведь не юзают. Чую, когда так начнут делать, может вылезти уязвимость с коллизиями в SHA-1: все форки в GitHub на самом деле живут в одном репозитории, соответственно интересно, что произойдёт, если форкнуть репозиторий и force push коллизию в свою ветку, по идее подменится в апстриме. Нужно срочно на 256 переходить, а в git так и не реализовали передачу таких репозиториев по сети.
Проблема "зашита" в libsystemd:
ldd /lib/x86_64-linux-gnu/libsystemd.so.0
linux-vdso.so.1 (0x00007ffea1bfd000)
librt.so.1 => /lib/x86_64-linux-gnu/librt.so.1 (0x00007fe963f05000)
liblzma.so.5 => /lib/x86_64-linux-gnu/liblzma.so.5 (0x00007fe963edc000)
liblz4.so.1 => /lib/x86_64-linux-gnu/liblz4.so.1 (0x00007fe963ebb000)
libgcrypt.so.20 => /lib/x86_64-linux-gnu/libgcrypt.so.20 (0x00007fe963d9d000)
libpthread.so.0 => /lib/x86_64-linux-gnu/libpthread.so.0 (0x00007fe963d7a000)
libc.so.6 => /lib/x86_64-linux-gnu/libc.so.6 (0x00007fe963b88000)
/lib64/ld-linux-x86-64.so.2 (0x00007fe963fd6000)
libgpg-error.so.0 => /lib/x86_64-linux-gnu/libgpg-error.so.0 (0x00007fe963b63000)
Т.е. аналогичный бакдор можно было внедрить в liblz4.so, или libgpg-error.so.Этой схеме подвержены любые сервисы, слинкованные с libsystemd.so и выполняющие авторизацию pubkey. При загрузке libsystemd.so загружаются зависимые либы и, в случае трояненой liblzma.so, происходила подмена для sshd функции "RSA_public_decrypt" (низкий поклон systemd). Просто автор бакдора ограничил работу только sshd (проверка argv[0] = /usr/sbin/sshd)
Нужно решение на базе линкера, запрещающее динамически линковать 2 либы с конфликтующими именами символов кроме как через LD_PRELOAD. Разумеется, не поможет, ибо сплайсинг никто не отменял, но всё же.
Нужно использовать простое и доверенное ПО. Но это в идеальном мире, а в реальном делайте 1000 заборов, а потом постоянно с ними "работайте".
>Нужно решение на базе линкера, запрещающее динамически линковать 2 либы с конфликтующими именами символов кроме как через LD_PRELOAD.А как я буду malloc заменять?
если хочешь менять на уровне линкинга либы - то управление памятью надо вынести в отдельную либу. Но в glibc как всегда помойка. Небольшая проблема.
>запрещающее динамически линковать 2 либы с конфликтующими именами символовТы думаешь, что когда при сборке sshd с ним линковался libsystemd.so, ликер будет смотреть символы во вторично зависимой liblzma.so.5?
динамический линкер, линкующий при загрузке бинарей в память.
Всегда знал, что баш-портянки, регулярные выражения и всякие прочие нечитаемые недоязыки (типа Makefike) - это зло. Если бы выкинули это легаси родом из 70-х и пререшли на нормальную систему сборки (хоть CMake) - проблемы бы не было.Вообще легаси нужно чистить периодически, а то в мусорной куче заводятся крысы и прочие паразиты.
Всегда знал, и не исправил... Может ты специально ничего не зделал?
пособник
Что не так с Makefile?
Ископаемый язык, который никто сейчас даже трогать не хочет ввиду его ужасного и запутанного синтаксиса, не то что изучать. Зато крякеры обожают всякое подобное легаси, что и используется в примере.
> Если бы выкинули это легаси родом из 70-х и пререшли
> на нормальную систему сборки (хоть CMake) - проблемы бы не было.Ваш CMake также поимели, даже не используя никакие регулярные выражения
https://www.opennet.ru/opennews/art.shtml?num=60888
В Tumbleweed сегодня из-за этого весь репозиторий пересобрали. Прилетело обновление на 4500 пакетов. Осталось поменять пароли и жить спокойно.
Интересно, как оно в ЧПУКС работает...
чпукс кому-то ещё нужен?
> чпукс кому-то ещё нужен?Как сказать... я прикупил очень дешево (ибо первый раз в жизни увидел) b2600, а там только нетбсд плохо работает и 11-й чпукс хорошо... другое дело что чпукс для воркстейшонов закопали еще раньше чем для серверов... а для hp-pa еще-еще раньше.
Блин, чпукс никому не нужен.
Видимо xz настолько заброшен, что никто однострочник с eval не увидел.
Так вот зачем китайцы стучатся по SSH!